Plugin4Shell：零點擊外掛更新漏洞，點樣令 AI 編碼代理中招？

Plugin4Shell 是 Air Security 對一宗高嚴重性、零點擊遠端程式碼執行（RCE）漏洞的命名。漏洞涉及多個主流 AI 編碼代理處理外掛的方式。問題不在底層語言模型，而是軟件供應鏈：攻擊者可把開發者原本信任的外掛，變成在其電腦上執行惡意程式碼的途徑。23

SHA 鎖定點樣被繞過？

外掛市集一般會以 Git commit 的 SHA 雜湊值識別某個外掛修訂版。理論上，鎖定某個 commit，即係指定代理只可以取得該個不可變的版本，並核對下載結果是否符合預期 SHA。

Air 的報告指，受影響的實作在 checkout 完成後出咗問題：代理雖然會 checkout 市集指定的 commit，卻無驗證實際取得的檔案是否真係對應該個已鎖定 commit。如果攻擊者控制到外掛儲存庫，就可能令 checkout 轉而取得惡意程式碼；代理仍會以為該外掛已經鎖定並可信任。2

關鍵在於，雜湊值只有在應用程式會獨立核實「實際收到的成品」是否等於原定不可變值時，先至有保障。市集 metadata 寫咗一個 pin，並不足夠防護；checkout 後漏咗驗證，信任鏈就斷開。

點解叫「零點擊」？

開發者在被入侵當刻，毋須重新批准安裝、按掣，或者手動重裝外掛。只要原本已裝咗合法外掛，自動更新就可能下載並執行攻擊者控制的替代程式碼。26

即係話，最初的突破口不一定在開發者身上，而是在上游：例如受信任外掛的儲存庫或發佈路徑被控制。呢個係供應鏈風險，唔係使用者明知危險仍安裝可疑擴充功能的個案。

成功執行程式碼後，攻擊者可接觸乜？

如果惡意程式碼在開發環境執行，攻擊者可能取得與執行代理的員工及其程序相近的有效存取範圍，包括公司系統與資料。34

實際風險可包括本機原始碼、程式庫、建置工具、環境變數，以及開發者工作階段可用的憑證。若這些憑證可登入雲端帳戶、原始碼管理服務、CI/CD 系統或已連接工具，一部受入侵的工作站就可能成為橫向擴展至企業其他資產的跳板。不過，最終影響仍視乎代理與使用者帳戶實際持有甚麼權限和秘密資料。34

各廠商的已報告狀態

Air 指 Plugin4Shell 涉及 Claude Code、OpenAI Codex、Copilot 及 Gemini CLI。2

• **Anthropic Claude Code：**Air 及後續報道指出，Claude Code 2.1.179 已包含修正。12
• **OpenAI Codex：**Codex 0.146.0 據報已包含修正。12
• **Google Gemini CLI：**報道指受影響的 Gemini CLI 路徑已被棄用，Google 不會修正這條舊路徑；使用者應遷離，而唔係等補丁。13
• **Microsoft 與 GitHub Copilot：**Air 將 Copilot 列為受影響代理之一，但公開資料未有提出一個毫無爭議的統一修正結論。企業不應假設某一條 Copilot 路徑的說法適用於全部部署，應逐一評估正在使用的 Copilot 產品、擴充功能渠道、更新設定及中央管控措施。234

呢類披露發展得快，廠商狀態亦可能改變。團隊應查核自己實際運行的代理版本與官方安全公告，先好視為已完成修正。

點樣減低風險？

升級至據報已修正的版本係第一步。更重要的教訓係：AI 編碼代理的外掛，應被當成可在高權限開發環境執行的第三方軟件去管理。

建議措施包括：

• 限制外掛及擴充功能自動更新。 對代理會安裝或執行的程式碼變更設審核機制。
• 只准許確有需要的外掛、發佈者及不可變版本。 減少開發環境需要信任的供應鏈關係。
• 下載後驗證成品。 強制核對磁碟上的程式碼，是否與已核准、已鎖定的 commit 或成品身分一致；不一致就應中止。28
• 採用更強的來源驗證。 核准政策應綁定可信發佈者及不可變成品／版本，唔好只依賴可變的更新渠道行為。
• 落實最小權限。 除非必要，唔好畀代理程序廣泛的生產環境存取權或長期憑證；可行時應隔離或沙盒化代理執行環境。
• 檢視秘密資料暴露。 若受影響代理或外掛可能曾在開發者端點執行，應輪換相關憑證並調查存取日誌。潛在損害範圍取決於該端點原本可接觸的資源。34

Plugin4Shell 點解唔只係一個漏洞咁簡單？

Plugin4Shell 顯示，AI 代理的部署會放大既有的保安問題。編碼代理愈來愈常下載外掛，亦與原始碼庫、雲端工具、存取 token 和部署流程共存；一個更新路徑被攻破，就可能演變成竊取憑證、盜取原始碼，甚至存取基建的入口。34

它亦同提示注入（prompt injection）風險並存，而非互相取代。惡意程式庫、issue、文件或工具輸出，可能誘導代理做出不安全動作；Plugin4Shell 則不同，報告所述的更新路徑弱點可毋須等待新的指令或使用者批准，就執行惡意程式碼。當代理可以使用工具、又擁有實質權限時，兩類風險都會更嚴重。

重點好直接：把 AI 編碼代理視為一個具權限的自動化端點去管理——及時更新、限制它可安裝和可存取的內容，並驗證每一段進入開發環境的程式碼。