Air Security hat Plugin4Shell veröffentlicht, eine kritische Supply-Chain-Schwachstelle, die vier der am häufigsten verwendeten KI-Coding-Agenten betrifft: Anthropics Claude Code, OpenAIs Codex, GitHub Copilot und Googles Gemini CLI.
Die Schwachstelle nutzt eine grundlegende Vertrauensannahme aus, wie KI-Coding-Agenten Plugins installieren und verwalten. Diese Tools überprüfen die Plugin-Integrität typischerweise mittels SHA-basierter Commit-Pinning — einem Mechanismus, der sicherstellen soll, dass der Code, den ein Agent ausführt, genau dem von Entwicklern genehmigten Commit-Hash entspricht. Plugin4Shell zeigt, dass diese Vertrauenskette von Repository-Besitzern gebrochen werden kann, die einen Branch mit dem gleichen 40-Zeichen-SHA-Hash-Präfix wie einen legitimen Commit erstellen können und bösartigen Code effektiv substituieren, während Integritätsprüfungen bestanden werden.
Der Angriff ist Zero-Click, was bedeutet, dass er keine Nutzerinteraktion zur Ausführung erfordert. Wenn ein Entwickler ein Plugin in seinem KI-Coding-Agenten installiert oder aktualisiert, liefert das kompromittierte Repository stillschweigend bösartigen Code anstelle des erwarteten Plugins. Da die Schwachstelle auf der Ebene des Repository-Besitzes existiert, kann der Angriff die Versions-Sperrmechanismen umgehen, auf die Entwickler setzen, um Supply-Chain-Kompromittierungen zu verhindern.
Zwei der vier betroffenen Agenten — Claude Code und Codex — sind zum Zeitpunkt der Offenlegung noch nicht gepatcht, während GitHub Copilot und Gemini CLI Korrekturen veröffentlicht haben. Die Unterschiede in der Reaktion heben eine breitere Herausforderung im Ökosystem der KI-Coding-Agenten hervor: Es gibt kein koordiniertes Schwachstellenoffenlegungsrahmenwerk, das dem in der traditionellen Software existierenden ähnlich wäre.
