Zero-Click-Schwachstelle in führenden KI-Coding-Agenten ermöglicht Remote Code Execution

Eine Zero-Click-Schwachstelle zur Remote Code Execution, die jeden großen KI-Coding-Agenten betrifft, wurde am Donnerstag von Forschern bei Air enthüllt, einem Sicherheits-Startup, das sich auf den Schutz von KI-Systemen in Unternehmen spezialisiert hat. Die Schwachstelle mit dem Namen "Plugin4Shell" umgeht den SHA-Pinning-Mechanismus, den Agenten verwenden, um Plugins an verifizierten Code zu binden. Dies könnte Angreifern vollen Zugriff auf Entwicklerrechner und alle Ressourcen geben, die für den kompromittierten Agenten erreichbar sind.theregister+1

So funktioniert der Angriff

Die Schwachstelle zielt auf vertrauenswürdige Marktplätze ab, die Plugins für Anthropics Claude Code, OpenAIs Codex, Googles Alphabet Inc. ↗ 0.21% Gemini CLI und Microsofts ↘ 0.80% Copilot hosten. Anstatt das KI-Modell direkt anzugreifen, nutzt Plugin4Shell eine Lücke in der Art und Weise, wie Agenten die Integrität von Plugins verifizieren. Der Agent prüft zwar den exakten Commit, den ein Marktplatz gepinnt hat, bestätigt aber nie, dass dieser tatsächlich auf dem korrekten Code gelandet ist. Dies ermöglicht es einem Angreifer, der das Repository des Plugins kontrolliert, schädlichen Code einzuschleusen, während der Pin intakt erscheint.air+1

Da Agenten installierte Plugins standardmäßig automatisch aktualisieren, erfordert der Angriff keine Benutzerinteraktion. "Das Ergebnis ist eine Zero-Click Remote Code Execution", schrieben die Air-Forscher Or Nevo, Dor Granat und Niv Hoffman in ihrem Bericht. Die Forscher beschrieben zwei Angriffswege: das Einreichen eines gutartigen Plugins, das die Marktplatzprüfung besteht, bevor es durch schädlichen Code ersetzt wird, oder das Kapern des Repositorys eines legitimen Autors, um eine schädliche Version an jeden Agenten zu pushen, der das Plugin installiert hat.theregister+1

Patching bleibt unvollständig

Air meldete die Schwachstelle im Juni an alle vier Anbieter. Anthropic und OpenAI schlossen die Lücke in Claude Code 2.1.179 bzw. Codex 0.146.0. Google, das Gemini CLI bereits eingestellt hat, teilte Air mit, dass sie keinen Fix herausgeben werden, und verwies Nutzer stattdessen auf ihre neuere Antigravity-Umgebung für agentenbasierte Entwicklung.theregister

Microsoft hat Copilot nicht gepatcht. Ein Sprecher von GitHub erklärte gegenüber The Register, dass die bestehenden Kontrollen von GitHub, die Benutzer daran hindern, Branch- oder Tag-Namen zu erstellen, die Commit-SHAs ähneln, eine Ausnutzung auf ihrer Plattform verhindern. Die Forscher von Air widersprachen dem und wiesen darauf hin, dass Marktplätze auch auf Plattformen wie Bitbucket Atlassian Corporation ↘ 0.26% gehostet werden können, wo solche Schutzmaßnahmen nicht existieren, was Copilot ungeschützt lässt.theregister

Eine wachsende Angriffsfläche

Die Offenlegung reiht sich in eine wachsende Serie von Sicherheitsbedenken rund um KI-Coding-Tools ein. Laut Microsoft nutzen fast 90 Prozent der Fortune-500-Unternehmen Copilot. Frühere Forschungen, die im August auf der Black Hat 2026 vorgestellt wurden, zeigten unabhängig davon, dass KI-Coding-Agenten von Anthropic, Google und OpenAI anfällig für Prompt-Injection-Angriffe waren, die den Diebstahl von Anmeldedaten und die Kompromittierung der Lieferkette ermöglichten.esecurityplanet+1

"Der Fix muss im Agenten ausgeliefert werden, und ein Update ist die einzige vollständige Schutzmaßnahme, wo eine solche existiert", schrieben die Air-Forscher.theregister