Plugin4Shell: Sicherheitslücke in KI-Coding-Agenten

KI-Tools, die selbstständig Code schreiben und Erweiterungen nachladen, sogenannte KI-Coding-Agenten, gehören inzwischen in vielen Entwickler-Teams zum Alltag. Am 17. September 2026 deckte das Sicherheitsunternehmen Air Security unter dem Namen "Plugin4Shell" eine Schwachstelle auf, die gleich vier der größten Vertreter betrifft: Claude Code, OpenAI Codex, GitHub Copilot und Google Gemini CLI. Ein Angreifer kann darüber Code auf dem Rechner eines Nutzers ausführen lassen, ohne dass irgendjemand etwas anklickt oder bemerkt.

Was ist passiert

Alle vier Agenten lassen sich mit Erweiterungen (Plugins) aus externen Repositories nachrüsten. Ein Sicherheitsmechanismus soll dabei verhindern, dass ein Plugin heimlich ausgetauscht wird: Der Agent pinnt es an einen konkreten Commit, eine 40-stellige Prüfsumme, die exakt eine geprüfte Version des Codes markiert. Nur einer prüft nicht mit. Laut der Primärquelle von Air Security kontrolliert keiner der vier Agenten, ob der tatsächlich ausgecheckte Code wirklich zu dieser Prüfsumme gehört.

Das lässt sich ausnutzen. Wer das Plugin-Repository kontrolliert, legt einen Branch an, dessen Name identisch mit der gepinnten Prüfsumme ist, und macht ihn zum Standard-Branch. Git löst Branch-Namen vor Commit-Hashes auf. Der Agent checkt also den manipulierten Branch aus statt des eigentlich gemeinten, unveränderlichen Commits. Bei Gemini CLI existiert laut Air Security zusätzlich ein zweiter Weg über den Branch-Namen "FETCH_HEAD". Läuft das über ein automatisches Hintergrund-Update, das bei Claude Code und Codex standardmäßig aktiv ist, merkt niemand etwas: kein Klick, keine Bestätigung, keine Warnung. The Hacker News und Help Net Security bestätigen unabhängig voneinander Mechanik und betroffene Tools. Eine Einschränkung gibt es: Auf GitHub selbst blockiert die Plattform solche Branch-Namen. Auf Bitbucket und selbst gehosteten Git-Servern funktioniert der Trick.

Beim Patch-Stand liegen die vier Anbieter auseinander. Claude Code (ab Version 2.1.179) und Codex (ab Version 0.146.0) sind laut Air Security bereits gepatcht, offizielle Release-Notes von Anthropic nennen die Lücke allerdings nicht ausdrücklich. GitHub Copilot hatte zum Zeitpunkt der Veröffentlichung noch keinen Fix. Google patcht die Gemini CLI gar nicht erst und rät zum Umstieg auf sein neueres Tool "Antigravity", weil die Gemini CLI ohnehin eingestellt wird. Eine CVE-Nummer gibt es bislang nicht. Einen bereits bekannten Angriff in freier Wildbahn auch nicht.

Was das für dich als Unternehmen bedeutet

Wenn dein Team oder deine Agentur mit einem dieser vier Tools arbeitet, gerade Claude Code und GitHub Copilot sind in kleinen Entwickler-Teams weit verbreitet, betrifft dich diese Lücke direkt, sobald Plugins im Einsatz sind. Das Gefährliche daran ist genau das, was den Agenten sonst bequem macht: Auto-Updates laufen im Hintergrund, ohne dass du sie bestätigst. Eine Lücke, die genau diesen automatischen Weg ausnutzt, kann einem kompromittierten Plugin-Repository die volle Kontrolle über den Rechner geben, auf dem der Agent läuft, inklusive allem, worauf dieser Rechner sonst Zugriff hat.

Was du jetzt tun (oder lassen) solltest

Tun:

1. Version prüfen und updaten. Claude Code sollte auf 2.1.179 oder neuer stehen, Codex auf 0.146.0 oder neuer.
2. Bei GitHub Copilot vorsichtig sein, solange kein offizieller Fix vorliegt: Plugin-Installationen aus Quellen außerhalb von GitHub, etwa Bitbucket oder selbst gehostete Git-Server, meiden oder genauer prüfen.
3. Gemini CLI meiden oder ersetzen. Google patcht das Tool nicht mehr und verweist selbst auf den Nachfolger "Antigravity".
4. Nach jedem Versions-Update kurz gegenchecken, welche Version tatsächlich läuft, gerade weil Auto-Updates automatisch passieren und nicht sichtbar sind.

Lassen:

• Nicht aus Sorge sämtliche KI-Coding-Agenten abschalten. Zwei der vier großen Anbieter haben bereits gepatcht, das Risiko lässt sich konkret eingrenzen statt pauschal zu vermeiden.
• Sich nicht allein auf "wir hosten bei GitHub" verlassen. GitHub blockiert zwar den beschriebenen Branch-Namens-Trick, bei Gemini CLI wirkt aber ein zweiter, davon unabhängiger Mechanismus.

Wer KI-Agenten mit echtem System- oder Codezugriff einsetzen will, sollte das von Anfang an mit einer klaren Freigabe-Ebene aufbauen statt nachträglich zu patchen. Wie eine solche Struktur mit menschlicher Kontrolle über automatisierte KI-Abläufe aussehen kann, zeigt der ESD KI-Stack an einem laufenden Beispiel.

Die Einschätzung kommt nicht vom Schreibtisch, sondern von jemandem, der KI selbst tief in einen laufenden Betrieb eingebaut hat. Wie das aussah, steht anonymisiert in der Case Study und der Geschichte dahinter. Dieser Artikel ist eine Orientierung, keine Sicherheitsberatung.

Diesen Artikel hat die KI von ESD geschrieben; ein zweiter, unabhängiger KI-Lauf hat ihn vor der Veröffentlichung gegen die Originalquellen geprüft.