Plugin4Shell Açığı: Claude Code, Codex, Gemini CLI ve Copilot’ta Sıfır Tıklamalı Kod Yürütme Riski

Kurumsal yapay zeka güvenliğine odaklanan girişim Air’deki araştırmacılar, dört büyük yapay zeka kodlama ajanını aynı anda etkileyen kritik bir güvenlik açığını kamuoyuyla paylaştı. “Plugin4Shell” adı verilen açık, ajanların yüklediği eklentileri doğrulanmış kodla eşleştirmek için kullandığı SHA-sabitleme mekanizmasını devre dışı bırakıyor ve saldırganların geliştirici makinelerine, hatta ajanın erişebildiği tüm kurumsal verilere sızmasına kapı aralıyor.

Saldırı Nasıl Çalışıyor?

Plugin4Shell, yapay zeka modelinin kendisini değil, ajanların eklenti bütünlüğünü doğrulama biçimindeki bir zayıflığı hedef alıyor. Ajan, eklenti pazar yerinin sabitlediği commit’i indiriyor ama gerçekten doğru koda ulaşıp ulaşmadığını hiçbir zaman teyit etmiyor. Bu boşluk, eklentinin deposuna erişimi olan bir saldırganın sabitlenmiş görünümü bozmadan kötü amaçlı kod yerleştirmesine imkân veriyor. Air araştırmacıları Or Nevo, Dor Granat ve Niv Hoffman iki farklı saldırı senaryosu belirledi: pazar yeri incelemesinden geçen zararsız bir eklenti yayımlayıp sonradan içeriğini değiştirmek, ya da meşru bir geliştiricinin deposunu ele geçirerek kötü amaçlı sürümü eklentiyi kullanan herkese otomatik olarak dağıtmak. Ajanlar yüklü eklentileri varsayılan olarak kendiliğinden güncellediği için saldırı hiçbir kullanıcı etkileşimi gerektirmiyor; bu da açığı klasik bir “sıfır tıklama” tehdidine dönüştürüyor.

Yama Süreci Tamamlanmadı

Air, açığı Haziran ayında Anthropic, OpenAI, Google ve Microsoft’a bildirdi. Anthropic, Claude Code’un 2.1.179 sürümünde; OpenAI ise Codex’in 0.146.0 sürümünde açığı kapattı. Google, sorunlu Gemini CLI’yi kullanımdan kaldırma kararı aldığını belirterek herhangi bir yama yayımlamayacağını, kullanıcıların yeni nesil aracı Antigravity’ye geçmesi gerektiğini duyurdu. Microsoft’un Copilot’ı için ise henüz bir düzeltme yok. GitHub sözcüsü, platformun kullanıcıların commit SHA’larına benzeyen dal veya etiket adı oluşturmasını engelleyen mevcut kontrollerinin istismarı zaten önlediğini savunuyor. Air’in araştırmacıları bu görüşe katılmıyor; eklenti pazar yerlerinin böyle bir korumanın bulunmadığı Bitbucket gibi platformlarda da barındırılabildiğini, dolayısıyla Copilot kullanıcılarının hâlâ risk altında olduğunu vurguluyor.

Büyüyen Bir Saldırı Yüzeyi

Plugin4Shell, yapay zeka destekli kodlama araçlarına yönelik güvenlik endişelerinin giderek büyüdüğü bir döneme denk geliyor. Microsoft’a göre Fortune 500 şirketlerinin yaklaşık yüzde doksanı Copilot kullanıyor; bu da olası bir istismarın etki alanını hayli genişletiyor. Ağustos ayında Black Hat 2026 konferansında sunulan ayrı bir araştırma da Anthropic, Google ve OpenAI’nin kodlama ajanlarının, kimlik bilgisi hırsızlığına ve tedarik zinciri ele geçirmelerine yol açabilecek istem enjeksiyonu saldırılarına karşı savunmasız olduğunu ortaya koymuştu. Air araştırmacıları, düzeltmenin doğrudan ajanların kendisine entegre edilmesi gerektiğini, güncel sürüme geçmenin şu an için tek kapsamlı önlem olduğunu belirtiyor.