AIR、AI開発ツールのゼロクリック脆弱性Plugin4Shell公表

サイバーセキュリティスタートアップのAIRの研究チームは、GitHub Copilot（開発者のコーディング作業を自律支援するAIツール）やAnthropicの「Claude Code（ターミナル上で自律的にコード編集やコマンド実行を行うAIエージェント）」、OpenAIの「Codex（ソースコード解析や自動生成を行うAIプログラミングエンジン）」などの主要なAIコーディングエージェントに影響を与える重大な脆弱性「Plugin4Shell（Gitのコミットハッシュ検証不備を悪用し悪意あるプラグインを実行させる脆弱性）」を公表しました。開発者の追加操作なしに不正コードを実行されるゼロクリックRCE（遠隔から任意の悪意あるプログラムを実行させる攻撃手法（リモートコード実行））のリスクが指摘されています。

GitのSHAコミット検証不備を突いて悪意あるプラグインを実行

InfoWorldの報道およびAIRの技術レポートによると、この脆弱性はAIコーディングエージェントがプラグインをGitリポジトリから取得・検証する際の処理ロジックに起因しています。

企業ではAIエージェントの機能を拡張するため、外部ツールやAPIと接続するプラグインを導入します。通常、開発者が安全性を確認したコミットのSHAハッシュ値を指定し、エージェントはそのSHAに基づいてコードを取得します。しかし、対象のエージェント群はGitに対してSHAを渡してチェックアウトを指示するものの、実際にGitがチェックアウトしたコミットが指定されたSHAと同一であるかを検証していませんでした。

攻撃者がプラグインリポジトリを管理している場合、悪意あるコードを含むブランチやタグの名前として「正規コミットのSHA文字列」を設定することで、Gitの参照解決を騙し、エージェントに悪意あるコードを強制実行させることが可能になります。

独自価値要素：各社ツールの対応状況比較と企業の緩和策

主要各社における脆弱性の対応状況は下表の通りです。

ツール名	ベンダー	対応状況	修正バージョン / 推奨対応
Claude Code	Anthropic	修正完了	バージョン 2.1.179 にアップデート
Codex	OpenAI	修正完了	バージョン 0.146.0 にアップデート
Gemini CLI	Google	未修正（非推奨）	ツール自体を非推奨化しAntigravityへの移行を推奨
GitHub Copilot	GitHub	未対応（一部制限のみ）	コミットSHA風のタグ名作成制限を適用済みだが他ホスト経由は未解決

企業の開発チームが直面するリスクと対策

AIコーディングエージェントは通常、開発者本人と同等のファイルアクセス権限やAPIキー、クラウド認証情報、社内CI/CD環境へのアクセス権を保持しています。そのため、プラグイン経由でRCEが成立した場合、企業秘密のソースコード漏洩やインフラの侵害へと直結する危険性があります。

セキュリティアナリストは、組織内のAIツールが最新バージョンに自動更新されているかの確認に加え、不審なネットワーク接続やGit操作、予期しないプラグインファイルの存在をEDRやIAM監査ログで定期調査することを推奨しています。

分析と今後の展望

編集部注: AIエージェントに自律的なタスク実行権限を委譲する潮流が進む一方で、ツール連携やプラグインの取得プロセスといった周辺インフラの検証設計は脆弱なまま放置されがちです。今回のPlugin4Shellは、モデルそのもののプロンプトインジェクションだけでなく、従来のソフトウェアサプライチェーンの根本的な検証設計こそがAIエージェントの安全性を担保する要であることを示しています。

引用元：InfoWorld | AIR Security