פגיעות Plugin4Shell מאפשרת החלפת קוד תוספים נעולים בארבעה סוכני קידוד מבוססי AI

חוקרים מחברת Air Security חשפו פגם עיצובי בארבעה מהסוכנים הפופולריים ביותר לכתיבת קוד באמצעות בינה מלאכותית, המאפשר לבעל מאגר קוד להחליף בפועל את הקוד של תוסף שמשתמש נעל לגרסה ספציפית ומאושרת — בלי שהסוכן יבחין בהבדל.

איור קונספטואלי של בלוקי קוד מוחלפים בזדון

מזהה	לא פורסם (טרם הוקצה CVE)
מוצרים מושפעים	Claude Code, OpenAI Codex, GitHub Copilot, Gemini CLI
חומרה (CVSS)	לא פורסם
מנוצל בפועל	לא דווח כמנוצל בפועל — חשיפת מחקר
סטטוס תיקון	Claude Code תוקן בגרסה 2.1.179; Codex תוקן בגרסה 0.146.0; GitHub Copilot ללא תיקון נכון לפרסום; Gemini CLI לא יתוקן (השירות בהליכי הפסקה לטובת Antigravity)

מה קרה

סוכני קידוד מתקינים תוספים ממאגרי תוספים (marketplaces) כשהם "נעולים" למזהה קומיט (commit hash) ספציפי שנבדק ואושר מראש. הבעיה שמצאו החוקרים: הסוכנים מושכים את הקוד תחת אותו מזהה, אך אף אחד מהם לא בודק בפועל שהקוד שהתקבל תואם למזהה שאליו הוא נעול. אצל ספקי גיטהוסטינג שמאפשרים שמות ענף (branch) שנראים כמו מזהי קומיט — כפי שמאפשר Bitbucket — בעל המאגר יכול ליצור ענף כזה ולהפנות אותו לקוד זדוני לגמרי שונה. הסוכן מתקין את הקוד המוחלף, אך ממשיך לדווח שהוא רץ על הגרסה הנעולה והמאושרת.

מכיוון שתוספים רצים בהרשאות המשתמש עצמו, קוד שהוחלף בשקט יכול לגשת לקבצים, לאסימוני אימות ולמערכות מחוברות אחרות. גיטהאב עצמו חוסם שמות ענפים שנראים כמו מזהי קומיט, ולכן תוספים שמותקנים ממאגרי גיטהאב אינם חשופים לטכניקה הזו.

נקודות לשים לב

אם אתה משתמש ב-Claude Code או ב-OpenAI Codex, עדכן לגרסאות 2.1.179 ו-0.146.0 בהתאמה או מאוחר יותר.
ל-GitHub Copilot אין עדיין תיקון — התקן תוספים רק ממאגרי גיטהאב (לא Bitbucket או ספקים אחרים המאפשרים שמות ענף דמויי-קומיט), עד שיתפרסם עדכון.
משתמשי Gemini CLI לא יקבלו תיקון כלל, שכן גוגל מפסיקה את השירות לטובת Antigravity — שקלו מעבר מוקדם אם אתם מתקינים תוספי צד שלישי דרכו.
בדוק מאיפה מגיעים התוספים שמותקנים אצלך: מאגרי גיטהאב חסומים לטכניקה הזו כברירת מחדל, ולכן העדפת מקורות תוספים מבוססי גיטהאב מצמצמת את החשיפה גם בלי לחכות לתיקון.
אין עדיין דיווח על ניצול בזדון בשטח — זו חשיפת מחקר אחראית, אך העובדה שהיא נוגעת לכלים שרצים בהרשאות מפתחים ומתחברים למאגרי קוד פנימיים הופכת אותה לרלוונטית לכל ארגון שמאמץ סוכני קידוד.