Vývojári, ktorí používajú AI coding agenty, by mali tento týždeň venovať desať minút bezpečnostnej kontrole. AIR Security 17. septembra zverejnila zraniteľnosť Plugin4Shell — zero-click RCE, ktorá zasahuje štyroch najrozšírenejších agentov: Claude Code, OpenAI Codex, GitHub Copilot a Gemini CLI. Anthropic a OpenAI už vydali záplaty, Microsoft zatiaľ nie a Google namiesto opravy Gemini CLI ukončil.
Ako útok funguje
Agenty pri inštalácii pluginu kontrolujú tzv. SHA pinning — majú stiahnuť presne ten commit, ktorý vývojár schválil. Chyba je v tom, že agent neoverí, či skutočne stiahnutý kód zodpovedá pripnutému hashu. Útočník, ktorý ovláda repozitár pluginu, vytvorí vetvu pomenovanú presne ako 40-znakový commit hash — a Git prednostne rozlíši vetvu namiesto commitu.
Prečo „zero-click": Claude Code a Codex aktualizujú nainštalované pluginy automaticky na pozadí. Keď marketplace posunie pripnutý SHA, agent si bez akéhokoľvek vášho kliknutia stiahne útočníkov kód — s vašimi plnými lokálnymi a cloudovými prístupmi.
Stav záplat (k 21. septembru)
| Nástroj | Stav | |---|---| | Claude Code | opravené vo verzii 2.1.179 | | OpenAI Codex | opravené vo verzii 0.146.0 | | GitHub Copilot | bez záplaty | | Gemini CLI | neopravené — Google nástroj ukončil a odporúča migráciu na Antigravity |
AIR Security zraniteľnosť našla už v máji 2026 a mala funkčné proof-of-concept voči všetkým štyrom nástrojom. Podľa jej výskumu by reťazenie s podobnými technikami mohlo dosiahnuť tisíce agentov — ide však o laboratorné demonštrácie, nie o pozorované útoky. Aktívne zneužitie v praxi zatiaľ potvrdené nie je (Cyware).
Čo urobiť dnes
- Aktualizujte: Claude Code na 2.1.179+, Codex na 0.146.0+. Pri Gemini CLI migrujte — existujúce inštalácie ostanú zraniteľné natrvalo.
- Pri Copilote: zvážte dočasné vypnutie pluginov z marketplace, kým Microsoft nevydá opravu.
- Vypnite automatické aktualizácie pluginov, kde to ide, a nové verzie kontrolujte manuálne.
- Auditujte nainštalované pluginy — odstráňte všetko z nedôveryhodných zdrojov.
- Obmedzte oprávnenia agenta: žiadne produkčné credentials a SSH kľúče v prostredí, kde beží. Agent má totiž presne tie prístupy, ktoré máte vy.
Prečo je to viac než ďalšia chyba
Plugin4Shell je prvou supply-chain zraniteľnosťou ekosystému AI agentov — neútočí na model, ale na distribučnú vrstvu, ktorej agenti slepo dôverujú. Spolu s včerajšou správou o prvom oficiálne nahlásenom dátovom úniku spôsobenom autonómnym agentom v Španielsku sa rysuje jasný trend: bezpečnosť agentov už nie je o tom, čo model „povie", ale o tom, k čomu všetkému má prístup.
Zdroje: The Hacker News, CybelAngel, explainx.ai, Cyware.
