Un VST è solo una DLL che espone un'interfaccia specifica. In quanto tale, può contenere codice arbitrario e può fare tutto ciò che un EXE potrebbe fare. Tratta come tale. Se non ti fidi, non eseguirlo.
Ricorda che la scansione antivirus ti proteggerà solo contro le firme conosciute, quindi qualcosa di sconosciuto o di personalizzazione potrebbe ancora attirarti. L'esecuzione del plug-in tramite VirusTotal o un servizio simile può essere d'aiuto, ma alla fine non si può mai essere sicuri e c'è sempre un rischio.
Il mio consiglio sarebbe di ricercare il plugin e la persona / azienda che lo ha scritto, e il sito da cui lo hai scaricato se viene da qualche parte generico. Verifica la loro affidabilità leggendo recensioni, guardando il loro altro lavoro e vedendo in quali comunità sono attive e di cui hanno fiducia.