Segurança & Risco

Plugin4Shell — AIR revela zero-click RCE que quebra SHA-pinning em Claude Code, Codex, GitHub Copilot e Gemini CLI; Anthropic e OpenAI patcham, Microsoft não corrige e Google aposenta Gemini CLI redirecionando pra Antigravity

Pesquisadores da AIR (Or Nevo, Dor Granat, Niv Hoffman) divulgaram em 17/09 uma falha de bypass do SHA-pinning em marketplaces de plugin que permite substituir código já "travado por hash" por versão maliciosa e disparar execução remota sem interação do usuário — o mesmo vetor atinge Claude Code, OpenAI Codex, GitHub Copilot e Gemini CLI simultaneamente. Anthropic corrigiu no Claude Code 2.1.179, OpenAI corrigiu no Codex 0.146.0, Microsoft ainda não patchou o Copilot e Google optou por descontinuar o Gemini CLI, redirecionando usuários pro Antigravity CLI.

21 de setembro de 2026

POR QUE IMPORTA

Não é bug em uma implementação — é premissa compartilhada por quatro times independentes: assumir que SHA de commit é âncora de integridade suficiente em fluxo onde repositório continua mutável. A superfície explode porque plugins são o vetor típico de expansão de agentes de código em ambiente corporativo (o próprio pitch de MCPs e marketplaces), e "zero-click" aqui significa que o simples upgrade automático de plugin já basta pra RCE. Três leituras práticas: (1) valida a tese de que ecossistema de plugin sem revogação criptograficamente sólida vira supply-chain risk imediato — quem tem Claude Code ou Codex em produção precisa ir pra 2.1.179 / 0.146.0 hoje; (2) a resposta divergente dos vendors — Anthropic e OpenAI patcham em dias, Microsoft ignora, Google mata o produto — vira benchmark tácito de maturidade de security response e vai pesar em procurement; (3) reforça o padrão "AI agent breakouts + supply chain de plugin" que apareceu no cluster Gemini/Hacktron/Anthropic Threat Intel de setembro — o eixo de risco 2026 é agentic runtime, não modelo em si.

FONTES

The Hacker News Help Net Security GBHackers Security Online Pebblous Blog Eastern Herald FourWeekMBA AiCybr