Une faille zero-click dans les agents de codage IA permet l’exécution de code à distance

Une vulnérabilité d'exécution de code à distance sans clic (zero-click) affectant tous les principaux agents de codage IA a été révélée jeudi par des chercheurs d'Air, une startup de sécurité spécialisée dans la protection des systèmes d'IA en entreprise. La faille, baptisée "Plugin4Shell", contourne le mécanisme de SHA-pinning que les agents utilisent pour verrouiller les plugins sur du code vérifié, offrant potentiellement aux attaquants un accès complet aux machines des développeurs et à toutes les ressources accessibles par l'agent compromis.theregister+1

Comment fonctionne l'attaque

La vulnérabilité cible les places de marché de confiance qui hébergent des plugins pour Claude Code d'Anthropic, Codex d'OpenAI, Gemini CLI de Google Alphabet Inc. ↗ 1.27% et Copilot de Microsoft ↗ 1.52%. Plutôt que d'attaquer directement le modèle d'IA, Plugin4Shell exploite une faille dans la manière dont les agents vérifient l'intégrité des plugins. L'agent vérifie le commit exact qu'une place de marché a épinglé, mais ne confirme jamais qu'il correspond réellement au bon code, permettant à un attaquant contrôlant le dépôt du plugin de remplacer le code par une version malveillante tout en laissant l'épinglage intact.air+1

Comme les agents mettent automatiquement à jour les plugins installés par défaut, l'attaque ne nécessite aucune interaction de l'utilisateur. "Le résultat est une exécution de code à distance sans clic", ont écrit les chercheurs d'Air, Or Nevo, Dor Granat et Niv Hoffman, dans leur rapport. Les chercheurs ont décrit deux vecteurs d'attaque : soumettre un plugin bénin qui passe la révision de la place de marché avant de le remplacer par du code malveillant, ou détourner le dépôt d'un auteur légitime pour pousser une version malveillante vers chaque agent ayant installé le plugin.theregister+1

Une correction incomplète

Air a signalé la vulnérabilité aux quatre fournisseurs en juin. Anthropic et OpenAI l'ont corrigée respectivement dans Claude Code 2.1.179 et Codex 0.146.0. Google, ayant rendu obsolète Gemini CLI, a déclaré à Air qu'il ne publierait pas de correctif, orientant plutôt les utilisateurs vers son nouvel environnement de développement agentique Antigravity.theregister

Microsoft n'a pas corrigé Copilot. Un porte-parole de GitHub a déclaré à The Register que les contrôles existants de GitHub, empêchant les utilisateurs de créer des noms de branches ou de tags ressemblant à des SHA de commit, empêchent l'exploitation sur sa plateforme. Les chercheurs d'Air ne sont pas d'accord, notant que les places de marché peuvent également être hébergées sur des plateformes comme Bitbucket d'Atlassian Corporation ↗ 1.18%, où aucune mesure de ce type n'existe, laissant Copilot exposé.theregister

Une surface d'attaque grandissante

Cette divulgation s'ajoute à une série croissante de préoccupations de sécurité concernant les outils de codage IA. Près de 90 % des entreprises du Fortune 500 utilisent Copilot, selon Microsoft. Des recherches antérieures présentées à la Black Hat 2026 en août ont démontré séparément que les agents de codage IA d'Anthropic, Google et OpenAI étaient vulnérables à des attaques par injection de prompt permettant le vol d'identifiants et la compromission de la chaîne d'approvisionnement.esecurityplanet+1

"Le correctif doit être déployé dans l'agent, et la mise à jour est la seule mesure d'atténuation complète lorsqu'elle existe", ont écrit les chercheurs d'Air.theregister