Plugin4Shell ゼロクリックRCE脆弱性が公開——4つのAIコードアシスタントのうち2社が未修正

2026年9月18日、セキュリティ企業AIRはPlugin4Shell脆弱性を公開した。この脆弱性はClaude Code、Codex、GitHub Copilot、Gemini CLIの4つの主要AIコードアシスタントに影響する。AnthropicのClaude Code v2.1.179とOpenAIのCodex 0.146.0はすでに修正済みであり、MicrosoftはCopilot向けのパッチをいまだ提供しておらず、GoogleはGemini CLIを廃止する選択をした。

事実の整理

AIRの研究によると、Plugin4ShellはAIエージェントエコシステムにおいて文書化された初のサプライチェーンレベルの脆弱性である。攻撃者はユーザーの操作を一切必要とせず、プラグインのSHAハッシュと同名のGitブランチを作成するだけで、インストール済みプラグインに悪意あるコードを注入し、ローカルコードベース、クラウド認証情報、SSHキーを乗っ取ることができる。この脆弱性は2026年5月に発見され、6月に各ベンダーへ開示された。

公開された資料によると、SHA pinningはプラグインのバージョンを固定するはずだったが、4つのエージェントはいずれもpinnedコミットのチェックアウト時に実際のチェックアウト先を検証しておらず、攻撃者がpinningの外観を維持したまま悪意あるコードに差し替えることを可能にしていた。

メカニズムの解説

この脆弱性には2つの悪用経路が存在する。第1の経路では、攻撃者がまず審査を通過するように見せかけた正常なプラグインを公開し、その後ブランチ置き換えによって悪意あるコードを注入する。第2の経路では、攻撃者がすでに信頼を得たプラグインリポジトリを乗っ取り、同じ回避メカニズムを利用して悪意ある更新をプッシュする。AIRの以前のSkillJacking研究では、リポジトリの乗っ取りが大規模に実行可能であることが実証されている。

ゼロクリックという特性は、バックグラウンドの自動更新メカニズムに起因する。Claude CodeとCodexではこの機能がデフォルトで有効になっており、マーケットプレイスがpinned SHAを更新すると、ユーザーの関与なしに悪意あるコードが伝播する。Gemini CLIは独立した取得・チェックアウトのメカニズムを通じて露出していた。

業界への影響

この脆弱性は、セキュリティモデルに従ってプラグインを正しくインストール・審査した開発者に直接影響を及ぼし、不注意なユーザーに限らず露出範囲が広がる。AnthropicとOpenAIはエージェント側の修正によって対応を完結させたが、MicrosoftのCopilotは依然として未修正の状態にある。GoogleはGemini CLIを廃止し、新しいエージェントであるAntigravityへの移行を推奨している。

検証ロジックはマーケットプレイスではなくエージェント側に存在するため、マーケットプレイス単独での保護は不可能であり、修正は各ベンダーがエージェント側で実施する必要がある。

戦略的評価

【分析】主要AIコードアシスタントの信頼の前提はサプライチェーンレベルで崩壊しており、ベンダー間のパッチ対応速度の差異はコンプライアンスや採用上のリスクをもたらす可能性がある。Googleが修正ではなく製品廃止を選択したことは、各ベンダーがプラグインのpinningメカニズムへの依存度において分化していることを示しており、一部ユーザーがpinningを持たないエージェントへ移行する動きを加速させる可能性がある。

【分析】従来のサプライチェーン脆弱性はインストール段階に集中することが多かったが、Plugin4ShellはゼロクリックとAutomatic Update（自動更新）を組み合わせることで、その影響をランタイムにまで拡大しており、AIエージェントエコシステムにおいて「すべての対策を正しく講じた」ユーザーでも継続的な露出リスクに直面するという現実を浮き彫りにしている。