Plugin-Marktplätze legen den Stand eines Plugins über einen 40-stelligen Commit-Hash fest. Genau darauf zielt der Angriff: Wer das Plugin-Repository kontrolliert, legt einen Branch an, der exakt so heißt wie der Hash, und macht ihn zum Standard. Git löst Namen vor Commit-Kennungen auf – der Agent checkt den Branch des Angreifers aus, ohne das zu bemerken. Bei der Gemini CLI führt eine Variante über FETCH_HEAD zum selben Ergebnis.
Ein Klick der Nutzer ist dafür nicht nötig. Claude Code und Codex aktualisieren Plugins im Hintergrund; hebt ein Marktplatz den festgelegten Hash an, zieht der Agent die neue Fassung von selbst. Liegt der präparierte Branch bereit, läuft fremder Code ohne Rückfrage und ohne Hinweis.
Gefunden hat Air Security die Lücke im Mai 2026 und sie im Juni allen vier Anbietern gemeldet. Anthropic bestätigte den Fix am 17. Juni in Claude Code 2.1.179, Codex 0.146.0 wurde am 12. August als repariert verifiziert. Google teilte am 4. August mit, es werde keinen Fix geben, weil die Gemini CLI eingestellt ist; Nutzer sollen auf Antigravity wechseln. Microsoft hat für Copilot nichts ausgeliefert.
GitHub verwies gegenüber InfoWorld darauf, Versionsnamen einzuschränken, die wie ein Hash aussehen; die Finder halten das für möglicherweise nicht ausreichend. Air Security verkauft selbst einen geprüften Plugin-Marktplatz und einen Filter und vermerkt, dass die eigenen Kunden nicht betroffen waren – die Einordnung des Schweregrads stammt also vom Anbieter. Eine CVE-Nummer oder einen CVSS-Wert nennt der Bericht nicht.