Κενό ασφαλείας zero-click σε κορυφαία εργαλεία AI επιτρέπει απομακρυσμένη εκτέλεση κώδικα

Μια ευπάθεια απομακρυσμένης εκτέλεσης κώδικα τύπου zero-click που επηρεάζει κάθε σημαντικό εργαλείο προγραμματισμού AI αποκαλύφθηκε την Πέμπτη από ερευνητές της Air, μιας startup ασφαλείας που εστιάζει στην προστασία εταιρικών συστημάτων AI. Το κενό, με την ονομασία "Plugin4Shell", παρακάμπτει τον μηχανισμό SHA-pinning που χρησιμοποιούν τα εργαλεία για να κλειδώνουν τα πρόσθετα σε επαληθευμένο κώδικα, δίνοντας δυνητικά στους επιτιθέμενους πλήρη πρόσβαση σε υπολογιστές προγραμματιστών και σε κάθε στοιχείο που είναι προσβάσιμο από το παραβιασμένο εργαλείο.theregister+1

Πώς λειτουργεί η επίθεση

Η ευπάθεια στοχεύει αξιόπιστα marketplaces που φιλοξενούν πρόσθετα για το Claude Code της Anthropic, το Codex της OpenAI, το Gemini CLI της Google Alphabet Inc. ↗ 1.27% και το Copilot της Microsoft ↗ 1.52%. Αντί να επιτίθεται απευθείας στο μοντέλο AI, το Plugin4Shell εκμεταλλεύεται ένα κενό στον τρόπο με τον οποίο τα εργαλεία επαληθεύουν την ακεραιότητα των πρόσθετων. Το εργαλείο ελέγχει το ακριβές commit που έχει ορίσει το marketplace, αλλά δεν επιβεβαιώνει ποτέ αν όντως κατέληξε στον σωστό κώδικα, επιτρέποντας σε έναν επιτιθέμενο που ελέγχει το αποθετήριο του πρόσθετου να εισάγει κακόβουλο κώδικα ενώ το pin φαίνεται άθικτο.air+1

Επειδή τα εργαλεία ενημερώνουν αυτόματα τα εγκατεστημένα πρόσθετα από προεπιλογή, η επίθεση δεν απαιτεί καμία αλληλεπίδραση από τον χρήστη. "Το αποτέλεσμα είναι απομακρυσμένη εκτέλεση κώδικα zero-click", έγραψαν στην αναφορά τους οι ερευνητές της Air, Or Nevo, Dor Granat και Niv Hoffman. Οι ερευνητές περιέγραψαν δύο διαδρομές επίθεσης: την υποβολή ενός καλοήθους πρόσθετου που περνά από έλεγχο στο marketplace πριν αντικατασταθεί με κακόβουλο κώδικα, ή την παραβίαση του αποθετηρίου ενός νόμιμου δημιουργού για την προώθηση μιας κακόβουλης έκδοσης σε κάθε εργαλείο που έχει εγκατεστημένο το πρόσθετο.theregister+1

Η επιδιόρθωση παραμένει ελλιπής

Η Air ανέφερε την ευπάθεια και στους τέσσερις προμηθευτές τον Ιούνιο. Η Anthropic και η OpenAI την διόρθωσαν στις εκδόσεις Claude Code 2.1.179 και Codex 0.146.0 αντίστοιχα. Η Google, έχοντας καταργήσει το Gemini CLI, ενημέρωσε την Air ότι δεν θα εκδώσει διόρθωση, κατευθύνοντας αντ' αυτού τους χρήστες στο νεότερο περιβάλλον ανάπτυξης Antigravity.theregister

Η Microsoft δεν έχει διορθώσει το Copilot. Εκπρόσωπος του GitHub δήλωσε στο The Register ότι οι υπάρχοντες έλεγχοι του GitHub, που εμποδίζουν τους χρήστες από το να δημιουργούν ονόματα branch ή tag που μοιάζουν με commit SHA, αποτρέπουν την εκμετάλλευση στην πλατφόρμα του. Οι ερευνητές της Air διαφώνησαν, σημειώνοντας ότι τα marketplaces μπορούν επίσης να φιλοξενούνται σε πλατφόρμες όπως το Bitbucket της Atlassian Corporation ↗ 1.18%, όπου δεν υπάρχει τέτοιος μετριασμός, αφήνοντας το Copilot εκτεθειμένο.theregister

Μια αυξανόμενη επιφάνεια επίθεσης

Η αποκάλυψη προστίθεται σε μια σειρά ανησυχιών για την ασφάλεια γύρω από τα εργαλεία προγραμματισμού AI. Σχεδόν το 90% των εταιρειών της λίστας Fortune 500 χρησιμοποιούν το Copilot, σύμφωνα με τη Microsoft. Προγενέστερη έρευνα που παρουσιάστηκε στο Black Hat 2026 τον Αύγουστο έδειξε ξεχωριστά ότι τα εργαλεία προγραμματισμού AI από την Anthropic, την Google και την OpenAI ήταν ευάλωτα σε επιθέσεις prompt injection που επέτρεπαν την κλοπή διαπιστευτηρίων και τη διακύβευση της εφοδιαστικής αλυσίδας.esecurityplanet+1

"Η διόρθωση πρέπει να ενσωματωθεί στο εργαλείο και η ενημέρωση είναι ο μόνος πλήρης μετριασμός όπου υπάρχει", έγραψαν οι ερευνητές της Air.theregister