Zero-Click-Fehler erlaubt Repo-Besitzern, angepinnte Plugins in vier KI-Coding-Agenten auszutauschen

Sicherheitsforscher von Air Security enthüllten am 18. September eine Schwachstelle, die es jedem, der das Quell-Repository eines Plugins kontrolliert, ermöglicht, den Code, den ein KI-Coding-Agent installiert, stillschweigend auszutauschen — selbst wenn dieser Agent das Plugin an einen bestimmten, zuvor überprüften Commit-Hash "angepinnt" hat. Die als Plugin4Shell bezeichnete Schwachstelle betrifft fünf Agentenprodukte von vier Unternehmen: Claude Code von Anthropic, Codex von OpenAI, Gemini CLI von Google, Microsoft Copilot und GitHub Copilot.

Wie die Anheftung ausgehebelt wird

Der Bug nutzt eine obskure Eigenheit aus, wie Git Referenzen auflöst: Es kann einen angeforderten Commit-Hash als Branch-Namen interpretieren, wenn lokal kein passender Commit existiert. KI-Coding-Agenten pinnen Plugins als Sicherheitsmaßnahme an bestimmte Commit-Hashes an, um zu garantieren, dass genau der überprüfte Code später installiert wird. Da die Agenten aber nie verifizieren, dass der abgerufene Inhalt tatsächlich Byte für Byte mit dem angepinnten Hash übereinstimmt, kann ein Angreifer, der das Plugin-Repository kontrolliert, einen Branch erstellen, der nach dem angepinnten Commit-Hash benannt ist, und diesen Branch auf völlig anderen, bösartigen Code verweisen lassen.

Es gibt eine wichtige Einschränkung: GitHub selbst blockiert Branch-Namen, die Commit-Hashes ähneln, sodass direkt auf GitHub gehostete Plugins auf diese Weise nicht ausnutzbar sind. Der Angriff funktioniert gegen Plugins, die auf alternativen Git-Hosts wie Bitbucket oder selbst gehosteten Git-Servern gehostet werden.

Ein fünfmonatiges Offenlegungsfenster, dann eine gespaltene Reaktion

Air Security baute im Mai 2026 funktionierende Proof-of-Concept-Angriffe gegen alle vier betroffenen Agentenplattformen und benachrichtigte die Anbieter im Juni, was ihnen etwa drei Monate vor der öffentlichen Offenlegung am 18. September gab. Die Reaktionen der Anbieter gingen in diesem Fenster stark auseinander. Anthropic lieferte einen Fix in Claude Code Version 2.1.179, und OpenAI patchte Codex in Version 0.146.0. Microsoft, das über denselben Fehler in Copilot informiert wurde, hat bis diese Woche keinen Patch veröffentlicht. Google ging in die entgegengesetzte Richtung: Statt Gemini CLI zu patchen, zieht das Unternehmen das Produkt komplett zurück.

Warum die Spaltung wichtiger ist als der Bug selbst

Für Teams, die auf einer dieser Plattformen aufbauen, lautet die praktische Konsequenz, Plugin-Quellen zu überprüfen: Wenn Ihre Organisation Drittanbieter-Plugins mit Claude Code oder Codex verwendet, bestätigen Sie, dass Sie die gepatchten Versionen nutzen. Wenn Sie GitHub Copilot oder Gemini CLI mit nicht auf GitHub gehosteten Plugins verwenden, behandeln Sie diese Plugin-Quellen bis zur Veröffentlichung eines Fixes als ungeschützt.