پژوهشگران امنیتی آسیب‌پذیری بحرانی و Zero-click را شناسایی کرده‌اند که منجر به اجرای کد از راه دور (Remote Code Execution یا RCE) در تمامی ایجنت‌های پیشرو کدنویسی هوش مصنوعی می‌شود. این نقص امنیتی که Plugin4Shell نامیده شده است، ابزارهایی نظیر Claude Code، OpenAI Codex، Gemini CLI و Microsoft Copilot را تحت تأثیر قرار داده و می‌تواند دسترسی کامل مهاجم به تمامی داده‌ها و دارایی‌های در دسترس ایجنت را فراهم کند.
تحلیل مکانیسم حمله
برخلاف حملات متداول، Plugin4Shell مدل‌های زبانی یا خود ایجنت‌ها را هدف قرار نمی‌دهد، بلکه بر روی «مارکت‌پلیس‌های مورد اعتماد» که میزبان پلاگین‌های این ایجنت‌ها هستند، تمرکز دارد. این رویکرد در واقع یک حمله زنجیره تأمین (Supply Chain Attack) در حوزه AI است که می‌تواند میلیون‌ها کاربر و سیستم را تحت تأثیر قرار دهد.
دور زدن مکانیزم SHA-pinning
این آسیب‌پذیری در نحوه اجرای مکانیزم SHA-pinning در ایجنت‌ها نهفته است. در حالت عادی، این مکانیزم برای جلوگیری از حملات زنجیره تأمین طراحی شده تا پلاگین‌ها را به یک Commit Hash تغییرناپذیر (Immutable) قفل کند تا در صورت تغییر کد در مخزن (Repository)، ایجنت همچنان نسخه تأیید شده را اجرا کند.
با این حال، در Plugin4Shell، ایجنت کد مربوط به Commit پین شده را دریافت می‌کند اما هرگز تأیید نمی‌کند که واقعاً در آن نقطه متوقف شده است. مهاجمی که کنترل مخزن پلاگین را در اختیار دارد، می‌تواند فرآیند Checkout را به گونه‌ای تغییر دهد که کد مخرب اجرا شود، در حالی که در ظاهر، پینینگ SHA همچنان رعایت شده به نظر می‌رسد.
سناریوهای بهره‌برداری
- تزریق پلاگین خوش‌نام: مهاجم ابتدا یک پلاگین بی‌خطر را به مارکت‌پلیس ارائه می‌دهد تا تأیید شود و سپس محتوای آن را با کد مخرب جایگزین می‌کند.
- ربودن مخازن (RepoJacking): تصاحب مخزن یک نویسنده معتبر و ارسال نسخه مخرب برای تمامی کاربرانی که آن پلاگین را نصب کرده‌اند.
به دلیل قابلیت به‌روزرسانی خودکار (Auto-update) در ایجنت‌هایی مانند Claude و Codex، این حمله به صورت Zero-click (بدون نیاز به تعامل کاربر) رخ می‌دهد.
وضعیت اصلاحیه و پاسخ سازندگان
شرکت‌های Anthropic و OpenAI اصلاحیه‌های لازم را در نسخه‌های جدید منتشر کرده‌اند. گوگل اعلام کرده که Gemini CLI را بازنشسته (Deprecated) کرده و توصیه می‌کند کاربران به محیط Antigravity مهاجرت کنند. با این حال، گزارش‌ها حاکی از آن است که Microsoft Copilot همچنان در برابر این آسیب‌پذیری آسیب‌پذیر است، زیرا از مارکت‌پلیس‌هایی در پلتفرم‌های دیگر (مانند Bitbucket) پشتیبانی می‌کند که مکانیزم‌های حفاظتی GitHub در آن‌ها وجود ندارد.
