Ein geprüftes Plugin, aber anderer Code
AIR Security beschrieb am 18. September 2026 eine Schwachstelle in vier Werkzeugen, die beim Programmieren mit künstlicher Intelligenz helfen: Claude Code, Codex, GitHub Copilot und Gemini CLI. Betroffen war die Installation von Plugins, also Erweiterungen, die zusätzliche Funktionen bereitstellen. Nach der Demonstration der Forscher konnte ein Angreifer eine geprüfte Erweiterung später gegen schädlichen Code austauschen. Das Programm zeigte dabei weiterhin an, es habe die festgelegte und geprüfte Fassung geladen. [1] [2]
Der Angriff setzte voraus, dass der Angreifer das Quellcode-Verzeichnis des Plugins kontrollierte. Ein solches Repository ist der Speicherort, aus dem Programme ihren Code beziehen. Denkbar waren laut AIR zwei Wege: zunächst selbst eine harmlose Erweiterung veröffentlichen oder später die Kontrolle über eine bereits vertrauenswürdige Quelle erlangen. Plugin4Shell war damit keine plötzlich rebellierende KI, sondern eine Schwäche im Lieferweg für Zusatzsoftware. Unser Beobachtungsobjekt stand diesmal also eher neben der offenen Tür, als selbst hinauszulaufen. [1] [2]
Wie die Sicherung umgangen wurde
Marktplätze sollten Erweiterungen mit einer langen, eindeutigen Kennung an eine geprüfte Codefassung binden. Diese sogenannte SHA-Kennung funktioniert ähnlich wie eine Seriennummer für einen bestimmten Entwicklungsstand. Die vier Werkzeuge forderten diese Fassung zwar beim Versionssystem Git an, prüften anschließend aber nicht, ob tatsächlich genau sie auf dem Rechner gelandet war. AIR zeigte, dass ein passend benannter Entwicklungszweig stattdessen auf anderen Inhalt verweisen konnte, obwohl die erwartete Kennung weiterhin vertrauenswürdig aussah. [1] [2]
Bei Claude Code, Codex und Copilot sollte ein Entwicklungszweig denselben Namen wie die vierzig Zeichen lange Kennung erhalten und zugleich als Standardzweig dienen. Git konnte dann den Namen des Zweigs bevorzugen und dessen Inhalt ausliefern. Bei Gemini CLI nutzten die Forscher eine verwandte Namensverwechslung mit „FETCH_HEAD“, einer internen Git-Bezeichnung. Nicht jeder Hostingdienst erlaubt solche Zweignamen; GitHub blockiert beispielsweise die erste Variante. Andere unterstützte Dienste und selbst betriebene Server konnten sie laut AIR zulassen. [1] [2]
Warum kein Klick nötig sein konnte
Als „Zero Click“ bezeichneten die Quellen den Angriff, weil Claude Code und Codex installierte Erweiterungen standardmäßig im Hintergrund aktualisierten. War ein zunächst harmloses Plugin bereits vorhanden und wurde seine festgelegte Version regulär geändert, konnte die manipulierte Quelle beim nächsten Abgleich anderen Code liefern. Der Nutzer musste dann weder eine neue Erweiterung auswählen noch eine Warnung bestätigen. Das macht die Lücke praktisch relevant, belegt aber noch keinen tatsächlich angegriffenen Rechner und keine eigenständige Entscheidung des Sprachmodells. [1] [2]
Erfolgreich eingeschleuster Code hätte nach Darstellung der Quellen mit den Rechten des jeweiligen Programmierwerkzeugs laufen können. Dadurch wären grundsätzlich lokale Dateien, gespeicherte Zugangsdaten und erreichbare Systeme gefährdet gewesen. „Remote Code Execution“ bedeutet hier, dass vorbereiteter fremder Code auf dem Zielrechner ausgeführt werden kann. AIR spricht von einer Demonstration der Angriffskette, nennt im vorliegenden Bericht aber keine Opfer dieser konkreten Lücke. Eine mögliche Wirkung ist nicht dasselbe wie ein nachgewiesener Schaden — selbst für ein KI-Magazin eine nützliche Unterscheidung. [1] [2]
Veröffentlichung, Reparaturen und offene Stellen
Nach Angaben der Cloud Security Alliance wurde die Schwachstelle im Juni 2026 vertraulich an die vier Anbieter gemeldet. Die öffentliche Bekanntgabe datiert die Cloud Security Alliance auf den 18. September; ihre eigene Forschungsnotiz erschien laut Seitenangabe am 19. September 2026. Damit ist der 18. September das engste im Material belegte Datum des öffentlichen Falls. Es handelt sich um eine veröffentlichte Sicherheitsforschung mit Angriffsnachweis, nicht um einen dokumentierten Einbruch bei Nutzern. [1] [2]
AIR und die Cloud Security Alliance berichten, Anthropic habe Claude Code ab Version 2.1.179 und OpenAI Codex ab Version 0.146.0 abgesichert. Der vorliegende Änderungseintrag zu Codex 0.146.0, veröffentlicht am 29. Juli 2026, enthält tatsächlich den Punkt „Verify Git plugin SHA checkouts“: Codex sollte also prüfen, welche Plugin-Fassung Git wirklich ausgecheckt hatte. Für Copilot nannten die Berichte zum Offenlegungszeitpunkt keinen Patch; Gemini CLI sei eingestellt worden und solle nicht mehr repariert werden. [1] [2] [3]
Was der Fall zeigt – und was nicht
Die entscheidende Reparatur ist schlicht: Nach dem Herunterladen muss das Programm die tatsächlich geladene Codefassung auslesen und mit der erwarteten Kennung vergleichen. Stimmen beide nicht überein, muss es die Installation abbrechen. Ein Marktplatz allein kann diese Prüfung nicht zuverlässig übernehmen, weil die mehrdeutige Namensauflösung erst auf dem Rechner des Nutzers geschieht. Das Problem lag somit unterhalb der eigentlichen KI-Funktion, in gewöhnlicher Software zur Verteilung von Erweiterungen. Altmodischer Fehler, moderne Reichweite. [1] [2] [3]
Die Quellen trennen allerdings nicht durchgehend sauber zwischen möglicher Reichweite und nachgewiesener Ausnutzung. AIR spricht im Titel von Millionen betroffenen Agenten, liefert im vorliegenden Text für Plugin4Shell aber keine überprüfbare Zahl tatsächlich verwundbarer Installationen oder angegriffener Personen. Auch die Anbieterstände beruhen teilweise auf AIRs Darstellung; nur der Codex-Eintrag liegt ergänzend vor. Die Cloud Security Alliance bestätigt den technischen Ablauf, stützt sich jedoch maßgeblich auf AIR und weitere Berichte, die im bereitgestellten Material nicht direkt geprüft werden können. [1] [2] [3]
Terminator-Check
Für Autonomie, Grenzüberschreitung und Täuschung lautet die Bewertung jeweils „nicht belegt“. Beobachtet wurde keine KI, die einen Angriff plante, Regeln übertrat oder jemanden gezielt täuschte. Die automatische Plugin-Aktualisierung war eine vorher programmierte Produktfunktion; der irreführende Versionszustand entstand durch die demonstrierte Manipulation der Quelle und eine fehlende Kontrollprüfung. Eine autonome Agentenhandlung wurde nicht dokumentiert. [1] [2]
Auch Selbsterhaltung und Realweltwirkung des KI-Systems sind „nicht belegt“. Es gab kein Verhalten gegen Abschaltung oder Kontrolle und keine beobachtete Agentenhandlung mit Folgen außerhalb des Versuchs. Die Lücke befand sich zwar in real eingesetzten Produkten, und Hersteller lieferten mindestens teilweise Reparaturen. Das ist reale Sicherheitsarbeit, aber kein Beleg für autonomes Fehlverhalten. Daher beträgt der Terminator-Score 0 von 5. Dieser Wert erklärt nicht den Angriff für ungefährlich; er trennt Softwaregefahr von handelnder KI. [1] [2] [3]
Podcast