26,000 台 AI 编程工具已中招

你给 AI 编程助手装的插件，可能是它自己偷偷装上的定时炸弹。

安全团队 Air Security 扒出一个叫 Plugin4Shell 的漏洞。Claude Code、Codex、Copilot 和 Gemini CLI 全中招了。最绝的是零点击——你啥都不用点，它在后台就把替换完成了。

这事儿坏在“验货”环节出了岔子。这些工具装插件时有个机制，会锁定一个审核过的版本。问题是，拉下代码后它根本不查是不是真货。Git 有个老特性：同名分支名优先于 commit hash。攻击者只要建个同名的恶意分支，工具就会把它当成已审核版本装进去。

这不是理论推演。概念验证插件被下架前，已经扩散到两万六千多台 Agent。另一波 SkillJacking 更狠，劫持了九百多个生产环境里的 skill，波及十三万多台。

厂商反应也够直接的。Anthropic 和 OpenAI 已经发了修复版。微软 Copilot 至今没补丁。Google 更干脆，直接弃用 Gemini CLI，不修了。

当年 npm 供应链攻击的教训，现在轮到 AI 编程工具重演一遍。区别只在于：这一次，装包的不是你，是 Agent。