repo.download_zip が GitHub audit で検知された

結論：

GitHub のリポジトリで「.」を押すと VScode が起動するのだが、その時に発生していた。