Nollaklikkauksen haavoittuvuus tekoälypohjaisissa koodaustyökaluissa mahdollistaa etäkoodin suorituksen

Nollaklikkauksen etäkoodin suorituskykyyn liittyvä haavoittuvuus, joka vaikuttaa kaikkiin merkittäviin tekoälypohjaisiin koodausagentteihin, paljastettiin torstaina Air-tietoturvayrityksen tutkijoiden toimesta. "Plugin4Shell"-niminen haavoittuvuus ohittaa SHA-pinning-mekanismin, jota agentit käyttävät liitännäisten lukitsemiseen varmennettuun koodiin. Tämä antaa hyökkääjille mahdollisesti täyden pääsyn kehittäjien koneille ja kaikkeen omaisuuteen, johon vaarantunut agentti pääsee käsiksi.theregister+1

Miten hyökkäys toimii

Haavoittuvuus kohdistuu luotettuihin markkinapaikkoihin, jotka isännöivät liitännäisiä Anthropicin Claude Codelle, OpenAI:n Codexille, Googlen Alphabet Inc:n ↗ 1.27% Gemini CLI:lle ja Microsoftin ↗ 1.52% Copilotille. Sen sijaan, että hyökättäisiin suoraan tekoälymalliin, Plugin4Shell hyödyntää puutetta tavassa, jolla agentit varmentavat liitännäisten eheyden. Agentti tarkistaa markkinapaikan lukitseman tarkan commit-version, mutta ei koskaan varmista, että se todella vastaa oikeaa koodia. Tämä mahdollistaa sen, että liitännäisen arkistoa hallitseva hyökkääjä voi vaihtaa tilalle haitallista koodia samalla kun lukitus näyttää ehjältä.air+1

Koska agentit päivittävät asennetut liitännäiset automaattisesti oletusarvoisesti, hyökkäys ei vaadi käyttäjän toimia. "Lopputuloksena on nollaklikkauksen etäkoodin suoritus", kirjoittivat Airin tutkijat Or Nevo, Dor Granat ja Niv Hoffman raportissaan. Tutkijat kuvasivat kaksi hyökkäysreittiä: vaarattoman liitännäisen lähettäminen, joka läpäisee markkinapaikan tarkastuksen ennen sen korvaamista haitallisella koodilla, tai laillisen tekijän arkiston kaappaaminen haitallisen version työntämiseksi jokaiselle agentille, johon liitännäinen on asennettu.theregister+1

Korjaaminen on edelleen puutteellista

Air raportoi haavoittuvuudesta kaikille neljälle toimittajalle kesäkuussa. Anthropic ja OpenAI korjasivat sen vastaavasti Claude Code 2.1.179- ja Codex 0.146.0-versioissa. Google, joka on poistanut Gemini CLI:n käytöstä, ilmoitti Airille, ettei se julkaise korjausta, vaan ohjaa käyttäjät uudempaan Antigravity-kehitysympäristöönsä.theregister

Microsoft ei ole korjannut Copilotia. GitHubin tiedottaja kertoi The Registerille, että GitHubin olemassa olevat kontrollit, jotka estävät käyttäjiä luomasta commit SHA-tunnuksia muistuttavia haara- tai täginimiä, estävät hyökkäykset heidän alustallaan. Airin tutkijat olivat eri mieltä ja huomauttivat, että markkinapaikkoja voidaan isännöidä myös alustoilla kuten Atlassian Corporationin ↗ 1.18% Bitbucket, jossa tällaista suojausta ei ole, jättäen Copilotin alttiiksi.theregister

Kasvava hyökkäyspinta-ala

Paljastus lisää huolta tekoälypohjaisten koodaustyökalujen tietoturvasta. Lähes 90 prosenttia Fortune 500 -yrityksistä käyttää Copilotia Microsoftin mukaan. Aiempi tutkimus, joka esiteltiin Black Hat 2026 -tapahtumassa elokuussa, osoitti erikseen, että Anthropicin, Googlen ja OpenAI:n koodausagentit olivat alttiita prompt injection -hyökkäyksille, jotka mahdollistivat tunnusten varkauden ja toimitusketjun vaarantumisen.esecurityplanet+1

"Korjaus on julkaistava agentissa, ja päivittäminen on ainoa täydellinen suojatoimi, jos sellainen on olemassa", Airin tutkijat kirjoittivat.theregister