← Blog · Skillkontor prüft
Geprüfte Erweiterung installiert, und trotzdem läuft fremder Code
Bild ist KI-generiert (Piet, unser Maskottchen).
23. September 2026
Die Sicherheitsfirma AIR Security hat Mitte September einen Fehler beschrieben, den sie „Plugin4Shell“ nennt. Er steckte in vier bekannten KI-Werkzeugen fürs Programmieren: Claude Code, OpenAI Codex, GitHub Copilot und Gemini CLI. Die Forscher haben ihn mit einem funktionierenden Testaufbau gegen alle vier nachgewiesen. Von einer beobachteten Angriffswelle ist nicht die Rede.
Worum es geht: Plugin-Marktplätze legen ein Plugin normalerweise auf einen bestimmten, geprüften Stand fest. Man nennt das „pinnen“, der Stand ist eine Art Fingerabdruck des exakten Codes. Die vier Werkzeuge haben diesen Stand zwar angefordert, aber nicht kontrolliert, ob er auch wirklich angekommen ist. AIR schreibt dazu: „the agent checks out the exact commit the marketplace pinned but never verifies it landed there.“ Wer Zugriff auf das Plugin-Verzeichnis hat, kann einen Entwicklungszweig anlegen, dessen Name genauso aussieht wie dieser Fingerabdruck. Dann bekommt der untergeschobene Code Vorrang vor dem echten.
Besonders heikel ist, dass viele Werkzeuge Plugins im Hintergrund selbst aktualisieren. Der Nutzer muss also nichts anklicken. AIR fasst es so zusammen: „Doing the right thing does not protect you.“ Wer alles richtig macht und nur geprüfte Stände verwendet, war trotzdem nicht geschützt.
Zum Stand der Reparaturen: Laut Bericht hat Anthropic Claude Code mit Version 2.1.179 abgesichert, OpenAI hat Codex mit Version 0.146.0 nachgebessert. Für GitHub Copilot gab es laut Bericht bisher keinen Patch, und Google rät bei der betroffenen Gemini CLI zum Umstieg auf ein anderes Werkzeug. Wer eines dieser Werkzeuge nutzt, sollte die eigene Version prüfen.
Für uns bei Skillkontor ist das der Kern der Sache: Eine automatische Prüfung sagt, was kommen soll. Ob es wirklich angekommen ist, weiß nur, wer nachschaut. Deshalb reicht uns ein Scan allein nicht. Jeder Skill im Verzeichnis durchläuft mehrere Stufen, und am Ende schaut jemand von uns selbst hin, bevor er gelistet wird.