Plugin4Shell : le pinning par SHA ne vérifiait rien dans quatre agents de code

Catégories

Tags

🔍 Licence d'Utilisation 🔍

Sauf mention contraire, le contenu de ce blog est sous licence CC BY-NC-ND 4.0.

© 2025 à 2042 Sébastien Gioria. Tous droits réservés.

⏱️
Temps de lecture estimé
6 min de lecture
🚧 Article en cours de rédaction
Publication prévue le 09/10/2026
Air Security a montré que Claude Code, Codex, GitHub Copilot et Gemini CLI installent un plugin « épinglé » sur un commit approuvé sans jamais vérifier qu'ils ont bien récupéré ce commit. Il suffit d'une branche nommée comme le hash. L'agent installe le code de l'attaquant et annonce avoir respecté le pin.
LinkedIn Reddit Substack