Plugin4Shell: Saat Update Plugin Agen Coding AI Bisa Menjalankan Kode Berbahaya

Plugin4Shell adalah nama yang diberikan Air Security untuk kerentanan remote code execution (RCE) zero-click dengan tingkat keparahan tinggi yang dilaporkan pada penanganan plugin di sejumlah agen coding AI besar. Ini bukan kelemahan pada model AI-nya, melainkan masalah rantai pasok perangkat lunak: plugin yang sudah dipercaya pengembang dapat diubah menjadi sarana untuk menjalankan kode berbahaya di komputer pengembang. 23

Bagaimana bypass SHA-pinning terjadi

Marketplace plugin umumnya memakai SHA commit Git untuk mengidentifikasi revisi sebuah plugin. Secara teori, pinning ke commit tertentu membuat kode yang diharapkan bersifat tetap: agen harus mengambil revisi persis tersebut dan memverifikasi hasilnya terhadap SHA yang ditetapkan.

Menurut laporan Air, masalah terjadi setelah proses checkout. Agen melakukan checkout pada commit yang tercantum di marketplace, tetapi tidak memeriksa apakah berkas yang benar-benar diperoleh memang sesuai dengan commit yang dipin. Penyerang yang dapat mengendalikan repositori plugin bisa membuat proses checkout mengarah ke kode berbahaya, sementara agen tetap menganggap plugin tersebut telah dipin dan tepercaya. 2

Intinya, hash hanya berguna bila aplikasi memverifikasi secara mandiri artefak yang diterima terhadap nilai immutable yang semestinya diambil. Memiliki nilai pin di metadata marketplace saja tidak cukup jika verifikasi setelah checkout tidak dilakukan.

Mengapa disebut “zero-click”

Pengembang tidak perlu menyetujui instalasi baru ketika kompromi terjadi. Jika plugin yang sah sudah terpasang sebelumnya, update otomatis dapat mengambil dan menjalankan pengganti yang dikendalikan penyerang tanpa prompt, klik, maupun pemasangan ulang. 26

Titik masuk awalnya berada di hulu, yakni pengambilalihan repositori plugin tepercaya atau jalur penerbitan terkait—bukan karena pengguna sengaja memasang ekstensi yang tampak mencurigakan. Karena itu, Plugin4Shell lebih tepat dipahami sebagai risiko rantai pasok perangkat lunak.

Akses apa yang berisiko setelah kode dieksekusi?

RCE pada lingkungan pengembangan dapat memberi penyerang jangkauan efektif yang sama dengan akun pengguna dan proses agen yang sedang berjalan. Menurut pelaporan mengenai pengungkapan ini, jangkauan tersebut dapat mencakup sistem dan data perusahaan yang dapat diakses oleh karyawan pengguna agen. 34

Secara praktis, dampaknya dapat meliputi file kode sumber lokal, repositori, alat build, variabel lingkungan, serta kredensial yang tersedia dalam sesi pengembang. Bila kredensial tersebut membuka akses ke akun cloud, layanan kontrol versi, sistem CI/CD, atau alat yang terhubung, komputer kerja yang terkompromi dapat menjadi pijakan untuk akses lebih luas ke organisasi. Namun, besarnya dampak tetap bergantung pada izin dan rahasia yang benar-benar tersedia bagi agen serta akun pengguna. 34

Status vendor yang dilaporkan

Air melaporkan Plugin4Shell pada Claude Code, OpenAI Codex, Copilot, dan Gemini CLI. 2

• Anthropic Claude Code: Air dan pelaporan lanjutan menyebut Claude Code 2.1.179 telah memuat perbaikan. 12
• OpenAI Codex: Codex 0.146.0 dilaporkan telah memuat perbaikan. 12
• Google Gemini CLI: jalur Gemini CLI yang terdampak dilaporkan sudah deprecated. Google disebut tidak akan memperbaiki jalur lama tersebut; pengguna sebaiknya bermigrasi, bukan menunggu patch. 13
• Microsoft dan GitHub Copilot: Air memasukkan Copilot dalam klaim agen yang terdampak. Namun, uraian publik belum menghasilkan satu kesimpulan remediasi yang tidak diperdebatkan. Organisasi perlu mengevaluasi produk Copilot yang spesifik, kanal ekstensi, konfigurasi update, serta kontrol terpusat yang digunakan—jangan menganggap klaim pada satu jalur berlaku untuk seluruh implementasi. 234

Karena pengungkapan ini masih berkembang dan status vendor dapat berubah, tim keamanan perlu memeriksa versi serta advisori resmi untuk agen spesifik yang mereka gunakan sebelum menyatakan instalasi sudah aman.

Langkah untuk mengurangi risiko

Memperbarui ke versi yang dilaporkan telah diperbaiki adalah langkah awal. Pelajaran yang lebih luas: perlakukan plugin agen coding sebagai perangkat lunak pihak ketiga yang dapat dieksekusi dan memiliki akses ke lingkungan pengembangan bernilai tinggi.

Kontrol yang disarankan antara lain:

• Batasi update plugin dan ekstensi otomatis. Terapkan peninjauan untuk setiap perubahan kode yang akan dipasang atau dijalankan oleh agen.
• Gunakan allowlist untuk plugin, penerbit, dan versi immutable yang benar-benar dibutuhkan. Kurangi jumlah hubungan rantai pasok yang dipercaya oleh lingkungan pengembangan.
• Verifikasi artefak setelah diambil. Pastikan kode yang ada di disk cocok dengan commit atau identitas artefak yang sudah disetujui dan dipin; batalkan proses bila tidak cocok. 28
• Terapkan kontrol provenance yang lebih kuat. Kebijakan persetujuan harus mengikat penerbit tepercaya dengan artefak atau versi immutable, bukan sekadar mengandalkan perilaku kanal update yang dapat berubah.
• Terapkan prinsip hak akses minimum. Jangan memberi proses agen akses produksi yang luas atau kredensial jangka panjang kecuali diperlukan. Isolasi atau sandbox eksekusi agen bila memungkinkan.
• Tinjau paparan secret. Jika agen atau plugin terdampak mungkin pernah berjalan di endpoint pengembang, lakukan rotasi kredensial yang relevan dan periksa log akses. Radius dampaknya mengikuti akses yang tersedia di endpoint tersebut. 34

Mengapa Plugin4Shell penting di luar satu bug

Plugin4Shell memperlihatkan bagaimana penggunaan agen AI dapat memperbesar persoalan keamanan yang sebenarnya sudah dikenal. Agen coding kini semakin sering mengambil plugin dan bekerja berdampingan dengan repositori, alat cloud, token, serta alur deployment. Kompromi pada jalur update dapat berubah menjadi jalur pencurian kredensial atau akses ke kode sumber dan infrastruktur. 34

Insiden ini juga melengkapi—bukan menggantikan—kekhawatiran terhadap prompt injection. Repositori, issue, dokumen, atau keluaran alat yang berbahaya dapat mencoba membujuk agen melakukan tindakan tidak aman. Plugin4Shell berbeda: kelemahan pada jalur update yang dilaporkan dapat menjalankan kode berbahaya tanpa menunggu instruksi baru atau persetujuan pengguna. Kedua risiko tersebut makin serius ketika agen dapat memakai alat dan memegang izin yang berarti.

Kesimpulannya sederhana: agen coding AI perlu dikelola sebagai endpoint otomasi berprivilege, bukan sekadar editor dengan fitur tambahan. Perbarui segera, batasi apa yang boleh dipasang dan diakses, serta verifikasi kode persis yang masuk ke lingkungan pengembangan.