主流AI编程智能体曝零点击RCE漏洞，Copilot仍未修复

企业 AI 安全初创公司 Air 近日披露了一个波及主流 AI 编程智能体的高危漏洞，代号为“Plugin4Shell”。该漏洞绕过了智能体用于锁定验证代码的 SHA 校验机制，可直接赋予攻击者开发者本机的完整访问权限，进而渗透受控环境内的所有资产。

攻击原理：利用插件校验盲区

该漏洞主要针对 Anthropic 的 Claude Code、OpenAI 的 Codex、Google 的 Gemini CLI 以及微软的 Copilot 所依赖的插件市场。与直接攻击大语言模型本体不同，Plugin4Shell 利用了 AI 智能体在验证插件完整性时存在的逻辑缺陷。

具体而言，智能体会检出市场指定的具体提交（Commit），但从未真正确认最终检出的是否为正确代码。一旦攻击者控制了插件仓库，便能在保持提交固定（SHA-pinning）表面正常的同时替换为恶意代码。

由于各大 AI 智能体默认会自动更新已安装的插件，攻击过程完全不需要用户交互。Air 的安全研究人员 Or Nevo、Dor Granat 和 Niv Hoffman 在报告中指出，这构成了真正的“零点击远程代码执行”。黑客通常有两种攻击路径：先提交合规插件通过市场审核，随后替换恶意代码；或者劫持正规作者的仓库，向所有安装该插件的智能体下发恶意版本。

厂商修复进展不一

Air 早在 6 月就向四家厂商通报了该漏洞。各大厂商的跟进情况如下：

• Anthropic 与 OpenAI：已分别在 Claude Code 2.1.179 和 Codex 0.146.0 中修复该问题。
• Google：已弃用 Gemini CLI，表示不会针对该工具发布补丁，并引导用户转向新推出的 Antigravity 智能体开发环境。
• 微软：目前仍未修复 Copilot。GitHub 发言人对此表示，平台现有的防御措施（禁止用户创建与 Commit SHA 类似的分支或标签名）足以抵御攻击。但 Air 团队对此提出异议，指出插件市场可能托管在 Bitbucket 等第三方平台，缺乏类似防护机制，导致 Copilot 依然处于风险之中。

AI 供应链安全风险升级

随着 AI 编程助手在企业内广泛普及，这一漏洞再次引发了业内对 AI 供应链安全的高度关注。据微软数据显示，近 90% 的财富 500 强企业都在使用 Copilot。而在今年 8 月的 Black Hat 大会上，已有研究证明主流 AI 编程智能体容易受到提示词注入攻击，从而导致凭证外泄或引发供应链攻击。

安全研究团队强调，此类漏洞必须在智能体软件本身层面完成修复，及时更新客户端是目前唯一的彻底缓解措施。