Die Sicherheitsfirma Air Security hat am 18. September 2026 die Schwachstelle Plugin4Shell offengelegt: Sie hebelt die Prüfsummen-Kontrolle von KI-Coding-Agenten aus und schleust ungeprüften Code in vier verbreitete Werkzeuge ein. Betroffen sind Claude Code, OpenAI Codex, GitHub Copilot und Google Gemini CLI, wobei zwei Anbieter die Lücke bereits geschlossen haben und zwei bislang nicht.
Manipulierte Git-Branches hebeln Prüfsummen aus
KI-Coding-Agenten installieren Plugins häufig über eine SHA-Prüfsumme, die genau eine geprüfte Codeversion festlegen soll. Im Bericht von Air Security prüfen die betroffenen Systeme zwar, ob ein passender Commit existiert, verifizieren aber nicht, dass dieser auch tatsächlich ausgecheckt wird. Ein Angreifer kann deshalb einen Branch anlegen, dessen Name exakt dem vierzigstelligen SHA-Hash entspricht, den Git beim Checkout vor dem eigentlichen Commit-Objekt bevorzugt. Bei Claude Code, Codex und GitHub Copilot funktioniert der Trick über diesen Mechanismus.
Bei Gemini CLI nutzt die Lücke eine zweite Variante: Der Befehl git fetch —ref prüft die abgerufene Commit-ID nicht, sodass ein Branch namens FETCH_HEAD die erwartete Version ersetzen kann. Zwei Angriffswege sind laut Air Security denkbar. Ein Plugin besteht zunächst regulär die Prüfung eines Marktplatzes und wird erst später ausgetauscht, oder ein Angreifer übernimmt das Repository eines bereits etablierten Plugins und nutzt dort denselben Trick. In beiden Fällen bleibt der Austausch unsichtbar, weil die Prüfsumme im Log weiterhin korrekt erscheint.
Anthropic und OpenAI patchen, zwei Anbieter bleiben verwundbar
Anthropic und OpenAI reagierten mit Updates: Claude Code schließt die Lücke seit Version 2.1.179, Codex seit Version 0.146.0. Bei GitHub Copilot steht bislang kein Fix bereit. Laut einem Bericht von InfoWorld blockiert GitHub lediglich auf der eigenen Plattform gehostete Branches mit SHA-artigen Namen, selbst gehostete Git-Server bleiben davon unberührt.
Google patcht Gemini CLI nicht mehr, weil das Werkzeug als veraltet gilt, und verweist Nutzer stattdessen auf die Nachfolge-Plattform Antigravity. Wer eines der ungepatchten Werkzeuge produktiv einsetzt, arbeitet mit einer offenen Angriffsfläche für Schadcode, der mit denselben Rechten läuft wie der Coding-Agent selbst. Betroffen sein können damit Quellcode, SSH-Schlüssel, Zugangsdaten und Produktionssysteme.
Verschärfend kommt hinzu, dass automatische Plugin-Updates bei Claude Code und Codex standardmäßig aktiviert sind. Betroffene Organisationen mussten deshalb aktiv auf die gepatchten Versionen wechseln, statt sich auf eine automatische Absicherung zu verlassen. Wer Copilot oder Gemini CLI mit Plugins aus Drittquellen betreibt, trägt das Risiko bis zu einer Herstellerlösung vorerst selbst.
Forscher sehen Risiko auch für sorgfältige Organisationen
Air Security bezeichnet Plugin4Shell als erste Supply-Chain-Schwachstelle dieser Art im Ökosystem der KI-Agenten. Das Team habe zuvor bereits gezeigt, dass ein einzelnes bösartiges Plugin bis zu 26.000 Agenten erreichen könne. Zudem identifizierten die Forscher nach eigenen Angaben 925 kompromittierte Skills mit Reichweite zu 134.000 Agenten, eine Zahl, die unabhängig nicht verifiziert ist. Der Kern der Warnung: Ein Angreifer kann ein Plugin zunächst regulär über den Marktplatz-Review schleusen und erst später, nach Bestätigung der Prüfsumme, im Hintergrund austauschen.
„Doing the right thing does not protect you”, schreibt Air Security in seinem Bericht. Auch Organisationen mit etablierten Freigabeprozessen sind demnach angreifbar, weil das Vertrauen an der falschen Stelle ansetzt.
Der Marktanalyst Pareekh Jain ordnet gegenüber InfoWorld ein, dass vor allem Unternehmen mit Drittanbieter-Plugins in KI-Coding-Agenten besonders exponiert seien. Die Verantwortung für eine lückenlose Prüfung liege demnach bei den Herstellern, nicht bei einzelnen Marktplätzen. Die Lücke reiht sich damit in eine wachsende Zahl ähnlicher Befunde bei KI-Coding-Agenten ein, etwa die kürzlich offengelegte GitSpawn-Schwachstelle, die ebenfalls präparierte Git-Referenzen ausnutzte.
Entscheidend wird, ob GitHub und Google dem Beispiel von Anthropic und OpenAI folgen oder Nutzer dauerhaft auf eigene Vorsicht bei Plugin-Updates verweisen müssen. Bis dahin bleibt vor allem Unternehmen mit hoher Copilot- oder Gemini-CLI-Verbreitung eine Lücke offen, die sich nicht durch sorgfältige Codereviews schließen lässt, sondern nur durch einen Patch der Hersteller selbst.
