security
「Plugin4Shell」攻撃は主要なコーディングエージェントすべてに影響すると研究者らが指摘
リモートコード実行を許してしまうゼロクリックの脆弱性が、Anthropicの「Claude Code」、OpenAIの「Codex」、Googleの「Gemini CLI」、Microsoftの「Copilot」、そしてMicrosoft傘下の「GitHub Copilot」といった主要なAIコーディングエージェントすべてに影響を及ぼしていることが分かりました。研究者らによれば、これにより攻撃者はエージェントがアクセスできるすべての資産やデータに対して、完全なアクセス権を得る可能性があるといいます。
「Plugin4Shell」と名付けられたこの攻撃手法は、企業向けAIエージェントの保護を専門とするセキュリティスタートアップAirの脅威ハンティングチームによれば、「前例のないAIサプライチェーン攻撃」だとされています。
Plugin4Shellはモデルやエージェント自体を狙うのではなく、主要なコーディングエージェント向けプラグインをホストする信頼されたマーケットプレイスを標的にします。研究者らは、こうした攻撃は数百万人のユーザーとマシンに影響を及ぼしうると述べています。
Microsoftによれば、Fortune 500企業の約90%がCopilotを利用しています。そしてMicrosoftは、この脆弱性に対するパッチを提供していない2社のうちの1社でもあります。
「修正はエージェント側で行われる必要があり、アップデートこそが、対応策が存在する場合における唯一の完全な緩和策です」と、Airの研究者であるOr Nevo氏、Dor Granat氏、Niv Hoffman氏は木曜日に公表したレポートで述べています。
Airのチームはこのセキュリティ問題を6月に4社すべてのベンダーに報告し、AnthropicとOpenAIはそれぞれClaude Code 2.1.179とCodex 0.146.0でこの問題を修正しました。
GoogleはGemini CLIを非推奨としたため、Airに対しパッチは提供しない意向を伝えました。そのため、すべてのインストール環境が脆弱なままとなっています。ただしGoogleは、この攻撃から保護されている新しいエージェント型開発環境「Antigravity」への移行をユーザーに推奨しています。
MicrosoftはCopilotの脆弱性を修正していません。しかしGitHubの広報担当者は、Plugin4Shell攻撃はGitHubには影響しないと本誌に語りました。
「SHAの悪用を防ぐため、GitHubではコミットSHAに似せたブランチ名やタグ名を作成することをユーザーに許可していません」と同広報担当者は述べています。「この緩和策により、報告された脆弱性がGitHub上で悪用されることはありません」
Airの研究者らは、このGitHubの緩和策だけではPlugin4Shell攻撃を防ぎきれないと指摘しています。理由は「マーケットプレイスはBitbucketなど他のプラットフォーム上でもホストされ得るためだ」と、同チームは本紙The Registerに語りました。
「Microsoft Copilotについても、同様に他プラットフォームのマーケットプレイスをサポートしているため、依然としてこの脆弱性の影響を受けます」と研究者らは付け加えました。「Airは同じ内容を6月以降Microsoftにも報告済みですが、残念なことに、現在同社が受け取っている開示件数の多さが原因で、まだ回答が得られていません」
MicrosoftはThe Registerからのコメント要請に、現時点では応じていません。
この脆弱性は、エージェントがマーケットプレイスのSHAピン留め機構をどのように運用しているかという部分に存在します。この機構は、エージェントのプラグインやスキルを、バージョンタグやブランチ名といった可変の参照ではなく、特定の不変なコミットハッシュに固定するものです。
これはサプライチェーン攻撃を防ぐための仕組みです。公開されているスキルのリポジトリが侵害されたとしても、AIエージェントは新しい悪意あるペイロードを自動的に取得するのではなく、ピン留め時に検証済みだった同じコードハッシュを継続して実行することになります。
研究者らはこの脆弱性を「プラグインSHAピン留めバイパス」と表現しています。
「エージェントはマーケットプレイスがピン留めした正確なコミットをチェックアウトしますが、実際にそこに到達したかどうかを検証することはありません。そのため、プラグインのリポジトリを支配下に置いた攻撃者は、ピン留めが正しく機能しているように見せかけながら、チェックアウト先を悪意あるコードへとすり替えることが可能になります」と、Nevo氏、Granat氏、Hoffman氏は記しています。「その結果がゼロクリックのリモートコード実行です」
エージェントのプラグイン自動更新機能が、この攻撃をゼロクリックにしています。ピン留めされたコミットが上流で入れ替えられると、エージェント側のプラグインは悪意あるバージョンに置き換わります。そしてClaudeとCodexはいずれも、デフォルトでインストール済みプラグインを自動的に更新する設定になっています。
研究者らによれば、攻撃者はこの脆弱性を2つの方法で悪用できるといいます。1つ目のシナリオでは、攻撃者がまず無害なプラグインを信頼されたマーケットプレイスに提出し、審査を通過させます。その後、無害だったコンテンツを悪意あるコードへと後から差し替えるというものです。
2つ目の攻撃は、正当な作者のリポジトリを乗っ取り、そのプラグインをインストールしているすべてのエージェントに対して悪意あるバージョンを配信するというものです。これは実質的に、この種のサプライチェーン攻撃を防ぐために存在するSHAピン留めという安全機構を無効化してしまいます。同チームは、以前公開したSkillJackingおよびRepoJackingの概念実証攻撃で、この種の乗っ取りを実演しています。
「これらを組み合わせることで、攻撃の連鎖は一貫して実証されています。乗っ取りは大規模に発生し得るものであり、Plugin4Shellはそれを封じ込めるために構築された仕組みそのものを打ち破るのです」と研究者らは記しています。®
