Plugin4Shell permite depozitelor malițioase să schimbe codul, ocolind fixarea agenților AI

Compania de securitate Air Security a dezvăluit o vulnerabilitate de lanț de aprovizionare pe care o numește Plugin4Shell, care afectează modul în care patru agenți AI de codare importanți -- Claude Code, OpenAI Codex, GitHub Copilot și Gemini CLI -- verifică pluginurile pe care le instalează dintr-un marketplace. Vulnerabilitatea permite unui proprietar de depozit malițios să servească un cod diferit față de hash-ul de commit pe care un agent crede că l-a fixat.

Cum eșuează verificarea fixării

Atunci când unul dintre acești agenți instalează un plugin, acesta face checkout la un hash de commit specific, format din 40 de caractere, pentru a garanta că codul corespunde cu ceea ce a fost revizuit. Agenții nu au verificat dacă arborele de lucru rezultat corespundea efectiv cu acel hash după checkout. Această lacună i-a permis unui atacator care controlează depozitul pluginului să creeze o ramură cu un nume identic cu hash-ul fixat și să o stabilească drept ramură implicită a depozitului -- ceea ce a făcut ca agentul să instaleze un cod diferit, raportând în continuare versiunea corectă și blocată. Deoarece pluginurile rulează cu aceleași privilegii ca și utilizatorul, codul substituit poate ajunge la fișiere locale, credențiale și sisteme conectate. Air Security a descoperit problema în luna mai 2026 și a dezvăluit-o fiecărui furnizor în luna următoare, înainte de a publica pe 17 septembrie.

Stadiul remedierilor variază puternic în funcție de furnizor

Anthropic a remediat problema în Claude Code 2.1.179, iar OpenAI a remediat-o în Codex 0.146.0. Microsoft nu a livrat o remediere pentru GitHub Copilot. Google a declarat că nu va remedia Gemini CLI, deoarece produsul este în curs de retragere în favoarea Antigravity. Relatările despre această dezvăluire notează și o avertizare importantă: nu există dovezi publice de exploatare activă în mediul real -- cercetătorii au demonstrat exploituri proof-of-concept funcționale împotriva tuturor celor patru agenți, nu atacuri observate.

Listă de verificare pentru MSP

• Inventariați ce agenți de codare și ce versiuni rulează în mediile clienților, inclusiv care dintre aceștia instalează pluginuri din marketplace.
• Fixați versiunea sau actualizați la Claude Code 2.1.179 sau mai recent și la Codex 0.146.0 sau mai recent.
• Pentru Copilot, urmăriți apariția unei remedieri de la furnizor și, între timp, restricționați sau revizuiți instalările de pluginuri din marketplace.
• Pentru Gemini CLI, planificați o cale de migrare, deoarece Google a declarat că nu va remedia această problemă.
• Atunci când politica permite, preferați sursele de pluginuri găzduite pe GitHub -- GitHub respinge numele de ramuri pe care se bazează atacul -- și supuneți pluginurile care nu sunt găzduite pe GitHub unei revizuiri manuale mai atente, în loc să le considerați nesigure din start.

Lecția esențială pentru MSP-uri este că un hash de commit fixat este doar la fel de demn de încredere ca instrumentul care îl verifică; tratați inventarul versiunilor de agenți și al surselor de pluginuri ca pe un control permanent, nu ca pe o curățenie făcută o singură dată.

Surse: Air Security, The Hacker News, Help Net Security.