Plugin4Shell açığı dört yapay zeka kodlama ajanında bulundu

AIR Security araştırmacıları Or Nevo, Dor Granat ve Niv Hoffman 17 Eylül’de Plugin4Shell adını verdikleri bir açığı yayınladı. Aynı açık dört kodlama ajanında birden var: Claude Code, OpenAI Codex, GitHub Copilot ve Gemini CLI.

Araştırmacılar bunu “AI ajan ekosisteminin ilk tedarik zinciri açığı” diye tanımlıyor.

Eklenti marketleri güvenlik için her eklentiyi belirli bir Git commit hash’ine sabitliyor. Ajanlar o hash’i isteyip indiriyor ama gelen kodun gerçekten o commit olduğunu doğrulamıyor.

Saldırgan, 40 karakterlik hash ile aynı isimde bir dal açıp varsayılan yapıyor. Git dalı tercih ediyor ve zararlı kod “başarıyla kuruldu” mesajıyla yükleniyor.

Açığı zero-click yapan şey otomatik güncelleme. Claude Code ve Codex kurulu eklentileri arka planda kendileri güncelliyor; kullanıcının hiçbir şey yapması gerekmiyor.

AIR’ın uyarısı şu: “Doğru şeyi yapmak seni korumuyor.” Açıktan etkilenmek için güvenilen bir marketten incelenmiş ve sabitlenmiş bir eklenti kurmuş olmak yetiyor.

Dört ajanın dördü aynı durumda değil. Anthropic ve OpenAI yamayı çıkardı. GitHub Copilot için yama yok; GitHub kendi platformunda hash benzeri dal adlarına izin vermiyor ama Copilot GitHub dışındaki sunuculardan da eklenti kurabiliyor; Bitbucket ve şirketlerin kendi Git sunucularında bu koruma yok.

Google, Gemini CLI’ı emekliye ayırdı ve yama çıkarmayacak; kullanıcıları Antigravity’ye yönlendiriyor.

AIR açığı mayısta buldu, haziranda dört şirkete bildirdi, 17 Eylül’de yayınladı. Vahşi doğada istismar edildiğine dair kanıt yok, CVE numarası da yok.

Şüpheci okuma: The Hacker News’e göre arka plan otomatik güncellemesi yalnızca ajanların GitHub’daki yerleşik marketlerinde varsayılan ve GitHub hash benzeri dal adlarına izin vermiyor. Yani sıfır tıklamalı senaryo üçüncü taraf marketlerde geçerli.