Plugin4Shell: Zero-Click-Lücke trifft vier KI-Programmierassistenten
Vier weit verbreitete KI-Programmierassistenten, Claude Code, OpenAI Codex, GitHub Copilot und Google Gemini CLI, teilen sich dieselbe Schwachstelle. Über die Lücke namens Plugin4Shell kann ein Angreifer Schadcode auf dem Rechner von Entwicklerinnen und Entwicklern ausführen, ohne dass diese etwas anklicken oder bestätigen müssen. Anthropic und OpenAI haben ihre Werkzeuge bereits abgesichert. Für GitHub Copilot gibt es bislang keinen Patch, und die Endnutzer-Variante von Gemini CLI wird nicht mehr korrigiert.
Was ist passiert
Die Sicherheitsfirma AIR hat die Lücke am 17. September 2026 öffentlich gemacht. Gefunden hatte das Team sie bereits im Mai 2026 und die betroffenen Hersteller im Juni informiert, um ihnen Zeit für Korrekturen zu geben. Die Forscher beschreiben Plugin4Shell als die erste Lieferketten-Schwachstelle im Ökosystem der KI-Agenten. Ein Angriff ist bislang nicht bekannt, eine CVE-Kennung wurde noch nicht vergeben.
Moderne KI-Programmierassistenten können Erweiterungen, sogenannte Plugins, aus Marktplätzen nachladen. Damit dabei nur geprüfter Code läuft, bindet ein Marktplatz jedes Plugin an einen bestimmten Commit-Hash, eine lange Zeichenkette, die genau eine Version des Codes eindeutig kennzeichnet. Die Idee dahinter lautet: Was geprüft wurde, wird auch ausgeführt.
Die Schwachstelle im Detail
AIR fand heraus, dass die Assistenten den festgelegten Commit zwar abrufen, aber nie überprüfen, ob der tatsächlich geladene Code auch zu diesem Hash gehört. Auf einer Code-Plattform, die es erlaubt, einen Branch mit einem Namen anzulegen, der wie ein Commit-Hash aussieht, kann der Besitzer eines Plugin-Repositorys diesen Namen auf anderen, bösartigen Code zeigen lassen. Der Assistent lädt dann den manipulierten Code, während die Bindung an den Hash scheinbar eingehalten wird.
Weil Claude Code und Codex angebundene Plugins standardmäßig automatisch aktualisieren, braucht es für den Angriff keinerlei Zutun der Nutzenden, sobald der präparierte Branch bereitsteht. Genau daher kommt die Einordnung als Zero-Click-Lücke. Besonders schwer wiegt, dass ein Plugin dieselben Rechte erbt wie die Person, die den Assistenten ausführt. Damit reicht der Zugriff möglicher Angreifer bis zu lokalem Quellcode, Cloud-Zugangsdaten, SSH-Schlüsseln, internen Repositories und Geheimnissen aus der Entwicklungsumgebung.
Wer ist betroffen und wer hat reagiert
Betroffen ist grundsätzlich jede Person, die einen der vier Assistenten mit Plugins aus einem Marktplatz betreibt. Es genügt, ein solches Plugin installiert zu haben, auch wenn es aus einer vertrauenswürdigen Quelle stammt und ordentlich geprüft wurde.
- Anthropic hat die Lücke nach Angaben von AIR mit Claude Code in Version 2.1.179 geschlossen, die am 16. Juni auf GitHub erschien.
- OpenAI hat Codex mit Version 0.146.0 abgesichert, was AIR Anfang August bestätigte.
- Für GitHub Copilot gibt es keinen Patch. GitHub verweist darauf, dass auf der eigenen Plattform keine Branch- oder Tag-Namen erlaubt sind, die wie Commit-Hashes aussehen, womit der Angriff dort nicht funktioniere. AIR hält dagegen, dass Marktplätze auf anderen Plattformen wie Bitbucket weiterhin angreifbar bleiben und Copilot solche externen Marktplätze unterstützt.
- Die Endnutzer-Variante von Google Gemini CLI wird nicht korrigiert, da Google das Produkt einstellt. Der Unternehmenszugang über Gemini Code Assist beziehungsweise Google Cloud ist nach Angaben der Forscher nicht betroffen. Wer im Google-Umfeld bleiben will, kann laut Bericht auf Antigravity CLI wechseln.
- Claude Code auf mindestens Version 2.1.179 und Codex auf mindestens Version 0.146.0 aktualisieren.
- Die Endnutzer-Variante von Gemini CLI ablösen und auf eine unterstützte Alternative wechseln.
- Installierte Plugins sichten und im Zweifel nicht benötigte Erweiterungen entfernen. Zugangsdaten und Schlüssel, die in der Entwicklungsumgebung erreichbar sind, so eng wie möglich begrenzen.