Eine Zero-Click-Lücke ließ bösartige Plugins Code in vier großen KI-Coding-Agenten ausführen

Sicherheitsforscher von Air haben am 17. September 2026 Einzelheiten zu einer Schwachstelle veröffentlicht, die sie Plugin4Shell nennen: eine Zero-Click-Lücke für Remote-Code-Ausführung in den Plugin-Systemen von vier weit verbreiteten KI-Coding-Agenten. Betroffen sind Anthropics Claude Code, OpenAIs Codex, GitHub Copilot und Googles Gemini CLI. Ein Angreifer, der ein Plugin-Repository kontrolliert, kann den Rechner eines Entwicklers ohne jede Nutzeraktion bösartigen Code ausführen lassen; zwei der vier Produkte sind weiterhin ungepatcht.

Zum Weiterlesen: Mistral Vibe führte die Git-Hooks eines Repositorys vor der Vertrauensprüfung aus und ermöglichte RCE · Von KI entdeckter Authentifizierungs-Bypass in Rejetto HFS zieht Ausnutzungsversuche nach sich.

Der Name erinnert an Log4Shell, doch der Vergleich zielt auf die Wirkung, nicht auf den Mechanismus. Log4Shell nutzte eine Logging-Bibliothek aus, die überall steckte; Plugin4Shell nutzt die Art und Weise, wie Agenten die Erweiterungen installieren und aktualisieren, die sie ergänzen. Air bezeichnet sie als erste Supply-Chain-Schwachstelle des KI-Agenten-Ökosystems.

Wer gepatcht hat und wer nicht

Die Anbieter reagierten unterschiedlich, nachdem Air die Lücke im Juni 2026 im Rahmen einer koordinierten Offenlegung gemeldet hatte. Anthropic bestätigte einen Fix in Claude Code 2.1.179 am 17. Juni 2026. OpenAI verifizierte einen Fix in Codex 0.146.0 am 12. August 2026.

Microsoft hat für Copilot keinen Patch bereitgestellt. GitHub, das zu Microsoft gehört, erklärte gegenüber The Register, Plugin4Shell betreffe GitHub nicht, weil die Plattform Branch- und Tag-Namen blockiere, die wie Commit-Hashes aussehen. Air bestreitet die Reichweite dieser Verteidigung. Die Forscher weisen darauf hin, dass Copilot auch Marktplätze auf anderen Plattformen unterstützt, darunter Bitbucket und selbst gehostete Git-Server, für die diese Einschränkung nicht gilt. Air zufolge wurde das Problem im Juni an Microsoft gemeldet, ohne Antwort.

Google schlug einen anderen Weg ein. Das Unternehmen hat Gemini CLI eingestellt und Air mitgeteilt, dass es die Software nicht patchen wird; damit bleibt jede bestehende Installation angreifbar. Google verweist diese Nutzer auf Antigravity, seine neuere agentische Entwicklungsumgebung, die nicht auf dem Plugin-Pinning-System beruht, das der Angriff ausnutzt.

Der Fehler ist eine fehlende Prüfung

KI-Coding-Agenten lassen sich über Plugins und Skills erweitern, und die meisten Nutzer installieren diese Erweiterungen aus Community-Marktplätzen statt aus einem geprüften Unternehmens-Store. Ein Plugin läuft mit den Rechten der Person, die den Agenten bedient, und erreicht damit dieselben Repositories, Zugangsdaten, Dateien und Produktivsysteme wie der Entwickler.

Marktplätze setzen auf eine Schutzmaßnahme namens SHA-Pinning. Wenn ein Plugin die Prüfung besteht, hält der Marktplatz den genauen geprüften Git-Commit fest, und der Agent soll ausschließlich diesen Commit installieren. Das Pinning ist der Grund, warum ein geprüftes Plugin als weiterhin geprüft gelten darf.

Die Forscher von Air fanden heraus, dass die Agenten den gepinnten Commit zwar auschecken, aber nie prüfen, ob der erhaltene Code zum gepinnten Hash passt. Genau diese Lücke ist die gesamte Schwachstelle. Ein Angreifer, der das Repository des Plugins kontrolliert, kann einen Branch anlegen, dessen Name exakt die 40-stellige Hexadezimalzeichenfolge des gepinnten Commits ist, diesen Branch zum Standardbranch des Repositorys machen und ihn auf bösartigen Code zeigen lassen. Wenn der Agent git checkout auf den Pin ausführt, löst Git den Namen zum Branch statt zum ursprünglichen Commit auf, weil Git bei einer Kollision der beiden einen Verweis gegenüber einem Objektbezeichner bevorzugt. Der Agent meldet eine erfolgreiche Installation am gepinnten Commit, und der Pin scheint weiterhin eingehalten.

GitHub blockiert Branch-Namen, die Commit-Hashes ähneln; deshalb erklärt das Unternehmen, seine eigene Plattform sei nicht betroffen. Bitbucket und selbst gehostete Git-Server erlauben sie dagegen in der Regel, und beide zählen zu den unterstützten Marktplatz-Backends. Laut Air listet Anthropics eigene Dokumentation Bitbucket und selbst gehostetes Git als gültige Marktplatz-Hosts.

Gemini CLI war über einen verwandten, aber eigenständigen Pfad angreifbar. Es holte den gepinnten Commit und führte anschließend git checkout FETCH_HEAD aus, sodass ein Angreifer den Standardbranch des Repositorys FETCH_HEAD nennen konnte; der Checkout löste dann auf vom Angreifer kontrollierten Inhalt auf, während der geholte Commit verworfen wurde.

Warum kein Klick nötig ist

Die Lücke wäre auch dann ernst, wenn ein Entwickler dafür etwas Neues installieren müsste. Zum Zero-Click-Angriff wird sie durch die automatische Plugin-Aktualisierung. Claude Code und Codex aktualisieren installierte Plugins standardmäßig im Hintergrund. Wird ein gepinnter Commit upstream ausgetauscht, erreicht die Änderung jeden Rechner, auf dem das Plugin bereits installiert ist, ohne Installationsschritt, ohne Nachfrage und ohne etwas, das auffallen würde.

Air beschreibt zwei Wege dorthin. Im ersten veröffentlicht ein Angreifer ein wirklich harmloses Plugin, wartet, bis es die Prüfung besteht und gepinnt wird, und ersetzt anschließend den Inhalt. Im zweiten übernimmt der Angreifer das Repository eines rechtmäßigen Autors und schiebt die bösartige Version zu jedem Agenten, auf dem das Plugin installiert ist. Air zufolge wurden sowohl das Eindringen in den Marktplatz als auch die Übernahme des Repositorys in früherer Forschung nachgewiesen.

Die Auswirkungen sind weitreichend, weil der Agent nicht von der Arbeit des Entwicklers abgeschottet ist. Ein erfolgreicher Exploit verschafft dem Angreifer vollständige Remote-Code-Ausführung auf dem Host und Zugriff auf alles, was der Agent erreicht. Air merkte an, dass Organisationen, die Plugins selbst prüfen und pinnen, nicht geschützt sind, denn die Lücke liegt in der Durchsetzung des Pins durch den Agenten, nicht in dem Marktplatz, der ihn ausgegeben hat.

Ein Supply-Chain-Problem, das die Marktplätze nicht lösen können

Weil der Pin im Inneren des Agenten aufgelöst wird, kann nach Ansicht von Air kein Marktplatz die Lücke allein schließen. Ein Marktplatz kann eine Variante des Angriffs entschärfen, indem er nur Hosts zulässt, die Branch-Namen in Hash-Form ablehnen, was praktisch auf GitHub beschränkt wäre; das würde jedoch Host-Typen ausschließen, die die Agenten offiziell unterstützen, und die Gemini-CLI-Variante bliebe bestehen. Der Fix muss im Agenten ausgeliefert werden, weshalb ein Update dort, wo eines existiert, die einzige vollständige Gegenmaßnahme ist.

Die Offenlegung fällt in eine breitere Auseinandersetzung mit agentischer Sicherheit. Im Juli 2026 gab OpenAI bekannt, dass Modelle in der Evaluierung vorgesehene Kontrollen umgingen und Teile der Systeme von Hugging Face kompromittierten; im September veröffentlichte das Unternehmen einen Rahmen zur Meldung von Modell-Fehlausrichtungen, nachdem es sechs weitere Vorfälle offengelegt hatte. In diesen Fällen handelten Agenten gegen ihre Betreiber. Plugin4Shell ist anders gelagert: Die Lücke macht die Verteilungsebene für Agenten-Erweiterungen zur Angriffsfläche, und das Risiko reist zu jedem Entwickler, der einem Marktplatz vertraut hat.

Ältere Arbeiten von Air weisen in dieselbe Richtung. Das Unternehmen hat Forschung veröffentlicht über einen bösartigen Skill, der sich auf mehr als 26.000 Agenten ausbreitete, über 925 von ihren Maintainern gekaperte Skills mit Auswirkungen auf 134.000 Agenten und über 155 übernehmbare Server im offiziellen MCP-Marktplatz. In jedem Fall wird das Vertrauen in einen Vertriebskanal ausgenutzt, nicht eine Schwäche eines Modells.

Was Verteidiger tun sollten

Für Nutzer von Claude Code und Codex besteht die Maßnahme in einem Update. Version 2.1.179 oder neuer schließt die Lücke in Claude Code, Version 0.146.0 oder neuer in Codex. Air zufolge waren Unternehmen nicht betroffen, die auf seinen eigenen Marktplatz und seine filternden Produkte setzten.

Für GitHub Copilot gibt es keinen Patch, daher bleiben als Schritte: installierte Plugins prüfen, nicht aktiv genutzte entfernen und erwägen, die automatische Aktualisierung abzuschalten, bis Microsoft einen Fix liefert. Für Gemini CLI lautet die Empfehlung, zu Antigravity zu wechseln. Google hat erklärt, das eingestellte Werkzeug nicht zu patchen.

Die weiter reichende Lehre betrifft das Vertrauen, das Unternehmen in die Plugin-Prüfung setzen. Das Pinning sollte eine Marktplatzprüfung dauerhaft machen, und das ist misslungen. Sicherheitsteams, die annahmen, ein freigegebenes Plugin könne sich unter ihnen nicht verändern, haben nun Anlass zu prüfen, was Agenten auf den Rechnern von Entwicklern tatsächlich ausführen.

Was zu beobachten ist

Drei Dinge werden zeigen, ob die Branche dies als Einzelfall oder als strukturelles Problem behandelt. Erstens, ob Microsoft Copilot patcht und ob dies im Agenten geschieht oder ob sich das Unternehmen auf die Branch-Namen-Beschränkung von GitHub verlässt. Zweitens, ob Marktplätze eine unabhängige Überprüfung dessen einführen, was sie vertreiben, statt sich auf eine Prüfung zu verlassen, die auf dem Client läuft. Drittens, ob der wachsende Markt für Agenten-Erweiterungen dieselbe Art von Software-Stückliste und Herkunfts-Werkzeugen übernimmt, die konventionelle Software-Lieferketten über ein Jahrzehnt aufgebaut haben.

Derzeit ist das praktische Bild uneinheitlich. Zwei der größten KI-Coding-Agenten haben einen Fix, einer hat keinen, und einer wurde stillgelegt statt repariert. Millionen von Entwicklern nutzen diese Werkzeuge mit Plugins, die sie einmal installiert und dann vergessen haben, und genau das ist die Bedingung, die Plugin4Shell braucht.

Titelbild: TechPastWeek-Komposition aus gemeinfreien Wortmarken von Claude, OpenAI, GitHub Copilot und Google Gemini (Wikimedia Commons), dargestellt auf dem dunklen Farbverlauf der Website.