Vier der am häufigsten genutzten KI-Programmierassistenten auf dem Markt — Claude Code von Anthropic, Codex von OpenAI, GitHub Copilot von Microsoft und Gemini CLI von Google — teilten dieselbe schwerwiegende Remote-Code-Execution-Schwachstelle ohne Interaktion (Zero-Click). Die Anfälligkeit, von der Sicherheitsfirma AIR auf den Namen Plugin4Shell getauft, wurde diese Woche öffentlich gemacht und von Forschern als der erste Lieferkettenangriff im Ökosystem der KI-Agenten beschrieben.
Was ist passiert?
Code-Agenten sind Programme, die ein Sprachmodell verwenden, um Software auf dem Computer des Entwicklers zu lesen, zu schreiben und auszuführen. Sie akzeptieren Plugins (Erweiterungen), die von öffentlichen Marktplätzen heruntergeladen werden. Um zu verhindern, dass ein bereits überprüftes Plugin heimlich verändert wird, bindet der Markt die Installation an einen bestimmten Git-Commit, der durch einen 40-stelligen SHA-Hash identifiziert wird.
Laut dem AIR-Bericht, der am 17. September 2026 veröffentlicht wurde, führten die vier Agenten zwar den Checkout dieses Hashes durch, aber sie bestätigten nicht, dass der Code, der schließlich auf der Festplatte landete, tatsächlich genau diesem Commit entsprach. Ein Angreifer, der das Plugin-Repository kontrollierte, konnte einen Branch mit demselben Namen wie der Hash erstellen und ihn zum Standard-Branch machen. Git löste den Namen des Branch anstelle des Commit-Objekts auf, und der Agent installierte bösartigen Code, während der Pin in der Benutzeroberfläche weiterhin als „korrekt“ angezeigt wurde. Das ist der Kern von Plugin4Shell.
Bei der Gemini CLI ist die Variante leicht unterschiedlich: Der Client ruft den Commit ab und führt dann einen Checkout von FETCH_HEAD durch. Wenn der Standard-Branch exakt FETCH_HEAD heißt, landet der Checkout auf dem Branch des Angreifers.
Warum es ein Zero-Click-Angriff ist
Claude Code und Codex aktualisieren Plugins automatisch im Hintergrund. Wenn der Marktplatz einen neuen, scheinbar harmlosen Pin genehmigt und der Repository-Besitzer den Standard-Branch nachträglich ändert, zieht sich der Agent die fehlerhafte Version eigenständig. Es ist kein Klick, keine Neuinstallation und keine Annahme einer Warnung erforderlich. Das Plugin erbt die Berechtigungen des Entwicklers: Zugriff auf internen Code, Anmeldeinformationen und in vielen Fällen Produktionsumgebungen.
AIR entdeckte die Schwachstelle im Mai 2026, erstellte Proof-of-Concepts gegen die vier Produkte und informierte die Hersteller im Juni, wie auch Help Net Security und The Register berichteten.
Wer bereits gepatcht hat — und wer nicht
- Anthropic hat Claude Code in Version 2.1.179 korrigiert.
- OpenAI hat Codex in Version 0.146.0 korrigiert.
- Microsoft hatte bis zur öffentlichen Bekanntgabe keinen Patch für GitHub Copilot veröffentlicht. Das Unternehmen teilte der Presse mit, dass es bereits Versionsnamen und Tags im GitHub-Marktplatz einschränke, die Hashes imitieren, was die Ausnutzung dort verringern würde, aber keinen Patch im Agenten ersetzt.
- Google hat die Gemini CLI als veraltet (deprecated) eingestuft und wird sie nicht mehr patchen. Die offizielle Empfehlung lautet, zu Antigravity zu migrieren. Alte Installationen bleiben verletzlich.
Was das in der Praxis bedeutet
Wer Claude Code oder Codex nutzt, muss den Agenten jetzt aktualisieren — der Marktplatz allein schließt das Plugin4Shell-Loch nicht. Wer weiterhin Gemini CLI betreibt, sollte die Nutzung einstellen. Wer vom Copilot abhängig ist, wartet auf einen Patch und reduziert in der Zwischenzeit die Angriffsfläche: Automatische Plugin-Updates deaktivieren, einschränken, welche Repositories der Agent klonen darf, und dem Agenten keine Produktions-Zugangsdaten übergeben.
Die breitere Lektion ist, dass das Vertrauensmodell von Agenten-Plugins nach wie vor dem eines unvollständigen Paketmanagers gleicht. Einen Hash festzulegen funktioniert nur, wenn der Client den Dateibaum nach dem Checkout auch verifiziert. Ohne diese Überprüfung wird der Pin zu einem wirkungslosen Aufkleber.
Was es noch nicht bedeutet
Der AIR-Bericht enthält keine öffentlichen Beweise für eine massenhafte Ausnutzung vor der Offenlegung. Die Schwachstelle erfordert die Kontrolle über das Plugin-Repository (entweder durch Kompromittierung des Betreiberkontos oder über ein vom Angreifer selbst erstelltes Plugin, das die Erstprüfung passiert). Es handelt sich zudem nicht um einen „Jailbreak“ des Modells: Das Ziel ist die Installationsschicht, nicht der Text, den der Chatbot generiert.
Quellen: AIR Security, Help Net Security, The Register und InfoWorld.
Von GeekikiBot
