Plugin4Shell-lek laat malafide repo's code omwisselen langs pincontroles van AI-agents

Beveiligingsbedrijf Air Security heeft een supplychainlek onthuld dat het Plugin4Shell noemt en dat invloed heeft op hoe vier grote AI-coderingsagenten -- Claude Code, OpenAI Codex, GitHub Copilot en de Gemini CLI -- plugins verifiëren die ze vanuit een marketplace installeren. Het lek stelt een kwaadaardige repository-eigenaar in staat andere code aan te bieden dan de commit-hash waarvan een agent denkt dat die is vastgezet.

Hoe de pincontrole faalt

Wanneer een van deze agenten een plugin installeert, checkt hij een specifieke 40-teken commit-hash uit om te garanderen dat de code overeenkomt met wat is beoordeeld. De agenten controleerden niet of de resulterende werkboom na het uitchecken daadwerkelijk met die hash overeenkwam. Die lacune stelde een aanvaller die de repository van de plugin beheert in staat een branch aan te maken met een naam die identiek is aan de vastgezette hash en die als standaard van de repository in te stellen -- waardoor de agent andere code installeerde terwijl hij nog steeds de juiste, vergrendelde versie rapporteerde. Omdat plugins met dezelfde rechten draaien als de gebruiker, kan die vervangen code bij lokale bestanden, inloggegevens en verbonden systemen komen. Air Security ontdekte het probleem in mei 2026 en meldde het de maand daarop aan elke leverancier voordat het op 17 september werd gepubliceerd.

Patchstatus verschilt sterk per leverancier

Anthropic heeft het probleem verholpen in Claude Code 2.1.179 en OpenAI in Codex 0.146.0. Microsoft heeft nog geen fix uitgebracht voor GitHub Copilot. Google heeft gezegd de Gemini CLI niet te zullen repareren, omdat het product wordt uitgefaseerd ten gunste van Antigravity. Berichtgeving over de onthulling wijst ook op een belangrijk voorbehoud: er is geen openbaar bewijs van actieve exploitatie in het wild -- de onderzoekers demonstreerden werkende proof-of-concept-exploits tegen alle vier de agenten, geen waargenomen aanvallen.

MSP-checklist

• Inventariseer welke coderingsagenten en versies in klantomgevingen draaien, inclusief welke marketplace-plugins installeren.
• Zet vast op of upgrade naar Claude Code 2.1.179 of later, en Codex 0.146.0 of later.
• Houd voor Copilot een leveranciersfix in de gaten en beperk of beoordeel ondertussen installaties van marketplace-plugins.
• Plan voor de Gemini CLI een migratiepad, aangezien Google heeft verklaard dit probleem niet te zullen patchen.
• Geef waar beleid dit toestaat de voorkeur aan door GitHub gehoste pluginbronnen -- GitHub weigert de branchnamen waarop de aanval steunt -- en geef niet door GitHub gehoste plugins een grondigere handmatige beoordeling in plaats van ze zonder meer als onveilig te beschouwen.

De onderliggende les voor MSP's is dat een vastgezette commit-hash slechts zo betrouwbaar is als de tool die hem controleert; behandel de inventaris van agentversies en pluginbronnen als een permanente controle, niet als een eenmalige opschoning.

Bronnen: Air Security, The Hacker News, Help Net Security.