Plugin4Shell: repo dannosi hanno aggirato il pin di quattro agenti di coding AI

La società di sicurezza Air Security ha divulgato una falla nella catena di fornitura che chiama Plugin4Shell, che riguarda il modo in cui quattro importanti agenti di coding AI -- Claude Code, OpenAI Codex, GitHub Copilot e Gemini CLI -- verificano i plugin che installano da un marketplace. La falla consente al proprietario di un repository dannoso di servire codice diverso rispetto all'hash di commit che un agente crede di aver bloccato.

Come fallisce la verifica del pin

Quando uno di questi agenti installa un plugin, effettua il checkout di uno specifico hash di commit di 40 caratteri per garantire che il codice corrisponda a quello revisionato. Gli agenti non verificavano che l'albero di lavoro risultante corrispondesse davvero a quell'hash dopo il checkout. Questa lacuna ha permesso a un malintenzionato che controlla il repository del plugin di creare un branch con un nome identico all'hash bloccato e di impostarlo come predefinito del repository, inducendo l'agente a installare codice diverso pur continuando a segnalare la versione corretta e bloccata. Poiché i plugin vengono eseguiti con gli stessi privilegi dell'utente, quel codice sostituito può raggiungere file locali, credenziali e sistemi connessi. Air Security ha scoperto il problema a maggio 2026 e lo ha divulgato a ciascun fornitore il mese successivo prima di pubblicarlo il 17 settembre.

Lo stato delle patch varia notevolmente a seconda del fornitore

Anthropic ha corretto il problema in Claude Code 2.1.179 e OpenAI lo ha corretto in Codex 0.146.0. Microsoft non ha rilasciato una correzione per GitHub Copilot. Google ha dichiarato che non correggerà Gemini CLI, poiché il prodotto è in fase di dismissione a favore di Antigravity. Le segnalazioni sulla divulgazione indicano anche una precisazione importante: non ci sono prove pubbliche di sfruttamento attivo in circolazione -- i ricercatori hanno dimostrato exploit proof-of-concept funzionanti contro tutti e quattro gli agenti, non attacchi osservati.

Checklist per gli MSP

• Inventaria quali agenti di coding e versioni sono in esecuzione negli ambienti dei clienti, incluso quali installano plugin dal marketplace.
• Fissa la versione o aggiorna a Claude Code 2.1.179 o successivo e Codex 0.146.0 o successivo.
• Per Copilot, tieni d'occhio una correzione del fornitore e nel frattempo limita o riesamina le installazioni di plugin dal marketplace.
• Per Gemini CLI, pianifica un percorso di migrazione poiché Google ha dichiarato che non correggerà questo problema.
• Dove le policy lo consentono, preferisci fonti di plugin ospitate su GitHub -- GitHub rifiuta i nomi dei branch su cui si basa l'attacco -- e sottoponi i plugin non ospitati su GitHub a una revisione manuale più attenta, piuttosto che ritenerli a priori insicuri.

La lezione di fondo per gli MSP è che un hash di commit bloccato è affidabile solo quanto lo strumento che lo verifica; tratta l'inventario delle versioni degli agenti e delle fonti dei plugin come un controllo continuo, non come una pulizia una tantum.

Fonti: Air Security, The Hacker News, Help Net Security.