Plugin4Shell-sårbarhet lät skadliga repon byta kod förbi fyra AI-agenters pinkontroller

Säkerhetsföretaget Air Security har offentliggjort en sårbarhet i leveranskedjan som de kallar Plugin4Shell och som påverkar hur fyra stora AI-kodningsagenter -- Claude Code, OpenAI Codex, GitHub Copilot och Gemini CLI -- verifierar plugin som de installerar från en marknadsplats. Sårbarheten gör att en skadlig repo-ägare kan leverera annan kod än den commit-hash som agenten tror att den har pinat.

Hur pin-kontrollen misslyckas

När en av dessa agenter installerar ett plugin checkar den ut en specifik 40-teckens commit-hash för att garantera att koden matchar det som granskats. Agenterna verifierade inte att det resulterande arbetskatalogen faktiskt matchade den hashen efter utcheckning. Detta glapp lät en angripare som kontrollerar pluginets repo skapa en gren med ett namn identiskt med den pinade hashen och sätta den som repots standard -- vilket fick agenten att installera annan kod samtidigt som den fortfarande rapporterade den korrekta, låsta versionen. Eftersom plugin körs med samma behörigheter som användaren kan den ersatta koden nå lokala filer, autentiseringsuppgifter och anslutna system. Air Security upptäckte problemet i maj 2026 och rapporterade det till varje leverantör följande månad innan publicering den 17 september.

Patchstatus varierar kraftigt mellan leverantörer

Anthropic åtgärdade problemet i Claude Code 2.1.179, och OpenAI åtgärdade det i Codex 0.146.0. Microsoft har inte levererat någon fix för GitHub Copilot. Google har sagt att de inte kommer att fixa Gemini CLI, eftersom produkten avvecklas till förmån för Antigravity. Rapporteringen om offentliggörandet noterar också en viktig reservation: det finns inga offentliga bevis på aktiv exploatering i det vilda -- forskarna demonstrerade fungerande proof-of-concept-exploater mot alla fyra agenter, inte observerade attacker.

MSP-checklista

• Inventera vilka kodningsagenter och versioner som körs i klientmiljöer, inklusive vilka som installerar marknadsplatsplugin.
• Pina eller uppgradera till Claude Code 2.1.179 eller senare, och Codex 0.146.0 eller senare.
• För Copilot, håll utkik efter en leverantörsfix och begränsa eller granska marknadsplatsplugin-installationer under tiden.
• För Gemini CLI, planera en migreringsväg eftersom Google har sagt att de inte kommer att patcha problemet.
• Där policy tillåter, föredra GitHub-värdade plugin-källor -- GitHub avvisar de grennamn som attacken bygger på -- och ge icke-GitHub-värdade plugin en närmare manuell granskning i stället för att anta att de är osäkra rakt av.

Den underliggande lärdomen för MSP:er är att en pinad commit-hash bara är så tillförlitlig som verktyget som kontrollerar den; behandla agentversion- och plugin-källinventering som en ständig kontroll, inte en engångsstädning.

Källor: Air Security, The Hacker News, Help Net Security.