Plugin4Shell : une faille permet de substituer des plugins malveillants dans quatre agents de codage IA Plugin4Shell: ثغرة تتيح استبدال الإضافات المثبّتة في أربعة وكلاء برمجة يعملون بالذكاء الاصطناعي
Une vulnérabilité baptisée Plugin4Shell affecte quatre agents de codage assistés par intelligence artificielle très répandus. Elle permet à toute personne contrôlant le dépôt de code d'un plugin de remplacer, à l'insu de l'utilisateur, la version validée et verrouillée par l'agent avec du code malveillant, contournant ainsi le mécanisme censé garantir la sécurité des dépendances. La société Air Security a révélé cette découverte jeudi. Anthropic a corrigé la faille dans Claude Code (version 2.1.179) et OpenAI dans Codex (version 0.146.0), tandis que GitHub Copilot ne disposerait pas encore d'un correctif équivalent selon les informations disponibles. تؤثر ثغرة أمنية تحمل اسم Plugin4Shell على أربعة وكلاء برمجة يعتمدون على الذكاء الاصطناعي وينتشر استخدامهم على نطاق واسع. تتيح هذه الثغرة لأي شخص يتحكم في مستودع كود إضافة (plugin) ما استبدال النسخة المعتمدة والمقفلة من قبل الوكيل بكود خبيث دون علم المستخدم، متجاوزًا بذلك آلية التحكم في الإصدارات المفترض أن تضمن أمان التبعيات. كشفت شركة Air Security عن هذا الاكتشاف يوم الخميس. وقد أصلحت شركة Anthropic الثغرة في Claude Code (الإصدار 2.1.179) وأصلحتها OpenAI في Codex (الإصدار 0.146.0)، في حين لا يبدو أن GitHub Copilot يتوفر بعد على تصحيح مماثل بحسب المعلومات المتاحة.
- Produits concernésالمنتجات المعنية
- Claude Code (Anthropic), Codex (OpenAI), GitHub Copilot, et un quatrième agent de codage IA non précisé dans les extraits disponibles Claude Code (من Anthropic)، وCodex (من OpenAI)، وGitHub Copilot، ووكيل رابع للبرمجة بالذكاء الاصطناعي لم يُحدَّد اسمه في المقتطفات المتاحة
- Niveau de criticitéمستوى الخطورة
- Important — faille corrigée chez certains éditeurs, statut de correction inconnu pour d'autres مهم — تم إصلاح الثغرة لدى بعض الجهات المطورة بينما لا تزال حالة الإصلاح غير معروفة لدى أخرى
- Risque pour l'entrepriseالمخاطر على الشركة
- Risque de compromission de la chaîne d'approvisionnement logicielle : un plugin pourtant validé et verrouillé par l'entreprise pourrait être remplacé à distance par du code malveillant, exposant les projets de développement et les environnements de production à des attaques. خطر يتمثل في اختراق سلسلة توريد البرمجيات: يمكن استبدال إضافة (plugin) معتمدة ومقفلة من قبل الشركة عن بُعد بكود خبيث، مما يعرّض مشاريع التطوير وبيئات الإنتاج لهجمات محتملة.
- Action recommandéeالإجراء الموصى به
- Mettre à jour Claude Code vers la version 2.1.179 et Codex vers la version 0.146.0 dès que possible, vérifier le statut de correction pour GitHub Copilot auprès de GitHub, et auditer les plugins installés sur les agents de codage IA utilisés en entreprise. تحديث Claude Code إلى الإصدار 2.1.179 وCodex إلى الإصدار 0.146.0 في أقرب وقت ممكن، والتحقق من حالة الإصلاح الخاصة بـ GitHub Copilot لدى GitHub، ومراجعة الإضافات المثبتة على وكلاء البرمجة بالذكاء الاصطناعي المستخدمة داخل الشركة.
Résumé rédigé par une intelligence artificielle à partir des sources publiques citées ci-dessus, relu et validé par l'équipe IT Solutions avant publication — contenu informationnel, non contractuel. Consultez toujours la source officielle avant toute action. تم إعداد هذا الملخص بواسطة الذكاء الاصطناعي انطلاقًا من المصادر العامة المذكورة أعلاه، وتمت مراجعته والتحقق منه من طرف فريق IT Solutions قبل النشر — محتوى إخباري وليس تعاقديًا. يُرجى دائمًا الرجوع إلى المصدر الرسمي قبل اتخاذ أي إجراء.