セキュリティ企業AIR Securityは2026年9月17日、主要なAIコーディングエージェント4製品――Anthropicの「Claude Code」、OpenAIの「Codex」、Microsoftの「GitHub Copilot」、Googleの「Gemini CLI」――のプラグイン(拡張機能)の仕組みに共通する、深刻な脆弱性「Plugin4Shell」を公表した。いずれの製品も、インストール済みのプラグインを特定のレビュー済みコミットに固定する「SHA固定」という仕組みを備えているが、この脆弱性はその固定機能を回避できてしまう点を突く。
具体的には、プラグインのリポジトリを管理する側が、40文字のコミットハッシュと同じ名前のブランチを新たに作成すると、各エージェントがGitの仕様上その悪意あるブランチの内容を、本来固定されているはずのコミットの代わりに取得してしまう。利用者側のクリックや承認、再インストールといった操作は一切不要で、次にプラグインが更新される際に攻撃者が用意したコードが実行される恐れがあるという。こうしたプラグインは多くの場合、開発者本人と同じ権限――ローカルのソースコード、クラウドの認証情報、SSH鍵、社内リポジトリ、本番環境、各種シークレットへのアクセス権――を引き継いで動作するため、影響は深刻になり得る。AIR Securityは2026年6月の時点で4社すべてに非公開で通報しており、約3カ月の猶予期間を経て今回の一般公開に至った。
ベンダーごとの対応状況には差が出ている。AnthropicはClaude Codeのバージョン2.1.179で、OpenAIはCodexのバージョン0.146.0でそれぞれ修正済みだが、Microsoftは今回の公開時点でGitHub Copilotの修正版を提供していない。Googleに至っては、Gemini CLI自体を非推奨(deprecated)と位置づけており、修正は行わず後継ツール「Antigravity」への移行を利用者に呼びかけている。
AIR Securityは、Claude CodeとCodexについては速やかに最新バージョンへ更新するとともに、導入済みプラグインの棚卸し、プラグイン取得元の制限、依存しているプラグインのリポジトリでの不審なブランチ作成や所有権変更の監視などを呼びかけている。AIコーディングエージェントがローカル環境やクラウド上の強い権限を持つケースが増えるなか、サードパーティ製プラグインを経由したサプライチェーンリスクの大きさを改めて示す事例となった。
出典: The Hacker News
