Plugin4Shell: una falla de clic cero compromete a Claude Code, Codex, Copilot y Gemini CLI
Una investigación de seguridad reveló que los cuatro agentes de código con IA más usados verifican mal el hash de los plugins que instalan, lo que permite colar código malicioso sin ninguna acción del usuario. Solo Anthropic y OpenAI ya lo corrigieron.
La firma de seguridad Air encontró que los cuatro agentes de código más usados con IA (Claude Code, Codex, GitHub Copilot y Gemini CLI) confían en el hash SHA de un commit para verificar que un plugin instalado sea exactamente el que el desarrollador revisó, pero nunca comprueban que ese hash siga apuntando al mismo contenido. Un dueño de repositorio puede crear una rama cuyo nombre coincida con el hash de 40 caracteres del commit aprobado; en el checkout, git puede priorizar esa referencia por nombre sobre el objeto de commit original, así que el agente termina descargando e instalando código distinto al que fue revisado, sin pedir ninguna confirmación adicional.
En Gemini CLI el mecanismo de explotación es algo distinto: su proceso de plugins descarga el commit esperado pero luego hace checkout de FETCH_HEAD, así que basta con una rama llamada así en el repositorio para redirigir la instalación hacia contenido malicioso. El riesgo es serio porque estos plugins suelen heredar los mismos permisos del desarrollador que corre el agente, incluyendo acceso al código fuente local, credenciales de nube, llaves SSH y sistemas de producción.
Air avisó a los cuatro proveedores en junio y hasta el 18 de septiembre nadie había publicado un CVE ni un aviso formal. Anthropic ya corrigió el problema en Claude Code 2.1.179 y OpenAI en Codex 0.146.0; Microsoft no ha lanzado parche para Copilot y Google retiró Gemini CLI sin corregirlo. Quien instale plugins solo desde los marketplaces oficiales de GitHub de cada agente está menos expuesto, porque la actualización automática viene activada por defecto únicamente ahí; los marketplaces externos son el punto de mayor riesgo.