Die Prüfung eines Plugins gilt einer bestimmten Codeversion, und genau diese Zuordnung lässt sich nach Angaben von Air Security mit einem passend benannten Zweig aushebeln.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Die geprüfte Version und der installierte Code

KI-Programmieragenten installieren Erweiterungen, sogenannte Plugins, aus Marktplätzen. Ein Marktplatz prüft ein Plugin und legt es danach auf eine bestimmte Codeversion fest, erkennbar an ihrer Prüfsumme, dem Commit-Hash. Laut Air holen die Agenten diese Version zwar ab, prüfen aber nicht, ob danach wirklich dieser Code installiert ist.

Hier setzt der Trick an. Wer das Quellarchiv eines Plugins kontrolliert, legt einen Zweig an, dessen Name genau wie die festgelegte Prüfsumme aussieht, und macht ihn zum Standardzweig. Git bevorzugt dann den Zweig. Installiert wird anderer Code, während der Agent weiterhin die geprüfte Version meldet. Bei Gemini CLI von Google funktioniert es laut Air über einen Standardzweig namens FETCH_HEAD.

Air stuft die Lücke als hochgradig ein und spricht von Codeausführung ohne jeden Klick.

Warum niemand klicken muss

Einen Klick braucht es nicht, weil die Agenten installierte Plugins im Hintergrund aktualisieren, in Claude Code und Codex laut Air standardmäßig. Ein bereits installiertes, vertrauenswürdiges Plugin kann so ersetzt werden, ohne dass jemand etwas tut. The Hacker News schränkt das ein: Standardmäßig an ist die automatische Aktualisierung nur für die eingebauten Marktplätze, und die liegen auf GitHub. Für fremde Marktplätze ist sie aus oder optional.

Air nennt zwei Wege, auf denen jemand an ein solches Quellarchiv kommt. Der erste führt über ein zunächst harmloses Plugin, das die Prüfung passiert und später ausgetauscht wird. Beim zweiten übernimmt jemand das Quellarchiv eines fremden Plugins, dem die Nutzer bereits vertrauen.

Laut Air laufen Plugins mit denselben Rechten wie die Person, die den Agenten bedient, also mit Zugriff auf deren Dateien, gespeicherte Zugangsdaten und verbundene Systeme. Um fremden Code in KI-Werkzeugen und um Zugangsdaten ging es auch beim Lieferkettenangriff auf LiteLLM.

Wo der Trick greift und wo nicht

Entscheidend ist, wo das Quellarchiv liegt. GitHub lehnt Zweignamen ab, die wie eine Prüfsumme aussehen, Bitbucket und selbst betriebene Git-Server erlauben sie. Laut Air listet Anthropic Bitbucket und selbst betriebenes Git ausdrücklich als zulässige Quellen für Marktplätze.

Laut einer Durchsicht der mitgelieferten Marktplätze durch The Hacker News am 18. September verweist jedes Plugin in den Standardkatalogen von Claude Code und Copilot auf ein Archiv bei GitHub. Wer nur aus diesen Standard-Marktplätzen installiert, ist für die Zweignamen-Variante nach Airs und GitHubs eigener Darstellung nicht angreifbar.

Für Gemini CLI gilt diese Entwarnung nicht ohne Weiteres, denn laut The Hacker News ist nicht belegt, dass GitHub die FETCH_HEAD-Variante verhindert.

Was korrigiert ist und was offen bleibt

Den Zeitablauf schildert Air so: Gefunden wurde die Lücke im Mai 2026, gemeldet an alle vier Anbieter im Juni 2026. Anthropic hat die Korrektur laut Air am 17. Juni 2026 bestätigt, enthalten ist sie nach Airs Angaben in Claude Code 2.1.179. In Anthropics Versionshinweisen zu dieser Version wird sie laut The Hacker News allerdings nicht erwähnt. Die Aussage, der Fehler sei dort behoben, stammt also von Air. Für Codex gibt es eine zweite Quelle: Version 0.146.0 wurde laut Air am 12. August 2026 als korrigiert bestätigt, und OpenAIs Änderungsprotokoll dazu beschreibt laut The Hacker News denselben Fehler. Google hat laut Air am 4. August 2026 mitgeteilt, dass keine Korrektur kommt. Air empfiehlt den Umstieg auf Antigravity, das von diesem Angriff nicht erreicht werde. Laut The Hacker News läuft der Unternehmenszugang zu Gemini CLI allerdings mit Updates weiter, ob eine Korrektur für diese Lücke dazugehört, ist offen.

Bei GitHub Copilot widersprechen sich die Darstellungen. Air sagt, es gebe keine Korrektur, und hat Microsoft nach eigenen Angaben informiert. Ein GitHub-Sprecher sagte The Register sinngemäß, GitHub erlaube keine Zweig- oder Tag-Namen, die wie Prüfsummen aussehen, deshalb lasse sich die Lücke auf GitHub nicht ausnutzen. Die Forscher halten dagegen, das reiche nicht, weil Marktplätze auch auf anderen Plattformen wie Bitbucket liegen können.

Einiges bleibt offen. Bis zum 18. September gab es laut The Hacker News weder eine CVE-Nummer noch einen Sicherheitshinweis eines der vier Anbieter, einen Hinweis auf einen echten Angriff ebenfalls nicht. Ob ein Update ein bereits ausgetauschtes Plugin entfernt oder nur künftige Austausche verhindert, sagen die Quellen nicht. Die Einstufung als hochgradig stammt von Air, und Air verkauft selbst Produkte für diesen Bereich.

Unsere Einschätzung

Angehen sollte das Thema aus unserer Sicht jeder Betrieb, in dem jemand einen der genannten Agenten mit Plugins nutzt, auch außerhalb der Softwareentwicklung, etwa für Auswertungen oder kleine Werkzeuge.

Wir würden zuerst die Agenten auf die Versionen bringen, die laut Air korrigiert sind, also Claude Code 2.1.179 und Codex 0.146.0. Danach lohnt der Blick darauf, aus welchen Marktplätzen die installierten Plugins stammen. Liegt die Quelle auf Bitbucket oder einem selbst betriebenen Server, verdient das Plugin aus unserer Sicht eine eigene Prüfung.

Wichtiger als dieser eine Fehler ist das Muster dahinter. Eine Freigabe gilt immer einem bestimmten Stand, und was danach im Hintergrund nachgeladen wird, muss diesem Stand nicht mehr entsprechen. Plugin4Shell nutzt genau den Abstand zwischen geprüftem und laufendem Code. Wer KI-Agenten Erweiterungen aus fremder Hand installieren lässt, sollte deshalb wissen, wer diesen Stand nach der Freigabe noch verändern kann.

Zugangsdaten gehören aus unserer Sicht nicht auf Rechner, auf denen Agenten mit fremden Erweiterungen laufen. Ein Plugin darf dort alles, was der Mensch am Rechner darf.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 18. September 2026):

Häufige Fragen

Was ist Plugin4Shell?

Plugin4Shell ist eine Schwachstelle in KI-Programmieragenten, die das Sicherheitsunternehmen Air Security am 17. September 2026 veröffentlicht hat. Laut Air kann dabei der Code eines geprüften Plugins ausgetauscht werden, während der Agent weiter die geprüfte Version meldet. Betroffen sind nach Airs Angaben Claude Code, Codex, GitHub Copilot und Gemini CLI.

Welche Versionen von Claude Code und Codex sind korrigiert?

Laut Air ist die Lücke in Claude Code 2.1.179 und in Codex 0.146.0 korrigiert. Für Codex beschreibt laut The Hacker News auch das Änderungsprotokoll von OpenAI denselben Fehler. Anthropics Versionshinweise zu 2.1.179 erwähnen die Korrektur laut The Hacker News nicht, die Angabe dazu stammt von Air.

Ist GitHub Copilot von Plugin4Shell betroffen?

Hier widersprechen sich die Darstellungen. Air sagt, für GitHub Copilot gebe es keine Korrektur. Ein GitHub-Sprecher erklärte gegenüber The Register sinngemäß, Zweig- und Tag-Namen, die wie Prüfsummen aussehen, seien auf GitHub nicht erlaubt, deshalb lasse sich die Lücke dort nicht ausnutzen. Die Forscher verweisen darauf, dass Marktplätze auch auf Plattformen wie Bitbucket liegen können.

Muss ein Betrieb jetzt sofort handeln?

Bis zum 18. September war laut The Hacker News weder eine CVE-Nummer vergeben noch ein echter Angriff bekannt. Aus unserer Sicht lohnt es sich trotzdem, die Agenten auf die laut Air korrigierten Versionen zu bringen und nachzusehen, aus welchen Marktplätzen die Plugins stammen, besonders bei Quellen auf Bitbucket oder selbst betriebenen Git-Servern. Weil Plugins mit den Rechten der Person am Rechner laufen, gehören Zugangsdaten nach unserer Einschätzung nicht auf Rechner, auf denen Agenten mit fremden Erweiterungen arbeiten.

Wer im Betrieb weiß, welche Plugins in den KI-Agenten laufen und woher sie kommen?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 18. September 2026. Stand der Recherche: 18. September 2026.