The Pulse

Plugin4Shell aggira il vincolo al SHA in quattro agenti di coding IA

Plugin4Shell consente l’esecuzione di codice da remoto senza alcun clic, aggirando il vincolo al SHA dei plugin in Claude Code, Codex, GitHub Copilot e Gemini CLI, secondo AIR Security.

AI.info Team · Scritto con l’IA · verificato · 2026-09-19

Una falla colpisce quattro agenti di coding

Quattro importanti agenti di coding IA condividono una falla che consente l’esecuzione di codice da remoto senza alcun clic e che può aggirare il vincolo al SHA pensato per mantenere i plugin installati legati al codice verificato, secondo AIR Security. La vulnerabilità, chiamata Plugin4Shell, colpisce Claude Code di Anthropic, Codex di OpenAI, GitHub Copilot e Gemini CLI di Google.

«Plugin4Shell è una vulnerabilità RCE di gravità elevata e senza clic che colpisce tutti e quattro i principali agenti di coding IA: Claude Code, Codex, Copilot e Gemini». — I ricercatori di AIR Security Or Nevo, Dor Granat e Niv Hoffman

La falla permette di sostituire silenziosamente un plugin affidabile con codice malevolo e di installarlo senza alcuna interazione da parte dell’utente, afferma AIR Security. Poiché questi agenti possono operare con i permessi dello sviluppatore che li esegue, un plugin compromesso può ottenere accesso a file locali, credenziali, sistemi interni e ambienti di produzione.

La società ha segnalato il problema a tutti e quattro i fornitori nel giugno 2026, dopo aver sviluppato a maggio una proof of concept funzionante per ciascun agente. AIR Security ha pubblicato i risultati il 17 settembre 2026.

Come Plugin4Shell aggira un commit verificato

I marketplace dei plugin usano gli hash dei commit, spesso chiamati SHA, per identificare la versione esatta di un plugin che è stata verificata. Il meccanismo serve a impedire che il proprietario di un repository o un attaccante modifichi il codice dopo l’approvazione, inducendo l’agente a scaricare una versione diversa.

AIR Security ha rilevato che gli agenti interessati risolvono lo SHA richiesto nell’ambito dell’operazione Git locale, ma non verificano che l’albero di lavoro risultante corrisponda effettivamente al commit vincolato. In determinate configurazioni del repository, Git può interpretare un valore richiesto che ha la forma di un commit come il nome di un branch. Un attaccante che controlla il repository del plugin può sfruttare questo comportamento per far recuperare all’agente un commit diverso da quello registrato dal marketplace.

Il problema risiede negli agenti, non nei marketplace stessi. Un marketplace non può imporre la verifica mancante dopo che l’agente ha iniziato a risolvere il plugin: secondo AIR Security, la soluzione completa richiede quindi un aggiornamento lato agente.

Claude Code e Codex hanno ricevuto patch

Anthropic ha corretto Claude Code nella versione 2.1.179 dopo la segnalazione di AIR Security. OpenAI ha corretto Codex nella versione 0.146.0, per la quale AIR Security afferma di aver verificato la presenza della patch il 12 agosto 2026.

Gli utenti di questi strumenti devono aggiornare alle versioni corrette o a quelle successive. La segnalazione descrive la vulnerabilità come zero-click perché l’installazione e gli aggiornamenti dei plugin possono avvenire automaticamente, eliminando il passaggio di approvazione che potrebbe altrimenti rivelare una modifica al pacchetto.

Copilot resta senza correzione

AIR Security afferma di aver segnalato la stessa falla a Microsoft, che però non ha distribuito una correzione per GitHub Copilot. La segnalazione della società lascia quindi gli utenti di Copilot senza una patch lato agente per il problema descritto.

La distinzione è importante perché modificare il comportamento del marketplace non può correggere un client già vulnerabile. Un marketplace potrebbe ridurre una versione dell’attacco limitando i repository che accettano nomi di branch con la forma di SHA, afferma AIR Security, ma questo approccio limiterebbe il supporto per repository che gli agenti consentono ufficialmente e non risolverebbe la variante che interessa Gemini CLI.

Google ritirerà Gemini CLI

Google ha dichiarato obsoleto Gemini CLI e ha comunicato ad AIR Security che non rilascerà una patch. Secondo la società, tutte le installazioni esistenti restano vulnerabili alla falla segnalata.

AIR Security consiglia agli utenti di Gemini CLI di migrare invece ad Antigravity di Google. Secondo la segnalazione, Antigravity non è interessato perché non usa il meccanismo di vincolo al SHA dei plugin del marketplace preso di mira da Plugin4Shell.

Il rischio deriva dai permessi ereditati

Gli agenti di coding IA operano spesso con le stesse possibilità di accesso effettive dello sviluppatore che li usa. I plugin ereditano tali permessi, quindi un componente aggiuntivo malevolo non ha bisogno di individuare un’altra falla per l’escalation dei privilegi prima di leggere file sensibili, accedere ai sistemi di sviluppo o eseguire comandi.

AIR Security descrive Plugin4Shell come la prima vulnerabilità della supply chain diretta al livello di distribuzione dell’ecosistema degli agenti IA, anziché a un modello o all’implementazione di un singolo agente. L’errore di progettazione condiviso fa sì che un problema legato al controllo di un repository possa colpire contemporaneamente gli utenti di diversi prodotti concorrenti.

Le possibilità di porre rimedio nell’immediato non sono uniformi: Claude Code e Codex hanno versioni corrette, Copilot non ha una patch e Gemini CLI viene ritirato senza averne ricevuta una. Le organizzazioni che usano uno qualsiasi dei quattro agenti devono quindi identificare i plugin installati, aggiornare i prodotti per i quali è stata rilasciata una patch e rimuovere o sostituire le installazioni vulnerabili di Gemini CLI.