EKONOMIDIGITAL.CO.ID — Kerentanan zero-click bernama Plugin4Shell memapar seluruh agen coding AI besar, mulai dari Claude Code, Codex, Gemini CLI, hingga Copilot. Peneliti keamanan Air menyebut celah ini sebagai serangan rantai pasok AI pertama yang menyerang marketplace plugin tepercaya, bukan modelnya. Dampaknya, penyerang bisa mengeksekusi kode dari jarak jauh tanpa satu pun klik dari korban.

Tim peneliti keamanan dari Air, startup yang fokus melindungi agen AI perusahaan, mengungkap kerentanan yang mereka juluki Plugin4Shell. Serangan ini menyasar mekanisme SHA-pinning yang seharusnya mengunci plugin agen ke versi kode tertentu yang sudah diaudit.

Menurut laporan Air, celah tersebut memapar Claude Code milik Anthropic, Codex milik OpenAI, Gemini CLI milik Google, Copilot milik Microsoft, dan GitHub Copilot. Penyerang yang menguasai repositori plugin bisa membuat proses checkout mengarah ke kode berbahaya, sementara pin SHA tetap terlihat sah.

Siapa Saja yang Terdampak dan Seberapa Luas

Air menyebut Plugin4Shell sebagai serangan rantai pasok AI pertama yang menyasar marketplace plugin tepercaya. Karena marketplace ini dipakai jutaan pengguna dan mesin, skala serangannya berpotensi sangat besar.

Hampir 90 persen perusahaan Fortune 500 memakai Copilot, menurut data Microsoft. Angka itu memberi gambaran betapa luas permukaan serangan yang dibuka oleh celah ini.

Tim Air melaporkan temuan mereka ke empat vendor pada Juni. Anthropic dan OpenAI sudah menambal celah ini masing-masing di Claude Code 2.1.179 dan Codex 0.146.0.

Google dan Microsoft Belum Menambal

Google memilih tidak menambal Gemini CLI karena sudah menghentikan (deprecate) produk tersebut. Artinya, setiap instalasi Gemini CLI yang masih berjalan tetap rentan.

Google menyarankan pengguna bermigrasi ke Antigravity, lingkungan pengembangan agentic yang lebih baru dan diklaim terlindungi dari serangan ini.

Microsoft juga belum menambal celah di Copilot. Juru bicara GitHub mengatakan serangan Plugin4Shell tidak memapar GitHub karena platform itu melarang pembuatan nama branch atau tag yang menyerupai commit SHA.

"Mitigasi ini memastikan kerentanan yang dilaporkan tidak bisa dieksploitasi di GitHub," kata juru bicara tersebut.

Air menilai langkah GitHub itu belum cukup. Menurut mereka, marketplace plugin juga bisa dihosting di platform lain seperti Bitbucket, sehingga Copilot tetap terekspos.

Tim Air mengaku sudah melaporkan hal ini ke Microsoft sejak Juni, tetapi belum menerima respons karena volume laporan yang masuk. Microsoft belum menanggapi permintaan komentar dari The Register.

Bagaimana Serangan Ini Bekerja

Akar masalahnya ada di cara agen menegakkan mekanisme SHA-pinning pada marketplace. Mekanisme ini mengunci plugin dan skill ke commit hash tertentu yang tidak bisa diubah, bukan ke referensi yang bisa bergerak seperti tag versi atau nama branch.

Tujuannya mencegah serangan rantai pasok. Kalau repositori skill publik dibobol, agen tetap menjalankan hash kode yang sudah diaudit, bukan menarik payload berbahaya secara otomatis.

Air menyebut celah ini sebagai bypass SHA-pinning plugin. Agen memeriksa commit yang dipin marketplace, tetapi tidak pernah memverifikasi bahwa commit itu benar-benar mendarat di sana.

"Agen memeriksa commit persis yang dipin marketplace tetapi tidak pernah memverifikasi bahwa commit itu mendarat di sana, sehingga penyerang yang menguasai repositori plugin membuat checkout mengarah ke kode berbahaya sementara pin tetap terlihat dipatuhi," tulis Nevo, Granat, dan Hoffman. "Hasilnya adalah eksekusi kode jarak jauh tanpa klik."

Fitur pembaruan otomatis plugin membuat serangan ini berjalan tanpa interaksi korban. Ketika commit yang dipin diganti di sisi hulu, plugin agen ikut diganti dengan versi berbahaya, dan Claude maupun Codex memperbarui plugin terpasang secara default.

Dua Skenario Serangan

Air memaparkan dua cara penyerang memanfaatkan celah ini. Pertama, penyerang mengirim plugin jinak ke marketplace tepercaya, lolos tinjauan, lalu mengganti isinya dengan kode berbahaya.

Kedua, penyerang membajak repositori penulis sah dan mendorong versi berbahaya ke setiap agen yang sudah memasang plugin tersebut. Cara ini melewati pengaman SHA-pinning yang justru dibuat untuk menghentikan serangan rantai pasok semacam itu.

Tim Air sudah mendemonstrasikan pola pengambilalihan ini lewat proof-of-concept SkillJacking dan RepoJacking. Menurut mereka, rantai serangan sudah terbukti dari ujung ke ujung: pengambilalihan terjadi dalam skala besar, dan Plugin4Shell mengalahkan mekanisme yang dibangun untuk membendungnya.

Bagi pengguna di Indonesia yang memakai agen coding AI untuk kerja harian, langkah paling aman adalah memperbarui Claude Code dan Codex ke versi terbaru. Pengguna Gemini CLI dan Copilot belum punya tambalan resmi, sehingga risikonya masih terbuka sampai vendor bergerak.