Der Kern des Problems liegt in einer Git-Eigenheit, die OpenAI in seinem öffentlichen Fix selbst beschreibt: Git könne „einen angeforderten Commit-SHA als Branch-Namen interpretieren", wodurch eine Plugin-Quelle „einen anderen Commit materialisieren kann als den, den sie fixiert hat". Die Korrektur steckt in Codex 0.146.0. The Hacker News konnte das zugrunde liegende Git-Verhalten in einem lokalen Test nachvollziehen.
Der Trick funktioniert nicht überall. Laut GitHubs eigener Dokumentation erlaubt die Plattform keine Branch- oder Tag-Namen, die wie Commit-Hashes aussehen — Plugins aus GitHub-Repositories sind der Branch-Variante des Angriffs also nicht ausgesetzt. Air verweist dagegen auf Hoster, die solche Namen zulassen, etwa Bitbucket oder firmeneigene Git-Server, die von den Agenten ebenfalls unterstützt werden. Eine Prüfung der mitgelieferten Marktplätze durch The Hacker News am 18. September ergab, dass sämtliche Plugins im Community-Katalog von Anthropic sowie in den Standardkatalogen von Claude Code und Copilot auf GitHub-Repositories verweisen.
Die Gemini CLI wird anders angegriffen. Statt eines hash-förmigen Branch-Namens lässt sich ihr Installer laut Air über ein Repository täuschen, dessen Hauptbranch den Namen FETCH_HEAD trägt — und GitHubs Regel gegen hash-ähnliche Namen greift hier nicht eindeutig. Ob eine Installation aus GitHub die Lücke umgeht, ist damit offen. Genau dieser Agent soll keinen Fix erhalten.
Ohne Zutun des Opfers würde der Angriff durch das Hintergrund-Auto-Update funktionieren, mit dem ein Agent installierte Plugins selbstständig aktualisiert; ein bereits vertrautes Plugin könnte so ohne Rückfrage ersetzt werden. Air zufolge ist das in Claude Code und Codex standardmäßig aktiv. Nach den Dokumentationen von Anthropic und GitHub gilt das allerdings nur für die eingebauten, auf GitHub gehosteten Marktplätze; für externe Quellen ist Auto-Update abgeschaltet oder optional. Wer Plugins ausschließlich aus den GitHub-basierten Standardmarktplätzen bezieht, ist nach Darstellung von Air und GitHub der Branch-Namen-Variante nicht ausgesetzt.
Weil jeder Agent die Versionsfixierung auf dem Rechner des Nutzers prüft und nicht beim Marktplatz, kann kein Marktplatz das Problem für seine Nutzer lösen — die Korrektur muss im Agenten selbst erfolgen. Anthropics Release Notes zu 2.1.179 erwähnen den Fix nicht; die Angabe stammt von Air. Für Copilot habe Air Microsoft im Juni informiert, ein Fix sei nicht erschienen. Copilot kann Plugins auch von anderen Hostern als GitHub installieren — dort sieht Air das Risiko.
Google hat die Consumer-Variante der Gemini CLI im Juni eingestellt und verweist auf den neueren Agenten Antigravity, den der Angriff laut Air nicht erreicht. Der Unternehmenszugang zur Gemini CLI soll mit Updates weiterlaufen; ob ein Fix dabei ist, bleibt unklar.
Air hat den funktionierenden Testangriff gegen alle vier Agenten im Mai gebaut und die Hersteller im Juni informiert. Bis zum 18. September war nach Prüfung durch The Hacker News keine CVE-Nummer vergeben, keiner der vier Anbieter hatte ein Sicherheitsadvisory veröffentlicht, und es gibt keine Hinweise auf eine Ausnutzung in einem realen Angriff. Ob ein Update eines betroffenen Agenten ein bereits ausgetauschtes Plugin entfernt oder nur künftige Austausche verhindert, geht aus den Quellen nicht hervor.
Dieselben Forscher hatten zuvor einen Test vorgelegt, bei dem eine gefälschte Skill die Sicherheitsscanner passierte und rund 26.000 Agenten erreichte, indem ein externer Link nach der bestandenen Prüfung geändert wurde. Plugin4Shell überträgt dieses Prinzip vom ausgetauschten Link auf ein ausgetauschtes Plugin hinter einer Versionsfixierung.