Plugin4Shell permite a repos maliciosos eludir el pin de cuatro agentes de IA

La firma de seguridad Air Security ha revelado un fallo en la cadena de suministro que denomina Plugin4Shell y que afecta a la forma en que cuatro grandes agentes de codificación con IA -- Claude Code, OpenAI Codex, GitHub Copilot y Gemini CLI -- verifican los plugins que instalan desde un mercado de plugins. El fallo permite que el propietario de un repositorio malicioso sirva un código distinto del hash de commit que el agente cree haber fijado.

Cómo falla la comprobación del pin

Cuando uno de estos agentes instala un plugin, obtiene un hash de commit específico de 40 caracteres para garantizar que el código coincide con lo revisado. Los agentes no verificaban que el árbol de trabajo resultante coincidiera realmente con ese hash después de la extracción. Esa brecha permitía a un atacante que controla el repositorio del plugin crear una rama con un nombre idéntico al hash fijado y establecerla como predeterminada del repositorio -- lo que provocaba que el agente instalara un código distinto mientras seguía informando de la versión correcta y bloqueada. Dado que los plugins se ejecutan con los mismos privilegios que el usuario, ese código sustituido puede acceder a archivos locales, credenciales y sistemas conectados. Air Security detectó el problema en mayo de 2026 y lo comunicó a cada proveedor al mes siguiente antes de publicarlo el 17 de septiembre.

El estado de los parches varía mucho según el proveedor

Anthropic corrigió el problema en Claude Code 2.1.179 y OpenAI lo corrigió en Codex 0.146.0. Microsoft no ha publicado una corrección para GitHub Copilot. Google ha dicho que no corregirá Gemini CLI, ya que el producto se retirará en favor de Antigravity. Los informes sobre la divulgación también señalan una advertencia importante: no hay pruebas públicas de explotación activa en entornos reales -- los investigadores demostraron exploits de prueba de concepto funcionales contra los cuatro agentes, no ataques observados.

Lista de comprobación para MSP

• Inventaríe qué agentes de codificación y versiones se ejecutan en los entornos de los clientes, incluidos los que instalan plugins desde el mercado.
• Fije o actualice a Claude Code 2.1.179 o posterior, y a Codex 0.146.0 o posterior.
• Para Copilot, esté atento a una corrección del proveedor y, mientras tanto, restrinja o revise las instalaciones de plugins desde el mercado.
• Para Gemini CLI, planifique una ruta de migración, ya que Google ha declarado que no parcheará este problema.
• Cuando la política lo permita, prefiera fuentes de plugins alojadas en GitHub -- GitHub rechaza los nombres de rama en los que se basa el ataque -- y someta los plugins no alojados en GitHub a una revisión manual más minuciosa en lugar de asumir directamente que no son seguros.

La lección de fondo para los MSP es que un hash de commit fijado solo es tan fiable como la herramienta que lo comprueba; trate el inventario de versiones de agentes y fuentes de plugins como un control permanente, no como una limpieza puntual.

Fuentes: Air Security, The Hacker News, Help Net Security.