Plugin4Shell: a falha que transformou seu assistente de código em cavalo de troia — e o hack que provou o risco horas depois
Uma vulnerabilidade batizada de Plugin4Shell, revelada nesta sexta-feira (18/9) por pesquisadores da empresa de segurança Air Security, escancarou um ponto cego compartilhado pelos quatro maiores assistentes de codificação com inteligência artificial do mercado: Claude Code, da Anthropic, Codex, da OpenAI, GitHub Copilot e Gemini CLI, do Google. O mecanismo de "trava" de plugins que deveria impedir a instalação de código malicioso, segundo os pesquisadores, na prática não travava nada. Dois dos quatro produtos já receberam correção. Os outros dois seguem vulneráveis — e um deles, o Gemini CLI, nem vai ganhar remendo: o Google decidiu descontinuar a ferramenta.
Se o nome soa familiar, não é coincidência. Plugin4Shell é uma referência direta ao Shellshock e ao Log4Shell, duas das falhas mais destrutivas da história da segurança digital — casos em que uma brecha aparentemente técnica e específica acabou revelando um problema estrutural, replicado em milhares de sistemas ao mesmo tempo. Desta vez, o denominador comum não é uma biblioteca de log, mas o jeito como agentes de IA "confiam" no código que baixam da internet para estender suas próprias funções.
Como funciona o golpe
Marketplaces de plugins para esses assistentes travam cada extensão em uma versão específica, identificada por um hash de commit — uma sequência longa de caracteres que funciona como impressão digital de um trecho exato de código. A ideia é simples: se o hash bate, o código é o mesmo que foi revisado e aprovado. O problema, segundo a Air Security, é que os agentes buscam aquele instantâneo (snapshot) de código, mas nunca conferem de fato se o que chega é realmente aquilo que o hash promete.
Em serviços de hospedagem de código que permitem nomear branches ou tags com strings parecidas com hashes de commit — caso do Bitbucket e de diversos servidores Git privados usados por empresas —, um dono de repositório mal-intencionado consegue criar uma branch com nome "disfarçado" de hash, apontando para um código completamente diferente do que foi aprovado. O agente de IA instala essa versão trocada, mas continua informando ao usuário que está rodando a versão travada e confiável. Na prática, é uma clonagem de identidade dentro da cadeia de suprimentos de software — o tipo de ataque que a indústria chama de "supply chain attack".
O impacto de um plugin trocado é o mesmo de qualquer código malicioso rodando com as permissões do usuário: acesso a arquivos locais, credenciais salvas e a qualquer sistema em que aquela pessoa esteja autenticada. Em ambientes corporativos, onde assistentes de IA hoje têm acesso a repositórios inteiros, pipelines de build e chaves de API, a superfície de dano é enorme.
A boa notícia, e ela existe: o ataque só funciona em repositórios fora do GitHub, porque a própria plataforma proíbe, por política, nomes de branch ou tag que se pareçam com hashes de commit — uma trava que o GitHub já tinha por outros motivos e que, por sorte, também fecha essa porta. Como a maioria dos catálogos padrão de plugins do Claude e do Copilot aponta para repositórios hospedados no GitHub, a exposição "de fábrica" é menor do que o nome assustador sugere. O risco real mora em ambientes corporativos que usam Bitbucket, GitLab self-hosted ou servidores Git internos — justamente os cenários mais comuns em empresas grandes, bancos e órgãos públicos.
Quem corrigiu, quem não corrigiu
Segundo o levantamento da Air Security, publicado também pelo The Hacker News e pela Help Net Security, o Claude Code, da Anthropic, recebeu correção na versão 2.1.179, e o Codex, da OpenAI, foi corrigido na versão 0.146.0. Já o GitHub Copilot segue sem correção disponível até a publicação desta matéria, e o Gemini CLI, do Google, não vai receber remendo algum: a ferramenta está sendo descontinuada pela própria empresa, o que na prática deixa qualquer usuário que ainda dependa dela exposto indefinidamente.
A Air Security afirma ter descoberto a falha em maio de 2026 e notificado os quatro fabricantes em junho — ou seja, as empresas tiveram cerca de três meses de aviso prévio antes da divulgação pública, o padrão de "disclosure responsável" adotado pela indústria de segurança. Até 18 de setembro, nenhum CVE (o identificador padrão usado globalmente para catalogar vulnerabilidades) havia sido formalmente atribuído ao caso, e nenhuma das quatro empresas publicou um comunicado de segurança dedicado ao problema.
O mesmo assunto, um capítulo à parte: quando a própria OpenAI foi hackeada com ajuda de IA
Curiosamente, no mesmo dia 18 de setembro veio à público outro episódio que ilustra, de um ângulo diferente, como a linha entre "ferramenta de IA" e "arma de ataque" está cada vez mais fina. A Hacktron AI, uma startup de segurança com apenas três pessoas, revelou ter usado o modelo Claude Opus 5, lançado pela Anthropic havia poucos dias, para invadir contas de funcionários da própria OpenAI dentro do programa oficial de recompensas por bugs (bug bounty) da empresa.
O ponto de entrada foi uma falha de memória na biblioteca libheif, usada pelo Discourse — o software de fórum comunitário da OpenAI — para converter fotos em formato HEIC/HEIF, o padrão nativo de imagens do iPhone. Essa falha já havia sido corrigida meses antes em outro contexto, mas nunca fora formalmente catalogada como uma vulnerabilidade rastreável. Segundo Mohan Pedhapati, fundador da Hacktron, a equipe já vinha tentando o mesmo ataque havia sessões inteiras com uma versão anterior do modelo, a Opus 4.8, sem sucesso. "A IA está reduzindo a quantidade de expertise escassa necessária para desenvolver exploits", resumiu Pedhapati. "Poucas horas depois do lançamento do Opus 5, demos a ele o mesmo problema — e ele conseguiu."
Com a falha em mãos, os pesquisadores tomaram controle de contas de ChatGPT de funcionários da OpenAI e, em um dos casos, chegaram a assumir a conta de um funcionário cujo Codex estava conectado à organização da OpenAI no GitHub — acesso que, em tese, dava alcance a partes do código interno da empresa. Como prova de conceito, o time chegou a abrir um pull request inofensivo dentro do repositório, só para demonstrar que o acesso era real. A OpenAI pagou US$ 6.500 em recompensa pelo achado. A brecha original foi identificada em 25 de julho e corrigida dois dias depois pelo Discourse, mas o caso só veio a público em setembro.
O que isso diz sobre o momento da IA
As duas histórias, aparentemente distintas, apontam para o mesmo fenômeno: a infraestrutura em torno da inteligência artificial — os plugins, os fóruns, as integrações com repositórios de código — está crescendo mais rápido do que a capacidade da indústria de auditá-la. E, ao mesmo tempo, os próprios modelos de IA estão se tornando ferramentas cada vez mais eficazes tanto para quem ataca quanto para quem defende. Se times de três pessoas conseguem, em poucas horas de trabalho com um modelo recém-lançado, reproduzir um exploit que antes exigia dias de expertise manual, o cálculo de risco para qualquer empresa que opera código crítico muda de figura.
Para quem usa Claude Code, Codex, Copilot ou Gemini CLI em ambientes corporativos, a recomendação prática dos pesquisadores é direta: atualizar imediatamente as ferramentas já corrigidas, evitar por ora marketplaces de plugins hospedados fora do GitHub e tratar qualquer integração automática de código como uma superfície de ataque — não como um recurso neutro.
Sobre o autor