El exploit, apodado “Plugin4Shell”, es un “ataque a la cadena de suministro de IA único en su clase”, según los cazadores de amenazas de Air, una startup de seguridad centrada en la protección de agentes de IA empresariales.

En lugar de atacar el modelo o el agente, Plugin4Shell ataca los mercados de confianza que alojan complementos (plugins) para los principales agentes de programación. Por lo tanto, tales ataques podrían llegar a millones de usuarios y máquinas, señalaron los investigadores.

Casi el 90 por ciento de las empresas Fortune 500 utilizan Copilot, según Microsoft, que casualmente es una de las dos empresas que no lanzaron un parche para el fallo.

“La solución debe implementarse en el agente, y la actualización es la única mitigación completa donde existe una”, dijeron los investigadores de Air Or Nevo, Dor Granat y Niv Hoffman en un informe del jueves.

El equipo de Air notificó el problema de seguridad a los cuatro proveedores en junio, y tanto Anthropic como OpenAI lo parchearon en Claude Code 2.1.179 y Codex 0.146.0, respectivamente.

Google ha deprecado el Gemini CLI y, por lo tanto, dijo a Air que no lo parcheará, por lo que todas las instalaciones siguen siendo vulnerables. Google, sin embargo, sugiere que los usuarios migren a su entorno de desarrollo agente más nuevo, Antigravity, que está protegido contra este ataque.

Microsoft no corrigió el fallo en Copilot. Sin embargo, un portavoz de GitHub nos dijo que los ataques de Plugin4Shell no afectan a GitHub.

“Para evitar el abuso de los SHA, GitHub no permite que los usuarios creen nombres de ramas o etiquetas que se asemejen a los SHA de commit”, dijo el portavoz. “Esta mitigación garantiza que la vulnerabilidad reportada no pueda ser explotada en GitHub”.

Los investigadores de Air dijeron que la mitigación de GitHub no es suficiente para derrotar los ataques de Plugin4Shell. Esto es “porque los mercados también pueden ser alojados en otras plataformas como Bitbucket”, dijo el equipo.

“Microsoft Copilot también sigue siendo vulnerable porque también admite mercados de tales plataformas, lo que lo expone a la vulnerabilidad”, añadieron los investigadores. “Air también informó lo mismo a Microsoft (desde junio), pero desafortunadamente, debido al volumen de divulgaciones que están recibiendo actualmente, no obtuvimos respuesta de su parte”.

Redmond no respondió inmediatamente a la solicitud de comentarios.

El agujero de seguridad reside en cómo los agentes aplican el mecanismo de anclaje de SHA (SHA-pinning) de los mercados, que bloquea los complementos y habilidades del agente a un hash de commit específico e inmutable en lugar de una referencia mutable como una etiqueta de versión o el nombre de una rama.

Esto tiene como objetivo prevenir ataques a la cadena de suministro: si un repositorio de habilidades público se ve comprometido, su agente de IA seguirá ejecutando el mismo hash de código auditado que utilizó cuando lo ancló, en lugar de extraer automáticamente nuevas cargas útiles maliciosas.

Los investigadores describen la vulnerabilidad como un “bypass del anclaje de SHA de plugins”.

“El agente descarga el commit exacto que el mercado ancló pero nunca verifica que haya aterrizado allí, por lo que un atacante que controla el repositorio del plugin hace que la descarga resuelva a código malicioso mientras el anclaje todavía parece respetado”, escribieron Nevo, Granat y Hoffman. “El resultado es la ejecución remota de código de cero clics”.

La función de auto-actualización de complementos de los agentes convierte esto en un ataque de cero clics. Cuando un commit anclado es intercambiado en el origen, el plugin del agente es reemplazado por una versión maliciosa, y tanto Claude como Codex actualizan automáticamente los plugins instalados por defecto.

Los investigadores afirman que un atacante podría abusar de este fallo de dos maneras. En un escenario, el atacante envía un plugin benigno a un mercado de confianza, el plugin pasa la revisión y luego el atacante reemplaza el contenido benigno con código malicioso.

El segundo ataque implica el secuestro del repositorio de un autor legítimo y luego el envío de la versión maliciosa a cada agente que lo tenga instalado, eludiendo esencialmente el mecanismo de seguridad de anclaje de SHA que existe para detener este tipo de ataque a la cadena de suministro. El equipo demuestra este tipo de toma de control en sus ataques de prueba de concepto previos de SkillJacking y RepoJacking.

“Juntos, se demuestra la cadena de principio a fin: las tomas de control ocurren a escala y Plugin4Shell derrota el mecanismo construido para contenerlas”, escribieron los investigadores. ®

Fuente:
TheRegister