Plugin4Shell-Lücke: Repos schleusten Code an Pin-Prüfung von vier KI-Agenten vorbei

Das Sicherheitsunternehmen Air Security hat eine Supply-Chain-Schwachstelle namens Plugin4Shell offengelegt, die beeinflusst, wie vier große KI-Coding-Agenten – Claude Code, OpenAI Codex, GitHub Copilot und die Gemini CLI – Plugins verifizieren, die sie aus einem Marktplatz installieren. Die Schwachstelle ermöglicht es einem bösartigen Repository-Besitzer, anderen Code auszuliefern als den Commit-Hash, den ein Agent als gepinnt ansieht.

Warum die Pin-Prüfung fehlschlägt

Wenn einer dieser Agenten ein Plugin installiert, checkt er einen bestimmten 40 Zeichen langen Commit-Hash aus, um sicherzustellen, dass der Code dem entspricht, was überprüft wurde. Die Agenten verifizierten jedoch nicht, dass der resultierende Arbeitsbaum nach dem Checkout tatsächlich mit diesem Hash übereinstimmte. Diese Lücke ermöglichte es einem Angreifer, der das Repository des Plugins kontrolliert, einen Branch mit einem Namen zu erstellen, der mit dem gepinnten Hash identisch ist, und ihn als Standardbranch des Repositorys festzulegen – wodurch der Agent anderen Code installierte, während er weiterhin die korrekte, festgeschriebene Version meldete. Da Plugins mit denselben Berechtigungen wie der Benutzer ausgeführt werden, kann dieser eingeschleuste Code auf lokale Dateien, Zugangsdaten und verbundene Systeme zugreifen. Air Security entdeckte das Problem im Mai 2026 und meldete es im Folgemonat an die jeweiligen Anbieter, bevor das Unternehmen am 17. September veröffentlichte.

Patch-Status fällt je nach Anbieter sehr unterschiedlich aus

Anthropic hat das Problem in Claude Code 2.1.179 behoben, und OpenAI hat es in Codex 0.146.0 behoben. Microsoft hat noch keinen Fix für GitHub Copilot veröffentlicht. Google hat erklärt, die Gemini CLI nicht zu beheben, da das Produkt zugunsten von Antigravity eingestellt wird. Die Berichterstattung über die Offenlegung weist zudem auf eine wichtige Einschränkung hin: Es gibt keine öffentlichen Belege für eine aktive Ausnutzung in freier Wildbahn – die Forscher haben funktionierende Proof-of-Concept-Exploits gegen alle vier Agenten demonstriert, nicht beobachtete Angriffe.

MSP-Checkliste

• Bestandsaufnahme, welche Coding-Agenten und Versionen in Kundenumgebungen ausgeführt werden, einschließlich derer, die Marktplatz-Plugins installieren.
• Auf Claude Code 2.1.179 oder höher sowie Codex 0.146.0 oder höher pinnen oder aktualisieren.
• Für Copilot sollte auf einen Anbieter-Fix geachtet und in der Zwischenzeit sollten Marktplatz-Plugin-Installationen eingeschränkt oder überprüft werden.
• Für die Gemini CLI sollte ein Migrationspfad geplant werden, da Google erklärt hat, dieses Problem nicht zu patchen.
• Wo es die Richtlinie erlaubt, sollten GitHub-gehostete Plugin-Quellen bevorzugt werden – GitHub lehnt die Branch-Namen ab, auf die der Angriff angewiesen ist –, und Plugins, die nicht auf GitHub gehostet werden, sollten einer genaueren manuellen Überprüfung unterzogen werden, statt sie pauschal als unsicher einzustufen.

Die grundlegende Lehre für MSPs lautet, dass ein gepinnter Commit-Hash nur so vertrauenswürdig ist wie das Tool, das ihn prüft; die Bestandsaufnahme von Agentenversionen und Plugin-Quellen sollte als ständige Kontrolle behandelt werden, nicht als einmalige Bereinigung.

Quellen: Air Security, The Hacker News, Help Net Security.