Plugin4Shell: Zero-Click-Lücke in vier KI-Coding-Agenten

Die Sicherheitsfirma AIR Security hat am 18. September 2026 eine Zero-Click-Lücke offengelegt, die in vier großen KI-Coding-Agenten gleichzeitig steckt: Claude Code, OpenAI Codex, GitHub Copilot und der Gemini CLI. Der Name der Lücke ist Plugin4Shell, das Ergebnis eines erfolgreichen Angriffs ist Remote Code Execution auf dem Rechner des Entwicklers.

Der Fehler sitzt in der Plugin-Installation. Die Agenten holen aus dem Plugin-Marktplatz einen per Prüfsumme festgelegten Commit aus dem Repository, verifizieren danach aber nicht, dass der ausgecheckte Commit tatsächlich der festgelegte ist. Wer das Plugin-Repository kontrolliert, kann also Schadcode unterschieben, während der SHA-Pin unversehrt aussieht.

Zero-Click ist das deshalb, weil Claude Code und Codex Plugins standardmäßig im Hintergrund aktualisieren. Es braucht keinen Klick und keine Rückfrage.

Anthropic hat in Claude Code 2.1.179 gepatcht, OpenAI in Codex 0.146.0. Google hat die Gemini CLI als veraltet eingestuft und patcht die dortige Variante nicht, bestehende Installationen bleiben damit dauerhaft verwundbar. Beim Status von GitHub Copilot widersprechen sich die Berichte: mehrere Darstellungen sprechen davon, dass zwei der vier Werkzeuge ungepatcht bleiben, welches das zweite sein soll, geht daraus nicht hervor.

Der Punkt, an dem diese Geschichte wehtut, ist der Pin selbst. Eine Prüfsumme wird genau dafür verwendet, dass sich hinter einer kontrollierten Versionsangabe kein anderer Code verstecken kann. Hier wurde sie mitgeschickt und nicht nachgerechnet. Das Modell hat damit nichts zu tun, die Lücke liegt in der Werkzeugkette drumherum.

Damit reiht sich der Fall in eine Linie: OpenAIs Agenten, die 500 bösartige Pakete auf RubyGems luden, und der offene Brief von 116 Firmen zur KI-Angriffswelle. Die Angriffsfläche von Coding-Agenten liegt in der Lieferkette der Pakete, nicht im Sprachmodell.

Wer selbst mit einem dieser Werkzeuge arbeitet, sollte die installierte Version nachsehen. Und wer die Gemini CLI verwendet, hat eine Entscheidung zu treffen, die Google bereits für sich getroffen hat.