跳到主要內容

Plugin4Shell評測：AI編碼助手零點擊漏洞未修完 | Plugin4Shell Review: Zero-Click RCE Hits AI Coding Agents

By Kit 小克 | AI Tool Observer | 2026-09-24

🇹🇼 Plugin4Shell評測：AI編碼助手零點擊漏洞未修完

Plugin4Shell 是 2026 年 9 月中由資安公司 AIR 揭露的零點擊（zero-click）遠端程式碼執行漏洞，一口氣影響 Claude Code、OpenAI Codex、GitHub Copilot、Google Gemini CLI 四大主流 AI 編碼代理，估計有數百萬個已安裝外掛暴露在風險中。如果你每天靠這些工具寫程式、跑腳本，這篇文章告訴你發生了什麼事、誰修了誰沒修、以及現在該做什麼。

什麼是 Plugin4Shell？

Plugin4Shell 是一個利用「SHA pinning（雜湊鎖定）」機制漏洞的供應鏈攻擊。外掛市集原本會鎖定一個已審核的 commit 雜湊值，確保外掛內容不會被偷換；但代理程式只檢查「有沒有 checkout 到那個雜湊」，卻沒有真的驗證結果是否吻合。攻擊者只要控制外掛的原始碼庫，就能讓同一個雜湊值指向惡意程式碼，SHA pinning 形同虛設。

為什麼「零點擊」就能中招？

因為 Claude Code 與 Codex 預設會在背景自動更新已安裝外掛，使用者不需要點擊同意、重新安裝或執行任何操作，惡意版本就能在下一次自動更新時悄悄落地。更麻煩的是，外掛通常繼承與使用者相同的權限，包括本機原始碼、雲端憑證、SSH 金鑰、內部倉庫，甚至正式環境都可能因此曝險。

四大 AI 編碼代理修補進度到哪了？

目前 Anthropic 的 Claude Code 與 OpenAI 的 Codex 已釋出修補版本。Microsoft 的 GitHub Copilot——近九成 Fortune 500 企業在用——至今尚未修補。Google 的 Gemini CLI 因官方已宣布棄用，直接表態不會再修，代表所有現存安裝都將持續處於高風險狀態。

現在該怎麼保護自己？

  • 立刻把 Claude Code、Codex 更新到最新版本
  • 若仍在用 GitHub Copilot 或 Gemini CLI 外掛，先關閉自動更新，改成人工審查外掛來源
  • 盤點外掛實際持有的權限，避免讓外掛直接握有雲端憑證或 SSH 金鑰
  • 訂閱所用代理廠商的資安公告，追蹤後續修補進度

常見問題 FAQ

Q: Plugin4Shell 會影響一般聊天型 AI 使用者嗎？
A: 不會，這個漏洞只影響有安裝外掛的 AI 編碼代理使用者，純聊天用途的 AI 助手不受影響，但企業內部使用 Copilot 的開發團隊風險較高。

Q: 我要怎麼知道自己的外掛是不是已經被動過手腳？
A: 目前沒有官方掃描工具，建議手動比對外掛倉庫的最新 commit 紀錄，並優先信任已釋出修補的代理程式。

Q: 關掉自動更新就安全了嗎？
A: 能降低風險但不是萬無一失，因為就算手動更新，只要外掛倉庫早已被植入惡意程式碼，一樣會裝到中毒版本。真正解決問題還是要等官方修補上線。

好不好用，試了才知道。

🇺🇸 Plugin4Shell Review: Zero-Click RCE Hits AI Coding Agents

Plugin4Shell is a zero-click remote code execution vulnerability disclosed in mid-September 2026 by security firm AIR, hitting four major AI coding agents at once: Claude Code, OpenAI Codex, GitHub Copilot, and Google Gemini CLI, with an estimated millions of installed plugins exposed. If you write code with these tools every day, here's what happened, who's patched, and what to do right now.

What Is Plugin4Shell?

Plugin4Shell is a supply-chain attack that breaks SHA pinning, the mechanism meant to lock an installed plugin to one reviewed commit hash so its contents can't be swapped. The catch: agents check out the pinned hash but never verify the checkout actually matches it. Anyone who controls the plugin's source repo can make that same hash resolve to malicious code while pinning still looks perfectly intact.

Why Does It Take Zero Clicks?

Because Claude Code and Codex auto-update installed plugins in the background by default, a malicious version can land silently on the next scheduled update — no approval, click, or reinstall needed. Worse, plugins typically inherit the same permissions as the developer running them, including local source code, cloud credentials, SSH keys, internal repos, and even production access.

Which Agents Have Actually Patched It?

Anthropic's Claude Code and OpenAI's Codex have both shipped fixes. Microsoft's GitHub Copilot — used by nearly 90% of Fortune 500 companies — remains unpatched. Google's Gemini CLI has been deprecated, and Google has confirmed it won't be fixed at all, meaning every existing install stays permanently exposed.

How Do You Protect Yourself Right Now?

  • Update Claude Code and Codex to the latest version immediately
  • If you're still running Copilot or Gemini CLI plugins, disable auto-updates and manually review plugin sources
  • Audit what permissions your plugins actually hold — don't let them sit directly on cloud credentials or SSH keys
  • Follow your agent vendor's security advisories for the latest patch status

FAQ

Q: Does Plugin4Shell affect casual chatbot users too?
A: No. It only affects users who install plugins into AI coding agents — standard chat-only AI assistants aren't exposed, though dev teams running Copilot face higher risk.

Q: How do I know if my plugin has already been tampered with?
A: There's no official scanner yet. Manually check the plugin repo's recent commit history and prioritize agents that have already shipped a patch.

Q: Is disabling auto-update enough to stay safe?
A: It lowers risk but isn't foolproof — if the plugin repo is already compromised, a manual update installs the same malicious code. Waiting for an official patch is what actually closes the hole.

The only way to know if it's worth using is to try it yourself.

Sources / 資料來源

常見問題 FAQ

Plugin4Shell 會影響一般聊天型 AI 使用者嗎？

不會，這個漏洞只影響有安裝外掛的 AI 編碼代理使用者，純聊天用途的 AI 助手不受影響。

我要怎麼知道自己的外掛是不是已經被動過手腳？

目前沒有官方掃描工具，建議手動比對外掛倉庫的最新 commit 紀錄，並優先信任已釋出修補的代理程式。

關掉自動更新就安全了嗎？

能降低風險但不是萬無一失，因為就算手動更新，只要外掛倉庫早已被植入惡意程式碼，一樣會裝到中毒版本。

延伸閱讀 / Related Articles

AI 工具觀察站 — 每日精選 AI Agent 與工具趨勢
AI Tool Observer — Daily curated AI Agent & tool trends

留言

張貼留言

這個網誌中的熱門文章

Google Ironwood TPU v7 推理專用晶片解析：效能追平 NVIDIA、成本低 44%，AI 晶片戰爭正式開打 | Google Ironwood TPU v7 Explained: Matching NVIDIA Performance at 44% Lower Cost — The AI Chip War Heats Up

By Kit 小克 | AI Tool Observer | 2026-04-21 🇹🇼 Google Ironwood TPU v7 推理專用晶片解析：效能追平 NVIDIA、成本低 44%，AI 晶片戰爭正式開打 Google Ironwood TPU 是什麼？為什麼它讓 NVIDIA 緊張？ Google Ironwood TPU（代號 TPU v7）是 Google 第七代自研 AI 晶片，也是第一款 專為推理（inference）設計 的 TPU。在 AI 模型越來越大、推理需求暴增的時代，Google 不再只依賴 NVIDIA GPU，而是推出自己的推理專用晶片來搶市場。 Ironwood TPU v7 規格有多強？ 每顆 Ironwood TPU 提供 4.6 petaFLOPS 的 FP8 運算效能 ，搭載 192 GB HBM3E 記憶體，頻寬達 7.37 TB/s。單顆效能略高於 NVIDIA B200（4.5 petaFLOPS），接近 GB300 的 5 petaFLOPS。 更驚人的是規模化能力：Ironwood 可擴展至 9,216 顆晶片組成超級叢集 ，總算力達 42.5 ExaFLOPS，遠超 NVIDIA GB300 NVL72 系統的 0.36 ExaFLOPS。共享記憶體池高達 1.77 PB，解決了大型模型推理時的資料瓶頸問題。 Ironwood TPU 比 NVIDIA 便宜多少？ 根據分析，Ironwood 的 整體擁有成本（TCO）比 NVIDIA GB200 低約 44% 。在能效方面，Ironwood 的 FP8 效能達每瓦 5.42 TFLOPS，而 GB300 為 3.57 TFLOPS/W，Google 晶片的能效高出約 52%。 為什麼 Google 要做推理專用晶片？ AI 產業正從「訓練時代」轉向「推理時代」。當 ChatGPT、Gemini、Claude 等 AI 助手每天處理數十億次查詢時，推理運算的需求遠超過訓練。Google 稱之為「推理時代（age of inference）」，而 Ironwood TPU 就是為這個時代量身打造的武器。 對開發者和企業有什麼影響？ Ironwood TPU 目前 只能透過 Google Cloud 使用，無法...
閱讀完整內容

Claude Code 實測：AI 幫你寫程式到底行不行？ | Claude Code Review: Can AI Really Code for You?

By Kit 小克 | AI Tool Observer | 2026-03-27 🇹🇼 Claude Code 實測：AI 幫你寫程式到底行不行？ Claude Code 是 Anthropic 推出的命令列 AI 程式助手，直接在你的終端機裡運作。跟其他 AI 程式工具不同的是，它不是 IDE 外掛，而是一個獨立的 CLI 工具，可以讀取你的整個 codebase、執行指令、甚至幫你做 git 操作。我實際用了幾個月，以下是真實心得。 安裝與設定 安裝非常簡單，透過 npm 就能搞定： npm install -g @anthropic-ai/claude-code 。啟動後它會要求你登入 Anthropic 帳號或設定 API key。整個流程不到五分鐘。 實際使用體驗 Claude Code 最強的地方在於 它理解你的整個專案 。你不需要手動貼程式碼，它會自己讀取相關檔案、分析程式結構，然後給出建議或直接修改。實測幾個場景： Bug 修復 ：描述錯誤現象，它能自動找到問題檔案並提出修正，準確率大約 70-80% 新功能開發 ：給它需求描述，它能產出可用的初版程式碼，但通常需要人工調整細節 程式碼重構 ：這是它最擅長的。重新命名變數、抽取函式、調整架構，做得又快又好 寫測試 ：給它一個函式，它能產生相當完整的測試案例 優缺點分析 優點： 深度理解 codebase，不是只看單一檔案 可以執行 shell 指令，直接跑測試、裝套件 支援 CLAUDE.md 讓你定義專案規則 agentic 模式下可以自主完成多步驟任務 缺點： API 費用不便宜，大型專案一天可能花 10-30 美元 偶爾會過度修改，改了不該改的地方 對非英語的程式碼註解理解力稍弱 需要良好的網路連線 適合誰用？ 如果你是全端開發者、需要處理多個專案、或者經常做重構，Claude Code 絕對值得一試。但如果你只是寫簡單的腳本，免費的 Copilot 可能就夠了。 Kit 的結論： Claude Code 是目前最接近「AI 工程師」的工具。它不完美，但確實能大幅提升生產力。好不好用？試了才知道。 🇺🇸 Claude Code Review: Can AI Really Code for You?...
閱讀完整內容

Cursor vs GitHub Copilot vs Claude Code：AI 程式助手大比拼 | AI Coding Assistants Compared: Cursor vs GitHub Copilot vs Claude Code

By Kit 小克 | AI Tool Observer | 2026-03-27 🇹🇼 Cursor vs GitHub Copilot vs Claude Code：AI 程式助手大比拼 2026 年，AI 程式助手已經成為開發者的標配。但市場上選擇太多了，到底該用哪一個？我同時使用了 Cursor、GitHub Copilot 和 Claude Code 超過半年，以下是完整比較。 GitHub Copilot：最普及的選擇 Copilot 是最早普及的 AI 程式助手，整合在 VS Code 和各大 IDE 中。它的核心功能是 即時程式碼補全 ——你打字的時候，它自動建議下一行或下一段程式碼。 優點 ：補全速度快、整合度高、支援幾乎所有語言、Copilot Chat 可以問問題 缺點 ：上下文理解有限（主要看當前檔案和少量相關檔案）、Agent 模式仍在發展中 價格 ：個人版 /月，企業版 /月 Cursor：IDE 級別的 AI 整合 Cursor 是一個從頭打造的 AI-first IDE（基於 VS Code fork）。它不只是補全程式碼，而是把 AI 深度融入整個開發流程。 優點 ：Composer 功能可以跨檔案編輯、Agent 模式可以自主執行多步驟任務、支援切換不同 AI 模型、Tab 補全非常智慧 缺點 ：是獨立的 IDE 需要遷移、Pro 方案有使用量限制、偶爾不穩定 價格 ：免費方案有限制、Pro /月 Claude Code：終端機裡的 AI 工程師 Claude Code 走完全不同的路線——它是 CLI 工具，在終端機裡運作，不綁定任何 IDE。 優點 ：理解整個 codebase、可以執行系統指令、支援 git 操作、CLAUDE.md 定義專案規則、最強的 agentic 能力 缺點 ：沒有視覺化介面、按 API token 計費（可能很貴）、需要習慣 CLI 工作流 價格 ：按 API 使用量計費，或透過 Max 訂閱方案 關鍵差異比較 即時補全 ：Copilot ≈ Cursor > Claude Code（無此功能） 跨檔案理解 ：Claude Code > Cursor > Copilot Agentic 能力 ：Claud...
閱讀完整內容