何が起きたか
AIR Security研究者（Or Nevo、Dor Granat、Niv Hoffman）は2026年9月17～18日、4つの主要なAIコーディングエージェントすべてが、SHA固定プラグイン/スキルインストールの検証方法において同一の欠陥を共有していることを開示しました。ピンはフェッチ時にチェックされますが、実際にチェックアウトされたHEADに対して再検証されることはありません。これはモデルまたはエージェントランタイム自体ではなく、AIエージェント配信レイヤーを対象とした初の特定されたサプライチェーン脆弱性です。
なぜ重要か
プラグインは、エージェントを実行している開発者の完全な権限を継承します。ソースコード、クラウド認証情報、SSHキー、CI/CDシークレット、本番環境へのアクセスです。この欠陥は、セキュリティ意識の高い組織が依存している正確なセーフガード（SHA固定）を無効にするため、すべてを正しく行うこと（プラグインの確認とピン留め）は実際の保護を提供しません。同じ設計エラーはすべての主要なAIコーディングエージェントベンダーによって独立して作成されており、クラシックなソフトウェアサプライチェーンラグプル攻撃を反映していますが、ゼロクリック、クロスベンダースケール規模のAIエージェントサプライチェーンにおけるシステム的な盲点を示唆しています。
攻撃経路
4つすべてのエージェントがSHA固定プラグインコミットをチェックアウトしますが、結果のワーキングツリーが実際にそのコミットハッシュと一致するかどうかを確認することはありません。gitはコミットオブジェクトより同じ名前のref（ブランチ）名を優先するため、プラグインリポジトリの所有者は固定された40進数コミットハッシュにちなんだ名前のブランチを作成し、悪意のあるコードを指すことができます。エージェントのチェックアウトは悪意のあるブランチに解決されながら、予想されるSHAがインストール済みとして報告されます。バックグラウンド自動更新を備えたエージェント（Claude Code/Codexマーケットプレイスのデフォルト）では、これはユーザー操作を必要とせず、次の更新サイクルで悪意のあるコードが信頼できるプラグインを静かに置き換えます。
影響を受けるシステム
Claude Code（< 2.1.179）、OpenAI Codex（< 0.146.0）、GitHub Copilot（未パッチ）、Google Gemini CLI（パッチなし — 非推奨）
緩和策
Claude Codeを2.1.179+に、Codexを0.146.0+に直ちに更新してください。GitHub Copilotにはまだ修正がありません。Googleはgemini CLIをパッチしません（Antigravityに移行してください）。GitHubがホストするマーケットプレイス（GitHubはハッシュ形のブランチ名を拒否し、クラシック変種を鈍化させます）を優先し、バイパスが完全に悪用可能な状態が保たれるBitbucket/自己ホストプラグインソースを避けてください。