Lỗ hổng Plugin4Shell ảnh hưởng bốn tác nhân lập trình AI
"A flaw dubbed Plugin4Shell affects four AI coding agents, allowing repository owners to swap a plugin’s pinned code for malicious code even when the plugin is locked to a reviewed commit hash. Air Security says the issue was fixed in Anthropic Claude Code 2.1.179 and OpenAI Codex 0.146.0, while GitHub Copilot has no patch and Google says Gemini CLI will not be fixed; the flaw can expose files, credentials, and accessible systems through plugin execution."
Ảnh hưởng trực tiếp đến tính toàn vẹn của plugin, có thể dẫn tới rò rỉ dữ liệu và credential; rủi ro tăng nếu dùng kho plugin ngoài GitHub hoặc bật auto-update.
Có thể gây gián đoạn cho quy trình phát triển phần mềm, tăng nguy cơ lộ mã nguồn và tài khoản truy cập, đồng thời phát sinh nhu cầu nâng cấp hoặc thay đổi công cụ.
Một lỗ hổng được đặt tên Plugin4Shell ảnh hưởng đến 4 AI coding agents phổ biến, cho phép chủ sở hữu kho mã của plugin thay thế mã đã được ghim bằng mã độc, ngay cả khi plugin đã bị khóa theo commit hash đã rà soát. Theo Air Security, tác động chính là plugin có thể chạy với cùng quyền như người dùng, từ đó truy cập tệp nội bộ, thông tin xác thực và các hệ thống có thể đăng nhập.
Air cho biết lỗ hổng đã được khắc phục trong Anthropic Claude Code 2.1.179 và OpenAI Codex 0.146.0. Ngược lại, GitHub Copilot hiện chưa có bản vá, còn Gemini CLI sẽ không được sửa do sản phẩm này đang được Google chuyển hướng sang Antigravity.
Cơ chế tấn công dựa trên việc công cụ kiểm tra mã ghim ở phía máy người dùng nhưng không xác minh chặt chẽ rằng mã tải về có đúng với commit đã khóa hay không. Với một số máy chủ git cho phép đặt tên nhánh/tags giống commit hash, kẻ kiểm soát repository có thể khiến agent cài đặt một phiên bản khác mà vẫn báo là bản đã ghim.
Khuyến nghị: cập nhật ngay lên phiên bản đã vá nếu đang dùng Claude Code hoặc Codex; hạn chế cài plugin từ kho bên thứ ba; rà soát quyền truy cập của agent và cân nhắc vô hiệu hóa auto-update nếu không cần thiết.