Plugin4Shell: repositórios maliciosos trocam código e contornam o pin de agentes de IA

A empresa de segurança Air Security divulgou uma falha na cadeia de fornecimento a que chama Plugin4Shell, que afeta a forma como quatro importantes agentes de codificação de IA -- Claude Code, OpenAI Codex, GitHub Copilot e o Gemini CLI -- verificam os plugins que instalam a partir de um marketplace. A falha permite que o proprietário de um repositório malicioso sirva código diferente do hash de commit que um agente julga ter fixado.

Como falha a verificação do pin

Quando um destes agentes instala um plugin, faz o checkout de um hash de commit específico de 40 caracteres para garantir que o código corresponde ao que foi revisto. Os agentes não verificavam se a árvore de trabalho resultante correspondia de facto a esse hash após o checkout. Essa lacuna permitia que um atacante que controlasse o repositório do plugin criasse um ramo com um nome idêntico ao hash fixado e o definisse como padrão do repositório — levando o agente a instalar código diferente enquanto continuava a reportar a versão correta e bloqueada. Como os plugins são executados com os mesmos privilégios do utilizador, esse código substituído pode aceder a ficheiros locais, credenciais e sistemas ligados. A Air Security encontrou o problema em maio de 2026 e divulgou-o a cada fabricante no mês seguinte, antes de o publicar a 17 de setembro.

Estado das correções varia acentuadamente consoante o fornecedor

A Anthropic corrigiu o problema no Claude Code 2.1.179 e a OpenAI corrigiu-o no Codex 0.146.0. A Microsoft não disponibilizou uma correção para o GitHub Copilot. A Google afirmou que não irá corrigir o Gemini CLI, uma vez que o produto está a ser descontinuado em favor do Antigravity. A cobertura da divulgação também assinala uma ressalva importante: não há provas públicas de exploração ativa no terreno — os investigadores demonstraram provas de conceito funcionais contra os quatro agentes, e não ataques observados.

Lista de verificação para MSP

• Inventariar quais os agentes de codificação e versões em execução nos ambientes dos clientes, incluindo quais instalam plugins do marketplace.
• Fixar ou atualizar para o Claude Code 2.1.179 ou posterior, e para o Codex 0.146.0 ou posterior.
• No caso do Copilot, estar atento a uma correção do fornecedor e, entretanto, restringir ou rever as instalações de plugins do marketplace.
• No caso do Gemini CLI, planear um caminho de migração, uma vez que a Google declarou que não irá corrigir este problema.
• Quando a política o permitir, preferir fontes de plugins alojadas no GitHub — o GitHub rejeita os nomes de ramos em que o ataque se baseia — e dar aos plugins não alojados no GitHub uma revisão manual mais rigorosa, em vez de assumir que são inseguros à partida.

A lição subjacente para os MSP é que um hash de commit fixado só é tão fiável quanto a ferramenta que o verifica; trate o inventário de versões de agentes e de fontes de plugins como um controlo permanente, e não como uma limpeza pontual.

Fontes: Air Security, The Hacker News, Help Net Security.