Plugin4Shell: złośliwe repo podmieniało kod mimo kontroli pinezek AI-agentów

Plugin4Shell pozwala złośliwemu repozytorium wtyczek serwować inny kod niż hash commita, który agent kodujący AI uważa za przypięty. Claude Code i Codex są załatane; Copilot i Gemini CLI nie.

W tym artykule

Dlaczego kontrola pinezki zawodzi
Status poprawek różni się znacząco w zależności od dostawcy
Lista kontrolna dla MSP

Firma bezpieczeństwa Air Security ujawniła lukę w łańcuchu dostaw, którą nazwała Plugin4Shell, dotyczącą sposobu, w jaki cztery główne agenty kodujące AI -- Claude Code, OpenAI Codex, GitHub Copilot i Gemini CLI -- weryfikują wtyczki instalowane z marketplace'u. Luka pozwala właścicielowi złośliwego repozytorium serwować inny kod niż hash commita, który agent uważa za przypięty.

Dwie dłonie trzymają mały metalowy wkład zamka z kołkami oraz klucz, na rozmytym kolorowym tle — Zdjęcie: U.S. Air Force photo by Tech. Sgt. Nicholas Alder (Public domain), Wikimedia Commons.

Dlaczego kontrola pinezki zawodzi

Gdy jeden z tych agentów instaluje wtyczkę, pobiera określony 40-znakowy hash commita, aby zagwarantować, że kod odpowiada temu, co zostało przejrzane. Agenty nie weryfikowały, czy wynikowe drzewo robocze faktycznie odpowiadało temu hashowi po checkoutcie. Ta luka pozwalała atakującemu kontrolującemu repozytorium wtyczki utworzyć gałąź o nazwie identycznej z przypiętym hashem i ustawić ją jako domyślną gałąź repozytorium -- co powodowało, że agent instalował inny kod, jednocześnie nadal raportując poprawną, zablokowaną wersję. Ponieważ wtyczki działają z takimi samymi uprawnieniami jak użytkownik, podmieniony kod może uzyskać dostęp do lokalnych plików, poświadczeń i połączonych systemów. Air Security wykryło problem w maju 2026 r. i ujawniło go każdemu dostawcy w następnym miesiącu, zanim opublikowało informację 17 września.

Status poprawek różni się znacząco w zależności od dostawcy

Anthropic naprawił problem w Claude Code 2.1.179, a OpenAI naprawił go w Codex 0.146.0. Microsoft nie dostarczył jeszcze poprawki dla GitHub Copilot. Google poinformowało, że nie naprawi Gemini CLI, ponieważ produkt jest wycofywany na rzecz Antigravity. Doniesienia na temat ujawnienia zwracają też uwagę na ważne zastrzeżenie: nie ma publicznych dowodów na aktywne wykorzystanie luki w środowisku naturalnym -- badacze zademonstrowali działające exploity proof-of-concept przeciwko wszystkim czterem agentom, a nie zaobserwowane ataki.

Lista kontrolna dla MSP

Zinwentaryzuj, które agenty kodujące i wersje działają w środowiskach klientów, w tym które z nich instalują wtyczki z marketplace'u.
Przypnij lub zaktualizuj do Claude Code 2.1.179 lub nowszego oraz Codex 0.146.0 lub nowszego.
W przypadku Copilot czekaj na poprawkę dostawcy i w międzyczasie ogranicz lub przeglądaj instalacje wtyczek z marketplace'u.
W przypadku Gemini CLI zaplanuj ścieżkę migracji, ponieważ Google oświadczyło, że nie załata tego problemu.
Tam, gdzie polityka na to pozwala, preferuj źródła wtyczek hostowane na GitHubie -- GitHub odrzuca nazwy gałęzi, na których opiera się atak -- a wtyczki hostowane poza GitHubem poddawaj dokładniejszemu ręcznemu przeglądowi, zamiast z góry uznawać je za niebezpieczne.

Podstawowa lekcja dla MSP jest taka, że przypięty hash commita jest tylko tak wiarygodny, jak narzędzie, które go sprawdza; traktuj inwentaryzację wersji agentów i źródeł wtyczek jako stałą kontrolę, a nie jednorazowe porządki.

Źródła: Air Security, The Hacker News, Help Net Security.