Plugin4Shell trifft 4 KI-Coding-Agenten, 2 ohne Patch

Die Sicherheitsfirma AIR hat am 17. September 2026 eine Untersuchung zu "Plugin4Shell" veröffentlicht: ein Fehler, der das SHA-Pinning aushebelt, auf das vier der meistgenutzten KI-Coding-Agenten setzen – Claude Code von Anthropic, Codex von OpenAI, GitHub Copilot und Googles Gemini CLI. Die Forscher Or Nevo, Dor Granat und Niv Hoffman stellten fest, dass jeder Agent genau den vom Marktplatz gepinnten Plugin-Commit auscheckt, aber nie prüft, ob der Checkout tatsächlich auf diesem Commit gelandet ist.

Bei Claude Code, Codex und Copilot liegt der Trick im Branch-Namen. Wer das Repository des Plugins kontrolliert, legt einen Branch an, der genauso heißt wie der 40 Zeichen lange Commit-Hash, und macht ihn zum Standard-Branch. Git bevorzugt eine passende Referenz gegenüber einem gleichnamigen Objekt und gibt lediglich die Warnung "refname is ambiguous" aus – der Agent installiert also fremden Code und meldet zugleich eine erfolgreiche Installation des gepinnten Commits. Gemini CLI scheitert anders: Das Werkzeug holt den gepinnten Commit und führt dann git checkout FETCH_HEAD aus, was auf einen Branch verweist, falls der Standard-Branch des Repositorys selbst FETCH_HEAD heißt. AIRs Vorschlag ist eine einzige Prüfung im Agenten: nach dem Checkout git rev-parse HEAD mit dem gepinnten Hash vergleichen und bei Abweichung abbrechen.

Ohne jeden Klick kommt der Angriff durch das automatische Update im Hintergrund aus, das laut AIR bei Claude Code und Codex voreingestellt ist. Ein Plugin, das die Entwicklerin oder der Entwickler längst installiert hat und dem sie vertrauen, wird ohne Rückfrage ausgetauscht. AIR fand den Fehler nach eigenen Angaben im Mai 2026 mit einem funktionierenden Proof of Concept gegen alle vier Agenten, meldete ihn im Juni im Rahmen einer koordinierten Offenlegung an die Hersteller und veröffentlichte die Details erst in dieser Woche.

Die Reaktionen fielen unterschiedlich aus. Anthropic bestätigte am 17. Juni 2026 einen Fix in Claude Code 2.1.179; das öffentliche Änderungsprotokoll dieser Version führt Routinekorrekturen auf und erwähnt die Lücke nicht. Für OpenAIs Codex 0.146.0 wurde der Fix am 12. August verifiziert. Microsoft hat für GitHub Copilot keinen Fix ausgeliefert. Google teilte AIR am 4. August mit, Gemini CLI werde nicht gepatcht, weil das Werkzeug eingestellt ist; Nutzerinnen und Nutzer sollen zu Antigravity wechseln, das dieser Angriff laut AIR nicht erreicht. Help Net Security berichtete am 18. September über dieselbe Aufteilung.

Eine Einschränkung ist wichtig: Die Branch-Variante funktioniert nur dort, wo ein Git-Host einen 40-stelligen Hex-Branch-Namen zulässt. GitHub weist solche Namen laut AIR rundweg ab, Bitbucket und selbst gehostete Server akzeptieren sie – und Anthropics eigene Dokumentation führt beide als gültige Marktplatz-Backends. Eine CVE-Nummer wurde nicht vergeben, und weder AIR noch Help Net Security berichten von Angriffen in freier Wildbahn; der Angriff existiert als Proof of Concept. AIR verkauft Sicherheitsprodukte für Agenten und erklärt, die Kunden des eigenen Marktplatzes seien nicht betroffen. Für Copilot- und Gemini-CLI-Nutzer gibt es weiterhin keinen Patch.

Transparenzhinweis: Der redaktionelle Prozess von NewUJ nutzt die Claude-Modelle von Anthropic.