Исследователи кибербезопасности из стартапа Air обнаружили уязвимость Plugin4Shell — первую в своём роде атаку на цепочку поставок ИИ-агентов. Она затрагивает Claude Code, OpenAI Codex, Google Gemini CLI, Microsoft Copilot и GitHub Copilot.
Проблема связана с механизмом привязки плагинов к хешу коммита, который должен защищать от компрометации репозиториев. ИИ-агент загружает коммит, указанный маркетплейсом, но не проверяет соответствие изначально закреплённого кода.
Злоумышленник, контролирующий репозиторий плагина, может подменить код на вредоносный так, что формальная схема привязки к хешу сохраняется. Это позволяет удалённо выполнять произвольный код без участия пользователя через функцию автообновления плагинов.
Есть два сценария атаки: загрузка безобидного плагина с последующей подменой кода после проверки, либо захват репозитория легитимного автора и рассылка вредоносной версии всем пользователям плагина.
Уязвимость даёт злоумышленникам доступ ко всем ресурсам и данным, доступным ИИ-агентам, и потенциально угрожает миллионам пользователей.
Anthropic закрыла уязвимость в Claude Code 2.1.179, OpenAI — в Codex 0.146.0. Google не стала исправлять Gemini CLI, так как поддержка продукта прекращается в пользу Antigravity, защищённого от подобных атак.
GitHub заявил, что запрет на создание имён веток и тегов, похожих на хеши коммитов, предотвращает злоупотребление на платформе. В Air отметили, что этой меры недостаточно, поскольку маркетплейсы могут размещаться на других платформах. Microsoft на сообщение об уязвимости не отреагировала.