פרצה אחת חושפת ארבעה סוכני קידוד AI מובילים:תוסף מאושר מתחלף בזדוני בלי לחיצה אחת

חוקרי חברת האבטחה AIR Security פרסמו ב-17-18 בספטמבר 2026 מחקר על פרצה שמכנים Plugin4Shell. ארבעה סוכני קידוד AI מובילים חולקים את אותה פרצה: Claude Code, Codex, GitHub Copilot ו-Gemini CLI. תוקף יכול להריץ קוד מרחוק על המכשיר, באותה הרשאה שיש לעובד שמריץ את סוכן ה-AI, בלי שאף אחד לוחץ על כלום. החוקרים תיארו את זה כ"פרצת השרשרת הראשונה בעולם סוכני ה-AI".

החוקרים מצאו שהבאג שובר את מנגנון ה-SHA pinning, המנגנון שמפתחים סומכים עליו כדי לנעול תוסף מותקן לגרסה מסוימת וסקורה של הקוד שלו. AIR מצאה את הבאג במאי 2026, עם קוד הדגמה שעובד נגד כל ארבעת הסוכנים, וגילתה אותו לכל ספק בחודש שאחריו. הפרצה לא פוגעת במודל השפה עצמו. היא פוגעת בשכבת ההפצה שמתחתיו, השווקים שמהם מגיעים תוספים לסוכנים.

כשסוכן AI מתקין תוסף משוק, הוא נועל אותו לקומיט ספציפי בגיט לפי הגיבוב שלו (SHA). המטרה היא להבטיח שהקוד לא ישתנה בלי ידיעת המפתח. הבעיה העמוקה נמצאת בדרך שבה הסוכנים מטפלים בבקרת גרסאות. כשסוכן מתקין תוסף, הוא מבצע git checkout לפי גיבוב קומיט קבוע, כדי לשמור על המקוריות. אבל הסוכנים הפגועים לא מאמתים שהתוצאה בפועל תואמת לאותו גיבוב.

המשמעות: תוקף ששולט במאגר הגיט של תוסף יכול לגרום לקומיט הנעול להפנות לתוכן זדוני. השם החוץ, גיבוב הקומיט, נשאר תקין למראית עין. תכונת העדכון האוטומטי של התוספים הופכת את זה להתקפה בלי קליק, כי כשקומיט נעול מוחלף במקור, התוסף המותקן מתעדכן לגרסה הזדונית באופן שקוף. גם Claude וגם Codex מעדכנים תוספים מותקנים אוטומטית כברירת מחדל. אין הודעה, אין אישור, אין שלב שבו מישהו בכלל יכול לעצור את זה.

מצב התיקונים משתנה בין הספקים, וזה בדיוק המידע שקובע מה עושים היום. Anthropic תיקנה את הבאג בגרסה 2.1.179 של Claude Code, ו-OpenAI תיקנה אותו בגרסה 0.146.0 של Codex. גוגל בחרה לא לתקן את Gemini CLI בכלל, והפנתה משתמשים ל-Antigravity במקום.

GitHub עדיין לא הוציאה תיקון ל-Copilot. חוקרי AIR מסבירים שהחשיפה לא נעצרת כאן, כי שווקי תוספים יכולים להיות מאוחסנים גם בפלטפורמות אחרות כמו Bitbucket, ו-Copilot חשוף גם הוא כי הוא תומך בשווקים מפלטפורמות כאלה. לפי דיווח, כמעט 90% מחברות פורצ'ן 500 משתמשות ב-Copilot, לפי מיקרוסופט עצמה, שהיא גם אחת משני הספקים שלא הוציאו תיקון לפרצה. מי שממשיך להשתמש ב-Gemini CLI צריך להתייחס אליו כפרוץ לצמיתות, כי גוגל כבר החליטה לא לחזור אליו.

מה שהופך את הפרצה הזו לרלוונטית לכל עסק, ולא רק לצוות אבטחה, הוא מודל ההרשאות. מי שמנצל את הפרצה מקבל את אותה גישה למערכות ולמידע של החברה שיש לעובד שמריץ את הסוכן. תוסף שעבר בדיקה ואושר על ידי הצוות שלכם, לא תוסף שהותקן בלי מחשבה, יכול להיות הדרך שבה תוקף מגיע לכל מה שהסוכן נוגע בו: קוד, סודות סביבה, גישה לשרתים.

וזה לא תיאורטי. AIR הראתה במחקר נפרד, בשם SkillJacking, שהתקיפה הזו כבר קרתה בשטח. המחקר מצא 925 תוספים בשימוש פעיל שנחטפו מהמתחזקים המקוריים שלהם, ומגיעים ל-134,000 סוכני AI. Plugin4Shell מוכיחה שהמנגנון שנועד לעצור בדיוק את סוג ההתקפה הזה, נעילת הגרסה, פשוט לא עובד.

הצעד הראשון פשוט: לעדכן. Claude Code לגרסה 2.1.179 ומעלה, Codex לגרסה 0.146.0 ומעלה. מי שרץ על Gemini CLI צריך לתכנן מעבר ל-Antigravity, כי גוגל לא תתקן את הגרסה הישנה. מי שעובד עם Copilot צריך לדעת שאין עדיין תיקון, ולכן שווה להגביל את השווקים שמהם הצוות מותר לו להתקין תוספים.

הצעד השני חשוב יותר בטווח הארוך. יש למפות כל תוסף, סקיל וחיבור MCP שמותקן על סוכני ה-AI בעסק, לבדוק מי מתחזק אותו, ואם הוא מוגדר להתעדכן אוטומטית. זו בדיוק אותה עבודה שעסקים כבר עשו עם תלויות npm ו-pip, רק שהפעם היא רצה בהרשאה מלאה ובלי קליק.

ב-Elevora, כשאנחנו בונים מערכות סוכנים ללקוחות, ניהול ההרשאות והתלויות של כל תוסף וחיבור הוא חלק מהעבודה הבסיסית מהיום הראשון, לא סעיף שמתווסף בסוף הפרויקט.