Plugin4Shell : des dépôts malveillants contournent le pin de 4 agents de codage IA

L'entreprise de sécurité Air Security a divulgué une faille de chaîne d'approvisionnement qu'elle appelle Plugin4Shell, affectant la manière dont quatre grands agents de codage IA -- Claude Code, OpenAI Codex, GitHub Copilot et le Gemini CLI -- vérifient les plugins qu'ils installent depuis une marketplace. La faille permet à un propriétaire de dépôt malveillant de servir un code différent de celui du hash de commit qu'un agent pense avoir épinglé.

Comment la vérification du pin échoue

Lorsque l'un de ces agents installe un plugin, il extrait un hash de commit spécifique de 40 caractères pour garantir que le code correspond à ce qui a été examiné. Les agents ne vérifiaient pas que l'arborescence de travail résultante correspondait réellement à ce hash après l'extraction. Cette lacune permettait à un attaquant contrôlant le dépôt du plugin de créer une branche portant un nom identique au hash épinglé et de la définir comme branche par défaut du dépôt -- amenant l'agent à installer un code différent tout en signalant la version correcte et verrouillée. Comme les plugins s'exécutent avec les mêmes privilèges que l'utilisateur, ce code substitué peut accéder aux fichiers locaux, aux identifiants et aux systèmes connectés. Air Security a découvert le problème en mai 2026 et l'a divulgué à chaque fournisseur le mois suivant avant de publier le 17 septembre.

Le statut des correctifs varie fortement selon les fournisseurs

Anthropic a corrigé le problème dans Claude Code 2.1.179, et OpenAI l'a corrigé dans Codex 0.146.0. Microsoft n'a pas publié de correctif pour GitHub Copilot. Google a indiqué qu'il ne corrigera pas le Gemini CLI, le produit étant retiré au profit d'Antigravity. Les rapports sur la divulgation notent également une réserve importante : il n'existe aucune preuve publique d'exploitation active dans la nature -- les chercheurs ont démontré des preuves de concept fonctionnelles contre les quatre agents, et non des attaques observées.

Checklist pour les MSP

• Inventoriez les agents de codage et leurs versions exécutés dans les environnements clients, y compris ceux qui installent des plugins de marketplace.
• Épinglez ou mettez à niveau vers Claude Code 2.1.179 ou version ultérieure, et Codex 0.146.0 ou version ultérieure.
• Pour Copilot, surveillez l'arrivée d'un correctif fournisseur et restreignez ou examinez les installations de plugins de marketplace en attendant.
• Pour le Gemini CLI, planifiez un chemin de migration puisque Google a déclaré qu'il ne corrigera pas ce problème.
• Lorsque la politique le permet, privilégiez les sources de plugins hébergées sur GitHub -- GitHub rejette les noms de branches sur lesquels l'attaque repose -- et soumettez les plugins hébergés hors GitHub à un examen manuel plus approfondi plutôt que de les considérer d'emblée comme dangereux.

La leçon sous-jacente pour les MSP est qu'un hash de commit épinglé n'est aussi fiable que l'outil qui le vérifie ; traitez l'inventaire des versions d'agents et des sources de plugins comme un contrôle permanent, et non comme un nettoyage ponctuel.

Sources : Air Security, The Hacker News, Help Net Security.