Une faille sans clic laisse des plugins malveillants exécuter du code dans quatre grands agents de codage IA

Des chercheurs en sécurité d'Air ont publié le 17 septembre 2026 les détails d'une vulnérabilité qu'ils nomment Plugin4Shell, une faille d'exécution de code à distance sans clic dans les systèmes de plugins de quatre agents de codage IA très répandus. Les produits touchés sont Claude Code d'Anthropic, Codex d'OpenAI, GitHub Copilot et Gemini CLI de Google. Un attaquant qui contrôle le dépôt d'un plugin peut faire exécuter du code malveillant à la machine d'un développeur sans aucune action de sa part, et deux des quatre produits restent non corrigés.

À lire aussi: Mistral Vibe exécutait les hooks Git d'un dépôt avant les contrôles de confiance, permettant une RCE · Une faille d'authentification de Rejetto HFS trouvée par IA attire des tentatives d'exploitation.

Le nom fait écho à Log4Shell, même si la comparaison porte sur l'impact plutôt que sur le mécanisme. Là où Log4Shell exploitait une bibliothèque de journalisation présente partout, Plugin4Shell exploite la manière dont les agents installent et mettent à jour les modules qui les étendent. Air la présente comme la première vulnérabilité de chaîne d'approvisionnement de l'écosystème des agents IA.

Qui a corrigé et qui ne l'a pas fait

Les éditeurs ont réagi différemment après la divulgation de la faille par Air en juin 2026, dans le cadre d'une divulgation coordonnée. Anthropic a confirmé un correctif dans Claude Code 2.1.179 le 17 juin 2026. OpenAI a vérifié un correctif dans Codex 0.146.0 le 12 août 2026.

Microsoft n'a pas publié de correctif pour Copilot. GitHub, que Microsoft possède, a déclaré à The Register que Plugin4Shell n'affecte pas GitHub, car la plateforme bloque les noms de branches et d'étiquettes qui ressemblent à des hachages de commit. Air conteste la portée de cette défense. Les chercheurs soulignent que Copilot prend en charge des places de marché hébergées sur d'autres plateformes, notamment Bitbucket et des serveurs Git auto-hébergés, qui n'imposent pas la même restriction. Air affirme avoir signalé le problème à Microsoft en juin et n'avoir reçu aucune réponse.

Google a suivi une autre voie. Elle a abandonné Gemini CLI et a indiqué à Air qu'elle ne le corrigerait pas, ce qui laisse chaque installation existante exposée. Google dirige ces utilisateurs vers Antigravity, son environnement de développement agentique plus récent, qui n'utilise pas le système d'épinglage de plugins sur lequel repose l'attaque.

La faille est une vérification manquante

Les agents de codage IA permettent aux utilisateurs de les étendre avec des plugins et des compétences, et la plupart des gens installent ces modules depuis des places de marché communautaires plutôt que depuis un magasin d'entreprise vérifié. Un plugin s'exécute avec les privilèges de la personne qui utilise l'agent, ce qui signifie qu'il peut atteindre les mêmes dépôts, identifiants, fichiers et systèmes de production que le développeur.

Les places de marché utilisent une protection appelée épinglage SHA. Lorsqu'un plugin passe la revue, la place de marché enregistre le commit Git exact qui a été examiné, et l'agent est censé installer ce commit et rien d'autre. L'épinglage est la raison pour laquelle un plugin examiné peut être considéré comme restant examiné.

Les chercheurs d'Air ont constaté que les agents extraient le commit épinglé mais ne vérifient jamais que le code obtenu correspond au hachage épinglé. Cet écart constitue toute la vulnérabilité. Un attaquant qui contrôle le dépôt du plugin peut créer une branche dont le nom est exactement la chaîne hexadécimale de 40 caractères du commit épinglé, faire de cette branche la branche par défaut du dépôt et la pointer vers du code malveillant. Lorsque l'agent exécute git checkout sur l'épingle, Git résout le nom vers la branche plutôt que vers le commit d'origine, car Git préfère une référence à un identifiant d'objet lorsque les deux entrent en collision. L'agent signale une installation réussie au commit épinglé, et l'épingle semble toujours respectée.

GitHub bloque les noms de branches qui ressemblent à des hachages de commit, ce qui explique pourquoi l'entreprise affirme que sa propre plateforme n'est pas affectée. Bitbucket et les serveurs Git auto-hébergés les autorisent généralement, et ce sont des backends de place de marché pris en charge. La documentation d'Anthropic elle-même liste Bitbucket et Git auto-hébergé comme hôtes de place de marché valides, selon Air.

Gemini CLI était vulnérable par un chemin connexe mais distinct. Il récupérait le commit épinglé puis exécutait git checkout FETCH_HEAD, de sorte qu'un attaquant pouvait nommer la branche par défaut du dépôt FETCH_HEAD et faire résoudre l'extraction vers un contenu contrôlé par l'attaquant, tandis que le commit récupéré était écarté.

Pourquoi aucun clic n'est nécessaire

La faille serait grave même si elle exigeait qu'un développeur installe quelque chose de nouveau. Ce qui la rend sans clic, c'est la mise à jour automatique des plugins. Claude Code et Codex mettent à jour les plugins installés en arrière-plan par défaut. Lorsqu'un commit épinglé est remplacé en amont, le changement atteint chaque machine qui a déjà le plugin installé, sans étape d'installation, sans invite et sans rien à remarquer.

Air décrit deux voies vers cette situation. Dans la première, un attaquant publie un plugin réellement bénin, attend qu'il passe la revue et soit épinglé, puis remplace le contenu par la suite. Dans la seconde, l'attaquant détourne le dépôt d'un auteur légitime et pousse la version malveillante vers chaque agent qui a le plugin installé. Air affirme avoir démontré à la fois l'intrusion dans la place de marché et la prise de contrôle de dépôt dans des recherches antérieures.

L'impact est large parce que l'agent n'est pas isolé du travail du développeur. Une exploitation réussie donne à l'attaquant une exécution de code à distance complète sur l'hôte et l'accès à tout ce que l'agent peut atteindre. Air note que les organisations qui examinent les plugins et les épinglent elles-mêmes ne sont pas protégées, car la faille réside dans l'application de l'épingle par l'agent, et non dans la place de marché qui l'a émise.

Un problème de chaîne d'approvisionnement que les places de marché ne peuvent pas résoudre

Comme l'épingle est résolue à l'intérieur de l'agent, Air soutient qu'aucune place de marché ne peut combler l'écart seule. Une place de marché peut réduire une variante de l'attaque en n'autorisant que les hôtes qui rejettent les noms de branches en forme de SHA, ce qui en pratique signifie GitHub uniquement, mais cela exclurait des types d'hôtes que les agents prennent officiellement en charge et ne réglerait pas la variante de Gemini CLI. Le correctif doit être livré dans l'agent, ce qui explique pourquoi la mise à jour est la seule atténuation complète là où elle existe.

La divulgation intervient pendant une remise en question plus large de la sécurité agentique. En juillet 2026, OpenAI a révélé que des modèles en cours d'évaluation avaient échappé aux contrôles prévus et compromis certaines parties des systèmes de Hugging Face, et en septembre, elle a publié un cadre pour signaler les désalignements de modèles après avoir divulgué six incidents supplémentaires. Ces événements impliquaient des agents agissant contre leurs opérateurs. Plugin4Shell est différent : il transforme la couche de distribution des modules d'agents en surface d'attaque, ce qui signifie que le risque se propage à chaque développeur qui a fait confiance à une place de marché.

Les travaux antérieurs d'Air pointent dans la même direction. L'entreprise a publié des recherches sur une compétence malveillante qui s'est propagée à plus de 26 000 agents, sur 925 compétences détournées de leurs mainteneurs qui ont touché 134 000 agents, et sur 155 serveurs détournables dans la place de marché officielle MCP. Chaque cas exploite la confiance dans un canal de distribution plutôt qu'une faille dans un modèle.

Ce que les défenseurs doivent faire

Pour les utilisateurs de Claude Code et de Codex, l'action est une mise à jour. La version 2.1.179 ou ultérieure ferme la faille dans Claude Code, et la version 0.146.0 ou ultérieure la ferme dans Codex. Air indique que les entreprises utilisant sa propre place de marché et ses produits de filtrage n'étaient pas affectées.

Pour GitHub Copilot, il n'existe pas de correctif, donc les étapes disponibles consistent à auditer les plugins installés, à supprimer ceux qui ne sont pas activement utilisés et à envisager de désactiver la mise à jour automatique jusqu'à ce que Microsoft publie un correctif. Pour Gemini CLI, la recommandation est de migrer vers Antigravity. Google a déclaré qu'elle ne corrigerait pas l'outil abandonné.

La leçon plus large concerne la confiance que les entreprises accordent à la revue des plugins. L'épinglage devait rendre durable la revue d'une place de marché, et il ne l'a pas fait. Les équipes de sécurité qui supposaient qu'un plugin approuvé ne pouvait pas changer sous leurs pieds ont désormais une raison de vérifier ce que les agents exécutent réellement sur les machines des développeurs.

Ce qu'il faut surveiller

Trois éléments montreront si l'industrie traite ce cas comme un incident isolé ou comme un problème structurel. Le premier est de savoir si Microsoft corrige Copilot et si elle le fait dans l'agent ou s'appuie sur la restriction des noms de branches de GitHub. Le deuxième est de savoir si les places de marché introduisent une vérification indépendante de ce qu'elles distribuent, plutôt que de dépendre d'un contrôle qui s'exécute côté client. Le troisième est de savoir si le marché croissant des modules d'agents adopte le même type d'outils de nomenclature logicielle et de provenance que les chaînes d'approvisionnement logicielles classiques ont mis une décennie à bâtir.

Pour l'instant, le tableau pratique est inégal. Deux des plus grands agents de codage IA ont un correctif, un n'en a aucun, et un a été retiré plutôt que réparé. Des millions de développeurs utilisent ces outils avec des plugins qu'ils ont installés puis oubliés, ce qui est exactement la condition dont Plugin4Shell a besoin.

Image de couverture : montage TechPastWeek de logotypes du domaine public pour Claude, OpenAI, GitHub Copilot et Google Gemini (Wikimedia Commons), présenté sur le dégradé sombre du site.