セキュリティ企業AIRの研究チームは2026年9月17日、AIコーディングエージェントのプラグイン機構に潜む重大な脆弱性「Plugin4Shell」を公表しました。対象はClaude Code、OpenAI Codex、GitHub Copilot、Google Gemini CLIの主要4製品です。ユーザーが何かをクリックしたりインストールを承認したりしなくても、攻撃者が任意のコードを実行できる「ゼロクリックRCE（リモートコード実行）」であり、AIエージェントのサプライチェーンを狙った初の脆弱性として注目されています。
結論から言うと、Claude Codeは2.1.179、Codexは0.146.0でそれぞれ修正済みです。一方でGitHub Copilotは本記事執筆時点（2026年9月19日）で修正パッチが提供されておらず、Gemini CLIに至っては修正されないまま製品自体が廃止となり、Googleは後継のAntigravityへの移行を案内しています。該当するエージェントを使っている方は、まずバージョンを確認することをおすすめします。
Plugin4Shellとは何か
Plugin4Shellは、AIコーディングエージェントがプラグイン（アドオン）をインストール・更新する際に使う「SHAピン留め」という仕組みの穴を突く脆弱性です。SHAピン留めとは、プラグインのコードをレビューした時点のコミット（Gitの変更履歴上の特定の版）を指すハッシュ値に固定し、以後そのハッシュ値のコードだけを信頼して使い続ける仕組みです。開発者やマーケットプレイスがプラグインを審査し、安全と確認したコードのハッシュ値をピン留めしておけば、後から中身がすり替わっても動かないはずというのが本来の設計思想です。
ところがAIRの調査によると、4製品はいずれも「ピン留めしたハッシュ値のコードをチェックアウト（取得）する処理」は行うものの、「実際にそのハッシュ値通りのコードが取得できたかどうかを検証する処理」を欠いていました。この一点の検証漏れにより、攻撃者はピン留めが正しく機能しているように見せかけたまま、別の悪意あるコードを送り込めてしまいます。
なぜ「ゼロクリック」なのか
通常、悪意あるプラグインをインストールさせるには、被害者に何らかの操作をさせる必要があります。しかしPlugin4Shellでは、すでにインストール済みで信頼している正規のプラグインが、バックグラウンドの自動更新によって静かに悪意あるバージョンに差し替わります。Claude CodeとCodexではプラグインの自動更新が既定で有効になっているため、マーケットプレイス側でピン留め先のハッシュ値が更新されるタイミングに合わせて、攻撃者は自分が管理するリポジトリの「既定ブランチ」を悪用し、被害者側では何の通知もクリックもないまま悪意あるコードが実行されます。
具体的な手口は2通りあります。1つ目は、攻撃者が最初は無害な、正規に動作するプラグインを公開してレビューを通過させ、ユーザーに広く使われるようになった後で、裏側のリポジトリを悪意あるコードに切り替える方法です。AIRは過去の別の調査で、実際にこの手法で2万6000件以上のエージェントに自作プラグインを広めたことがあるとしています。2つ目は、すでに信頼され使われている既存のプラグインのリポジトリを乗っ取り、同じ手口で悪意あるコードに差し替える方法です。こちらもAIRは「SkillJacking」という別の調査で、925件のスキルが乗っ取られ13万4000台のエージェントに影響したことを実証済みです。
技術的な仕組み（概要）
Claude Code・Codex・GitHub Copilotの3製品は共通の手口で突破されます。これらのエージェントはプラグインのリポジトリをクローンした後、git checkout <ピン留めされた40桁のハッシュ値>を実行してコードを取得します。攻撃者はリポジトリ側で、そのハッシュ値と全く同じ名前のブランチを作成し、それを既定ブランチに設定します。Gitの仕様上、ハッシュ値と同名のブランチが存在する場合、Gitはコミットそのものではなくブランチを優先して解決するため、checkoutは攻撃者が用意したブランチの中身をチェックアウトしてしまいます。この手口は、ハッシュ値と同じ名前のブランチ作成を許可するホスティングサービス（BitbucketやセルフホストのGitサーバーなど）で成立します。GitHub自体は40桁のハッシュ値と同じ名前のブランチ作成を拒否する仕様のため、この経路は防がれますが、AnthropicなどはBitbucketやセルフホストGitもマーケットプレイスの提供元として公式に認めているため、リスクはなくなりません。
Gemini CLIはやや異なる手口で突破されます。同エージェントはgit fetch origin <ピン留めされたハッシュ値>でコードを取得した後、git checkout FETCH_HEADを実行します。攻撃者がリポジトリの既定ブランチの名前を意図的に「FETCH_HEAD」にしておくと、チェックアウトはフェッチしたはずの正しいコミットではなく、攻撃者の既定ブランチを指してしまいます。
影響範囲と危険性
AIエージェントは、それを操作している開発者本人と同じ権限で動作します。プラグインもエージェントと同じ権限を引き継ぐため、悪意あるプラグインが実行されると、攻撃者はソースコード、クラウドの認証情報、SSHキー、社内リポジトリ、本番環境、各種シークレットなど、開発者がアクセスできる範囲のすべてに到達できてしまいます。しかも今回の脆弱性は、社内でプラグインをきちんとレビューし、ピン留めまで行っている「正しい運用をしている組織」であっても防げない点が深刻です。レビューは通過し、ピン留めも記録されているのに、実際に動くコードだけが差し替わるためです。
対象エージェントと対応状況
| エージェント | 提供元 | 状況 | ユーザーが取るべき対応 |
|---|---|---|---|
| Claude Code | Anthropic | 2.1.179で修正済み | 最新版へのアップデートを確認 |
| Codex | OpenAI | 0.146.0で修正済み | 最新版へのアップデートを確認 |
| GitHub Copilot | Microsoft | 未修正（2026年9月19日時点） | 新規プラグイン導入を控え、続報を待つ |
| Gemini CLI | 修正されず廃止 | 後継のAntigravityへ移行 |
経緯（タイムライン）
AIRの研究チームは2026年5月、4製品すべてに対して実際に動作する概念実証（PoC）を用意した上でこの脆弱性を発見し、翌6月に各社へ責任ある開示を行いました。Anthropicは開示を受けて2026年6月17日にClaude Code 2.1.179での修正を確認、OpenAIは2026年8月12日にCodex 0.146.0での修正を確認しています。一方Googleは2026年8月4日、Gemini CLIを修正せず、同エージェント自体を廃止する方針を伝えてきました。GitHub Copilotを提供するMicrosoftには同じ脆弱性が伝えられていますが、本記事執筆時点でパッチは提供されていません。
今すぐやるべき対策
Claude CodeとCodexを使っている方は、まずバージョンを確認し、Claude Codeは2.1.179以降、Codexは0.146.0以降になっているかチェックしてください。自動更新が有効になっていれば多くの場合すでに最新版になっていますが、念のため手動でのバージョン確認をおすすめします。
GitHub Copilotを使っている方は、現時点で完全な対策がないことを踏まえ、新しいプラグイン（拡張機能）の導入を一時的に控える、既にインストール済みのプラグインの提供元を確認する、可能であれば自動更新の挙動を把握しておくといった対応が現実的です。マーケットプレイスの仕組み自体では防ぎきれない脆弱性のため、Microsoftからの修正提供を待つ必要があります。
Gemini CLIを使っている方は、この脆弱性が修正されることはなく製品自体が廃止される案内が出ているため、Googleが推奨する後継エージェント「Antigravity」への移行を検討することになります。AntigravityにはPlugin4Shellが突く「プラグインのSHAピン留め」の仕組み自体が存在しないため、この脆弱性の対象外です。詳しくはGoogle Antigravityとは？料金・使い方とClaude Code・Cursorとの違いもあわせてご覧ください。
まとめ
Plugin4Shellは、特定の企業の実装ミスというより、AIコーディングエージェント業界全体が同じ設計上の思い込みを共有していたために起きた、初のAIエージェント向けサプライチェーン脆弱性です。Claude CodeとCodexはすでに修正版が出ているため速やかな更新を、GitHub Copilotは現時点で防御策が限られるため今後の公式発表への注意を、Gemini CLIは後継のAntigravityへの移行をそれぞれ検討してください。AIコーディングエージェントは開発者本人と同じ強い権限で動くからこそ、プラグインの信頼の輪の中に見えない穴がないか、日頃から確認しておくことが重要です。
あわせて読みたい：Claude Code・Cursor・Codexに脆弱性「GitSpawn」発覚｜影響範囲と今すぐできる対策、Claude Code・Cursor・GitHub Copilot・Codex徹底比較
