Plugin4Shell: zero-click уразливість в оновленнях плагінів AI-агентів

Plugin4Shell — так дослідники Air назвали повідомлену критичну zero-click уразливість віддаленого виконання коду (RCE) у механізмах роботи з плагінами популярних AI-агентів для програмування. Йдеться не про помилку в самій мовній моделі, а про ризик у ланцюгу постачання програмного забезпечення: зловмисник може перетворити плагін, якому розробник уже довіряє, на канал запуску шкідливого коду на його комп’ютері. 23

Як обходиться SHA-пінінг

Маркетплейси плагінів часто прив’язують конкретну редакцію плагіна до SHA-хешу Git-коміту. За правильної реалізації така прив’язка має гарантувати незмінність: агент повинен отримати саме вказану ревізію та перевірити, що завантажені файли відповідають очікуваному SHA.

У звіті Air стверджується, що проблема виникала після checkout. Агент виконував checkout коміту, зазначеного маркетплейсом, але не перевіряв, чи файли, фактично отримані на диску, справді відповідають цьому закріпленому коміту. Зловмисник, який контролює репозиторій плагіна, міг спрямувати checkout на шкідливий код, тоді як агент усе одно вважав плагін зафіксованим і довіреним. 2

Різниця принципова: хеш захищає лише тоді, коли застосунок незалежно звіряє отриманий артефакт із незмінним значенням, яке мав завантажити. Наявність SHA у метаданих маркетплейсу сама по собі не захищає користувача, якщо немає перевірки після checkout.

Чому атаку називають zero-click

Під час компрометації розробникові не потрібно підтверджувати нове встановлення. Якщо легітимний плагін уже був установлений, його автоматичне оновлення може завантажити й виконати заміну, контрольовану атакувальником, без нового запиту, кліку чи перевстановлення. 26

Початкова точка атаки розташована вище за користувача — у довіреному репозиторії плагіна або пов’язаному шляху публікації. Тому це радше ризик ланцюга постачання, а не ситуація, коли людина свідомо встановила очевидно небезпечне розширення.

До чого може дістатися зловмисник

Виконання коду в середовищі розробки може дати атакувальнику практично той самий рівень доступу, що й обліковий запис працівника та процес агента. За повідомленнями про розкриття, це може означати доступ до корпоративних систем і даних, доступних співробітникові, який запускає агента. 34

На практиці під ризиком можуть бути локальний вихідний код, репозиторії, інструменти збирання, змінні середовища та облікові дані, доступні в сесії розробника. Якщо ці дані дають доступ до хмарних акаунтів, систем контролю версій, CI/CD або підключених інструментів, скомпрометована робоча станція може стати плацдармом для ширшого проникнення. Реальний масштаб залежить від прав і секретів, доступних агенту та обліковому запису користувача. 34

Який статус виправлень повідомляли постачальники

Air заявила, що Plugin4Shell стосується Claude Code, OpenAI Codex, Copilot і Gemini CLI. 2

• Anthropic Claude Code: Air і подальші публікації назвали версію Claude Code 2.1.179 такою, що містить виправлення. 12
• OpenAI Codex: повідомлялося, що виправлення включено до Codex 0.146.0. 12
• Google Gemini CLI: у публікаціях уражений шлях Gemini CLI описано як застарілий; Google, за цими даними, не планує виправляти цей legacy-шлях. Користувачам радять перейти з нього, а не чекати патчу. 13
• Microsoft і GitHub Copilot: Air включила Copilot до переліку уражених агентів, однак публічні описи не дають єдиного беззаперечного висновку щодо усунення проблеми. Організаціям варто перевіряти конкретний продукт Copilot, канал розширень, налаштування оновлень і централізовані політики, а не переносити висновки щодо одного сценарію на всі розгортання. 234

Це динамічне розкриття, а статуси постачальників можуть змінюватися. Перш ніж вважати інсталяцію захищеною, команда має перевірити версію та актуальні бюлетені саме для агента, який використовує.

Як зменшити ризик

Перший крок — оновитися до версії, про яку повідомлялося як про виправлену. Ширший висновок: плагіни для AI-агентів програмування слід розглядати як стороннє виконуване ПЗ, що має доступ до привілейованого середовища розробки.

Рекомендовані заходи:

• Обмежити автоматичні оновлення плагінів і розширень. Зміни коду, який агент установлюватиме або виконуватиме, мають проходити перевірку.
• Дозволяти лише потрібні плагіни, видавців і незмінні версії. Це скорочує кількість залежностей у ланцюгу постачання, яким довіряє середовище розробки.
• Перевіряти артефакт після завантаження. Потрібно примусово звіряти код на диску зі схваленим закріпленим комітом або ідентичністю артефакту й переривати операцію у разі невідповідності. 28
• Посилити контроль походження. Політика схвалення має прив’язуватися до довіреного видавця та незмінного артефакту або версії, а не лише до змінної поведінки каналу оновлень.
• Застосовувати принцип найменших привілеїв. Не надавати агентському процесу широкий доступ до production-систем або довгострокові облікові дані без реальної потреби; за можливості ізолювати чи пісочити виконання агентів.
• Перевірити доступ до секретів. Якщо уражений агент або плагін міг запускатися на пристрої розробника, варто відкликати чи ротуати відповідні облікові дані та проаналізувати журнали доступу. Потенційний радіус ураження визначається доступами цього пристрою. 34

Чому це важливо не лише як одна помилка

Plugin4Shell показує, як AI-агенти можуть посилювати давно відомі проблеми безпеки. Такі інструменти дедалі частіше працюють поруч із репозиторіями, хмарними утилітами, токенами та процесами розгортання. Отже, компрометація шляху оновлення може відкрити шлях до викрадення облікових даних або доступу до вихідного коду й інфраструктури. 34

Ця проблема не замінює ризик prompt injection, а доповнює його. Шкідливий репозиторій, issue, документ або відповідь інструмента може намагатися переконати агента виконати небезпечну дію. Plugin4Shell відрізняється тим, що описана слабкість шляху оновлення здатна запускати шкідливий код без нової інструкції чи підтвердження від користувача. Обидва ризики стають серйознішими, коли агент має доступ до інструментів і суттєві дозволи.

Головний висновок простий: AI-агента для програмування треба адмініструвати як привілейовану точку автоматизації, а не як звичайне розширення редактора. Оновлюйте його без зволікань, обмежуйте, що він може встановлювати й до чого має доступ, та перевіряйте точний код, який потрапляє в середовище розробника.