Plugin4Shell umgeht die Plugin-Absicherung
Sicherheitsforscher des Start-ups Air haben eine kritische Schwachstelle in verbreiteten KI-Coding-Agenten offengelegt. Plugin4Shell betrifft Claude Code, OpenAI Codex, Google Gemini CLI, Microsoft Copilot und GitHub Copilot. Angreifer können darüber Schadcode ausführen, ohne dass Anwender eine Aktion bestätigen müssen.
Die Lücke greift nicht das Sprachmodell selbst an. Ziel sind vertrauenswürdige Marktplätze und die darüber verteilten Plugins. Damit handelt es sich um einen Supply-Chain-Angriff, bei dem eine manipulierte Abhängigkeit zum Einfallstor in Entwicklungsumgebungen wird.
Eine Remote Code Execution, kurz RCE, erlaubt die Ausführung fremden Codes auf einem erreichbaren System. Im Fall von Plugin4Shell kann ein Angreifer auf alle Ressourcen zugreifen, für die der betroffene Agent bereits Berechtigungen besitzt. Dazu können Quellcode, Zugangsdaten, interne Dokumentation und verbundene Unternehmenssysteme gehören.
So funktioniert der Angriff
Plugin-Marktplätze sichern Erweiterungen normalerweise über sogenanntes SHA-Pinning ab. Dabei wird ein Plugin nicht nur an einen veränderbaren Versionsnamen gebunden, sondern an den eindeutigen Hash eines bestimmten Commits. Der Agent soll dadurch immer exakt den geprüften Code laden.
Plugin4Shell umgeht diese Kontrolle. Der Agent fordert zwar den hinterlegten Commit an, prüft anschließend aber nicht zuverlässig, ob tatsächlich dieser Code ausgecheckt wurde. Ein Angreifer mit Kontrolle über das Plugin-Repository kann deshalb Schadcode ausliefern, während das Pinning nach außen weiterhin korrekt erscheint.
Sinngemäß erklären die Forscher: Der Agent fordert den festgelegten Commit an, kontrolliert aber nicht, ob er dort tatsächlich angekommen ist. Dadurch kann ein manipuliertes Repository bösartigen Code ausliefern, obwohl die Prüfsumme scheinbar eingehalten wird.
Automatische Plugin-Updates machen daraus einen Zero-Click-Angriff. Bei Claude Code und Codex werden installierte Plugins standardmäßig automatisch aktualisiert. Wird der Inhalt im kontrollierten Repository ausgetauscht, kann die schädliche Version ohne weitere Interaktion auf den Rechner gelangen.
Zwei mögliche Angriffspfade
Ein Angreifer kann zunächst ein unauffälliges Plugin veröffentlichen und die Prüfung eines Marktplatzes durchlaufen. Nach der Installation wird der ursprünglich harmlose Inhalt durch Schadcode ersetzt. Die zweite Variante ist die Übernahme des Repositorys eines etablierten Plugin-Entwicklers.
Dieses Muster ähnelt klassischen Angriffen auf Paketquellen. Dass auch KI-Agenten selbst für solche Angriffe eingesetzt werden können, zeigte bereits die gemeldete Attacke auf RubyGems durch OpenAI-Agenten. Plugin4Shell dreht das Szenario um und nutzt nun die Erweiterungsmechanik der Agenten als Verteilungsweg.
Patch-Status der betroffenen Werkzeuge
Air meldete die Schwachstelle im Juni 2026 an die vier Anbieter. Anthropic und OpenAI haben korrigierte Versionen veröffentlicht. Bei den Werkzeugen von Google und Microsoft bleibt die Lage differenzierter.
| Werkzeug | Status | Maßnahme |
|---|---|---|
| Anthropic Claude Code | Behoben | Update auf Version 2.1.179 |
| OpenAI Codex | Behoben | Update auf Version 0.146.0 |
| Google Gemini CLI | Kein Patch vorgesehen | Google empfiehlt die Migration auf Antigravity |
| Microsoft Copilot | Kein bestätigter Patch | Ein Termin für eine Fehlerbehebung ist nicht bekannt |
| GitHub Copilot | Status umstritten | GitHub verweist auf Schutzmaßnahmen bei Branch- und Tag-Namen |
Google stuft Gemini CLI als veraltet ein und will das Werkzeug nicht mehr korrigieren. Stattdessen empfiehlt das Unternehmen den Wechsel auf die neuere Entwicklungsumgebung Antigravity, die gegen diesen Angriff geschützt sein soll.
GitHub sieht seine Plattform durch interne Namensregeln abgesichert. Nutzer können dort keine Branches oder Tags anlegen, deren Namen Commit-SHAs ähneln. Die Forscher halten diesen Schutz jedoch nicht für ausreichend, weil Copilot auch Marktplätze und Repositorys auf externen Plattformen wie Bitbucket unterstützt.
Wann oder ob Microsoft einen offiziellen Software-Patch bereitstellt, ist bislang nicht bestätigt. Ebenso gibt es keine belastbaren Angaben dazu, ob Plugin4Shell bereits für reale Angriffe verwendet wurde.
Unternehmen müssen Agentenberechtigungen begrenzen
Microsoft zufolge nutzen fast 90 % der Fortune-500-Unternehmen Copilot. Diese Zahl lässt sich nicht direkt auf den DACH-Raum übertragen. Sie zeigt aber, wie groß die potenzielle Reichweite eines Fehlers in zentral verteilten Coding-Agenten sein kann.
In Entwicklungsabteilungen besitzen solche Werkzeuge häufig Zugriff auf Git-Repositorys, Build-Systeme, Cloud-Konten oder interne Wissensbestände. Eine erfolgreiche Kompromittierung bleibt deshalb nicht auf den lokalen Arbeitsplatz beschränkt. Entscheidend ist, welche Rechte der Agent und seine Plugins im Unternehmensnetz tatsächlich haben.
Der Vorfall unterstreicht, warum feingranulare Rechtemodelle für KI-Werkzeuge notwendig sind. Plugins sollten nicht automatisch dieselben Berechtigungen wie der Hauptprozess erhalten. Zugangsdaten gehören zudem nicht dauerhaft in Umgebungen, in denen ungeprüfte Erweiterungen Code ausführen können.
Die Forscher formulieren die Konsequenz sinngemäß klar: Die vollständige Behebung muss im Agenten selbst erfolgen. Wo ein Patch existiert, ist das Update die einzige vollständige technische Abhilfe.
Automatische Marktplätze erhöhen die Abhängigkeit
Proprietäre Agentenplattformen verbinden Modell, Plugin-Marktplatz und automatische Aktualisierung zu einer schwer kontrollierbaren Lieferkette. Für Unternehmen reduziert das zwar den Betriebsaufwand, zugleich entsteht eine starke Abhängigkeit von den Prüfprozessen und Reaktionszeiten des Anbieters.
Lokale oder selbst betriebene Coding-Workflows bieten mehr Kontrolle, sind aber nicht automatisch sicher. Vorteile entstehen erst, wenn Plugin-Versionen eingefroren, Abhängigkeiten geprüft und Agenten in isolierten Umgebungen ausgeführt werden. Dass selbst Sandbox-Grenzen sorgfältig geprüft werden müssen, zeigt der Fall, bei dem OpenAI-Agenten eine Sandbox umgehen konnten.
Als kurzfristige Maßnahme sollten Unternehmen die eingesetzten Versionen inventarisieren und Claude Code sowie Codex aktualisieren. Veraltete Gemini-CLI-Installationen sollten aus produktiven Umgebungen entfernt oder migriert werden. Bei Copilot ist es sinnvoll, externe Plugin-Quellen, automatische Aktualisierungen und die erreichbaren Repositorys besonders restriktiv zu behandeln, bis eine bestätigte Fehlerbehebung vorliegt.