Plugin4Shell：SHA 固定被绕过，AI 编程代理插件更新可被零点击劫持

Plugin4Shell 是 Air Security 对一项高危、零点击远程代码执行（RCE）漏洞的命名。该漏洞涉及主流 AI 编程代理的插件处理机制，并非底层大语言模型本身存在缺陷，而是一类软件供应链问题：攻击者可将开发者原本信任的插件变成在其电脑上执行恶意代码的入口。23

SHA 固定为何仍会被绕过？

插件市场通常用 Git 提交 SHA 来标识某个插件版本。按设计，固定到某一提交后，代理应获取这一精确版本，并确认最终拿到的代码确实对应预期 SHA；这样，目标代码应是不可变的。

Air 的报告指出，问题出在检出（checkout）之后：代理虽检出了市场指定的提交，却没有验证最终获取到的文件是否真的对应被固定的提交。如果攻击者能够控制插件仓库，就可能让检出操作最终解析为恶意代码，而代理仍将其当作“已固定、可信”的插件。2

关键在于：哈希只有在应用程序独立核对“实际拿到的制品”与“原本要获取的不可变值”时才有安全意义。市场元数据里带有固定值，并不能替代检出后的完整性验证。

为什么称为“零点击”？

开发者在遭到入侵的当下，无需批准一次新的安装。只要此前已经安装过合法插件，自动更新就可能拉取并执行攻击者控制的替代代码，无需新的弹窗确认、点击或重新安装。26

攻击者的初始切入点因此位于开发者上游：例如对受信任插件仓库或相关发布链路取得控制权。这也是为什么它应被视为供应链风险，而不是“用户主动安装了明显不安全扩展”的问题。

代码执行后，攻击者可能触及什么？

在开发环境中获得远程代码执行权限，通常意味着攻击者可以取得与运行该代理的用户及代理进程相近的访问范围。相关报道指出，这可能包括该员工能访问的企业系统与数据。34

实际暴露面可能涵盖本地源代码、代码仓库、构建工具、环境变量，以及开发者会话中可用的凭据。如果这些凭据可以访问云账号、源代码托管服务、CI/CD 系统或已连接工具，一台被攻陷的工作站就可能成为进一步进入企业环境的跳板。当然，具体影响仍取决于代理和用户账号实际拥有的权限，以及其可访问的密钥。34

已披露的厂商状态

Air 将 Plugin4Shell 报告为涉及 Claude Code、OpenAI Codex、Copilot 和 Gemini CLI 的问题。2

• **Anthropic Claude Code：**Air 及后续报道将 Claude Code 2.1.179 列为包含修复的版本。12
• **OpenAI Codex：**Codex 0.146.0 被报道为包含修复。12
• **Google Gemini CLI：**报道将受影响的 Gemini CLI 路径描述为已弃用，且称 Google 不会为该旧路径提供修复；用户应迁离该路径，而非等待补丁。13
• **Microsoft 与 GitHub Copilot：**Air 将 Copilot 纳入受影响代理的说法中，但公开材料尚未给出一个不存在争议的统一补救结论。企业不应假定某一条关于 Copilot 的结论适用于全部部署，而应核查所使用的具体 Copilot 产品、扩展渠道、更新配置及集中执行的管控措施。234

这是快速发展的漏洞披露事件，厂商状态可能变化。团队在认定某套安装已完成修复前，应核实自身运行的具体代理版本及对应安全公告。

如何降低风险？

首先应升级至被报告为已修复的版本。更广泛的教训是：应把 AI 编程代理的插件当作可在高权限开发环境中执行的第三方软件来管理。

建议采取以下控制措施：

• 限制插件与扩展的自动更新。 对代理将安装或执行的代码变更实施审查。
• 只允许必要的插件、发布者和不可变版本。 尽量减少开发环境所信任的供应链关系。
• 在获取后验证制品。 强制校验落盘代码是否与获批准、被固定的提交或制品标识一致；不一致则中止。28
• 采用更强的来源追溯控制。 审批策略应绑定可信发布者与不可变制品或版本，而非仅依赖可变的更新渠道行为。
• 落实最小权限。 除非确有必要，不要让代理进程持有广泛的生产环境访问权或长期有效凭据；在可行情况下隔离或沙箱化代理执行环境。
• 复核密钥暴露情况。 若受影响代理或插件可能已在开发者终端执行，应轮换相关凭据并调查访问日志。潜在影响范围取决于该终端可获得的访问权限。34

Plugin4Shell 为何不只是一个单点漏洞？

Plugin4Shell 表明，AI 代理的部署会放大传统安全问题。编程代理越来越多地获取插件，并与代码仓库、云工具、令牌和部署流程共处；更新链路一旦遭到攻破，就可能成为窃取凭据、访问源代码或进入基础设施的通道。34

它也与提示词注入风险并存，而不是相互替代。恶意代码仓库、议题、文档或工具输出，可能诱导代理执行不安全操作；Plugin4Shell 则不同：所披露的更新链路缺陷可能无需等待新的指令或用户批准，即可执行恶意代码。当代理能够调用工具且拥有实质性权限时，这两类风险都会更严重。

安全结论很直接：应把 AI 编程代理视为一个拥有权限的自动化终端来管理——及时更新，限制其可安装和可访问的内容，并验证进入开发环境的每一份代码。