Plugin4Shell 漏洞 PoC 验证与处置方式

一、PoC验证原理与复现步骤

漏洞验证的核心思路是：创建一个与合法提交SHA同名的恶意分支，观察Agent是否会静默检出恶意分支代码而非目标提交。

1. 环境准备

1. 准备一个测试用Git仓库，初始提交一个包含安全代码的版本，记录其完整SHA哈希值（记为SAFE_SHA）。
2. 在仓库中创建一个名为SAFE_SHA的分支（分支名与上面的提交哈希完全一致），在该分支上提交一段带有明显标记的恶意测试代码（如打印特定字符串、写入测试文件等）。
3. 将仓库推送到远程Git托管服务（GitHub/GitLab/Bitbucket均可）。

2. 复现验证流程

1. Claude Code验证‌：

• 在~/.claude/plugins.json或对应配置中，添加测试仓库为插件，指定commit字段为SAFE_SHA。
• 启动Claude Code，触发插件加载或更新。
• 检查插件本地目录（通常在~/.claude/plugins/下）的实际代码内容，如果看到的是恶意分支的代码而非安全提交的代码，说明漏洞存在。

2. OpenAI Codex验证‌：

• 在Codex的插件配置中指定测试仓库与锁定的SHA版本。
• 执行插件安装或更新命令。
• 检查本地插件目录的代码内容，判断是否被恶意分支替换。

3. GitHub Copilot验证‌：

• 使用非GitHub官方市场的第三方插件源（如自建Git仓库），指定锁定SHA。
• 触发插件安装。
• 检查Copilot插件目录的实际检出代码。

4. Gemini CLI验证‌：

• 配置插件源与锁定SHA。
• 执行插件安装。
• 检查.gemini/plugins/目录下的代码内容。

⚠️ 注意：以上仅用于本地安全自查，请不要用于未授权的测试，遵守网络安全法规。

3. 个人用户自查清单

按以下步骤逐条检查，可快速确认你的本地环境是否已受影响：

二、 企业级防护落地清单

企业环境需从架构层面系统性封堵风险，以下是可直接落地的防护项：

1. 准入控制层

• 建立企业内部插件白名单仓库，所有Agent只能从内部镜像源拉取插件，禁止直接访问外部Git仓库
• 对所有入库插件执行代码审计与病毒扫描，确保发布的版本安全可信
• 统一管理插件版本发布，禁止用户自行安装未审核的第三方插件

2. 运行环境层

• 所有编程Agent默认运行在沙箱容器或隔离虚拟机中，禁止直接访问宿主机文件系统
• 限制Agent的网络访问权限，仅允许访问白名单内的API和服务
• 禁止Agent读取系统级密钥、云凭证、生产环境配置文件

3. 监控审计层

• 构建全团队Agent-BOM（插件物料清单），统一管理所有插件版本与来源
• 定期（建议每日）校验所有终端上插件的实际代码哈希与预期值是否一致
• 全量留存Agent操作日志，建立异常行为检测规则（如批量文件读取、外发大流量等）
• 对Agent的Git操作行为进行监控，检出异常分支命名模式及时告警

4. 应急响应层

• 制定编程Agent安全事件响应预案，明确漏洞爆发后的隔离、排查、溯源流程
• 建立关键密钥轮换机制，一旦发现疑似泄露可快速吊销并替换
• 定期开展红蓝对抗演练，测试Agent供应链攻击的检测与防御能力

三、快速防护步骤

无需等待全部厂商补丁推送，可通过低成本操作快速收敛风险：

• 立即升级Claude Code至2.1.179以上版本、Codex至0.146.0以上版本，彻底关闭所有编程Agent的插件自动更新功能。
• 全面迁移Gemini CLI用户至Google新推出的Antigravity产品，完全规避无补丁的永久风险。
• 企业侧建立插件白名单机制，仅允许从官方或自建安全审核后的插件市场安装插件，禁止直接从第三方Git源拉取插件。
• 定期导出全团队已安装插件清单，构建Agent-BOM物料清单，对所有插件的实际本地代码哈希做二次校验。
• 禁止编程Agent持有长期云凭证、直连生产环境，所有操作默认运行在沙箱环境中，全量留存操作日志便于溯源。

四、完整防护

1. 个人终端一键排查脚本（Python）

直接在本地运行，自动扫描4款主流编程Agent的插件目录，校验SHA锁定一致性、检测恶意同名分支。

!/usr/bin/env python3
"""Plugin4Shell 个人终端一键排查脚本 v1.0
检测 Claude Code / OpenAI Codex / GitHub Copilot / Gemini CLI
的插件是否存在 SHA 锁定绕过漏洞
"""
import os
import subprocess
import json
from pathlib import Path

AGENT_PLUGIN_PATHS = {
    "Claude Code": "~/.claude/plugins",
    "OpenAI Codex": "~/.codex/plugins",
    "GitHub Copilot": "~/.github/copilot/plugins",
    "Gemini CLI": "~/.gemini/plugins",
}

def run_git(repo_path, cmd):
    """在指定 git 仓库执行命令并返回输出"""
    try:
        result = subprocess.run(
            ["git"] + cmd,
            cwd=repo_path,
            capture_output=True,
            text=True,
            timeout=10
        )
        return result.stdout.strip(), result.returncode == 0
    except Exception as e:
        return str(e), False

def check_plugin(agent_name, plugin_path, expected_sha=None):
    """检查单个插件目录的漏洞风险"""
    risks = []
    info = []
    
    if not plugin_path.is_dir():
        return None
    
    检查是否为 git 仓库
    git_dir = plugin_path / ".git"
    if not git_dir.exists():
        return None
    
    获取当前 HEAD 的实际 SHA
    head_sha, ok = run_git(plugin_path, ["rev-parse", "HEAD"])
    if ok:
        info.append(f"当前 HEAD: {head_sha[:12]}")
    
    检查是否存在以 SHA 命名的分支（核心风险特征）
    branches, ok = run_git(plugin_path, ["branch", "-a"])
    sha_branches = []
    for line in branches.split("\n"):
        line = line.strip().lstrip("* ").strip()
        if not line:
            continue
        SHA 特征：40位十六进制（完整）或 7-12 位短哈希
        import re
        if re.match(r'^[0-9a-f]{7,40}$', line.split("/")[-1].lower()):
            sha_branches.append(line)
    
    if sha_branches:
        risks.append(f"⚠️  发现疑似恶意 SHA 同名分支: {', '.join(sha_branches[:5])}")
        if len(sha_branches) > 5:
            risks.append(f"   ... 共 {len(sha_branches)} 个")
    
    如果有配置中的期望 SHA，做一致性校验
    if expected_sha and head_sha:
        if not head_sha.startswith(expected_sha[:7]):
            risks.append(f"⚠️  SHA 锁定失效！配置锁定: {expected_sha[:12]}，实际检出: {head_sha[:12]}")
        else:
            info.append("✅ SHA 锁定一致")
    
    return {
        "agent": agent_name,
        "plugin": plugin_path.name,
        "path": str(plugin_path),
        "risks": risks,
        "info": info,
        "risk_level": "HIGH" if risks else "SAFE"
    }

def scan_all_plugins():
    """扫描所有 Agent 的插件目录"""
    all_results = []
    
    for agent_name, rel_path in AGENT_PLUGIN_PATHS.items():
        base_path = Path(os.path.expanduser(rel_path))
        if not base_path.exists():
            continue
        
        遍历插件目录下的每个子目录（假设每个子目录是一个插件）
        for plugin_dir in base_path.iterdir():
            if plugin_dir.is_dir():
                result = check_plugin(agent_name, plugin_dir)
                if result:
                    all_results.append(result)
    
    return all_results

def main():
    print("=" * 60)
    print("  Plugin4Shell 漏洞一键排查工具")
    print("  检测: Claude Code / Codex / Copilot / Gemini CLI")
    print("=" * 60)
    print()
    
    results = scan_all_plugins()
    
    if not results:
        print("ℹ️  未检测到已安装的编程 Agent 插件")
        return
    
    high_risk = [r for r in results if r["risk_level"] == "HIGH"]
    safe = [r for r in results if r["risk_level"] == "SAFE"]
    
    print(f"共扫描 {len(results)} 个插件")
    print(f"  ✅ 安全: {len(safe)} 个")
    print(f"  ⚠️  风险: {len(high_risk)} 个")
    print()
    
    if high_risk:
        print("-" * 60)
        print("  ⚠️  发现风险项")
        print("-" * 60)
        for r in high_risk:
            print(f"\n🔌 [{r['agent']}] {r['plugin']}")
            print(f"   路径: {r['path']}")
            for risk in r["risks"]:
                print(f"   {risk}")
            for info in r["info"]:
                print(f"   {info}")
    
    print()
    print("=" * 60)
    print("  建议操作:")
    print("  1. 立即升级 Claude Code ≥ 2.1.179, Codex ≥ 0.146.0")
    print("  2. 停用 Gemini CLI（厂商已弃修，无补丁）")
    print("  3. 关闭所有 Agent 的插件自动更新功能")
    print("  4. 对风险插件执行卸载并清理目录")
    print("=" * 60)

if __name__ == "__main__":
    main()

使用方法：

1. 保存为 plugin4shell_check.py
2. 本地执行：python3 plugin4shell_check.py
3. 脚本会自动扫描4款Agent的默认插件目录，输出风险检测结果

2. 企业批量巡检方案

1）集中式插件哈希校验服务

在企业内部搭建插件镜像仓库，统一管理所有允许使用的插件版本，每个版本记录官方可信哈希值：

企业插件白名单校验服务示例
import hashlib
import os
from pathlib import Path

class PluginWhiteListService:
    """企业内部插件白名单服务"""
    
    def __init__(self, trusted_plugins_db):
        """
        trusted_plugins_db: 可信插件数据库，格式示例
        {
            "claude-code/plugin-name": {
                "version": "1.2.3",
                "sha256": "预期的整目录哈希值",
                "approved_by": "security-team",
                "approved_at": "2026-09-22"
            }
        }
        """
        self.db = trusted_plugins_db
    
    def calc_dir_hash(self, dir_path):
        """计算目录整体哈希（基于文件内容+路径）"""
        hasher = hashlib.sha256()
        dir_path = Path(dir_path)
        
        按文件路径排序，保证哈希稳定
        files = sorted([f for f in dir_path.rglob("*") if f.is_file() and ".git" not in f.parts])
        
        for f in files:
            写入相对路径
            rel_path = str(f.relative_to(dir_path)).encode("utf-8")
            hasher.update(rel_path)
            写入文件内容
            try:
                hasher.update(f.read_bytes())
            except Exception:
                pass
        
        return hasher.hexdigest()
    
    def verify_plugin(self, plugin_id, local_path):
        """校验本地插件是否在白名单且哈希一致"""
        if plugin_id not in self.db:
            return False, "插件不在企业白名单中"
        
        expected = self.db[plugin_id]["sha256"]
        actual = self.calc_dir_hash(local_path)
        
        if expected != actual:
            return False, f"哈希不匹配！预期: {expected[:16]}... 实际: {actual[:16]}..."
        
        return True, "校验通过"

2. 终端定时巡检部署 通过企业IT管理系统（如Ansible、飞书桌面管理、企业微信终端管理），将上述校验脚本部署到所有开发终端，每日定时执行并上报结果：

每日巡检 cron 配置示例（每天凌晨2点执行）
0 2 * * * /usr/bin/python3 /opt/security/plugin4shell_check.py --json-output >> /var/log/plugin4shell_daily.log 2>&1

3. 架构层面纵深防御体系

1. 网络层：插件源统一出口

2） 系统层：Agent运行隔离

采用沙箱化运行方案，将编程Agent与宿主机完全隔离：

方案A：容器化运行（推荐）

Claude Code 沙箱 Dockerfile 示例
FROM ubuntu:24.04
RUN apt-get update && apt-get install -y git python3 nodejs npm
创建受限用户
RUN useradd -m -s /bin/bash agent
USER agent
WORKDIR /home/agent/workspace
仅挂载工作目录，禁止访问宿主机其他路径
启动时通过 docker run -v ./project:/home/agent/workspace:rw 挂载

方案B：macOS 沙箱配置

<!-- 限制 Agent 只能访问工作目录的 sandbox 配置 -->
(version 1)
(deny default)
(allow file-read* file-write*
    (subpath "/Users/yourname/workspace")
    (subpath "/Users/yourname/.claude/plugins-approved"))
(allow network-outbound
    (remote-address "internal-plugin-mirror.company.com"))

3）权限层：最小权限原则

• 密钥隔离：云服务密钥、数据库密码严禁直接存储在Agent可读取的环境变量或配置文件中，统一通过企业密钥管理服务（KMS）按需申请
• Git权限拆分：Agent使用的Git账号仅授予代码读取权限，禁止直接推送代码到主分支，所有提交需经过人工审核
• 系统权限收敛：禁止Agent进程访问~/.ssh/、~/.aws/、~/.kube/config等敏感目录

4）监控层：全链路可观测

建立Agent行为基线，异常行为自动告警：

4. 应急响应流程（SOP）

一旦发现疑似Plugin4Shell漏洞利用事件，按以下流程处置：

第一阶段：隔离（0-30分钟）

1. 立即断开受影响终端的网络连接，防止进一步横向渗透
2. 暂停所有Agent的自动更新与插件同步任务
3. 冻结受影响开发者账号的所有云服务密钥、Git访问权限

第二阶段：排查（30分钟-4小时）

1. 导出受影响终端的所有插件列表与哈希校验结果
2. 检查Git日志，确认是否存在异常提交
3. 回溯近30天的云服务操作日志，排查是否有异常资源创建或数据访问
4. 检查终端启动项、定时任务、SSH密钥是否被篡改

第三阶段：处置（4-24小时）

1. 卸载所有受影响Agent，清除残留插件目录
2. 升级到已修复版本，或切换到安全替代方案
3. 轮换所有可能泄露的密钥与凭证
4. 从可信备份恢复受影响的代码仓库

第四阶段：复盘（24-72小时）

1. 出具完整事件报告，明确攻击入口、影响范围、处置结果
2. 更新企业插件白名单与安全策略
3. 开展全员安全培训，提升开发者对AI工具供应链风险的认知
4. 评估是否需要引入第三方渗透测试，全面验证防护体系

5. 长期安全治理建议

1. 建立Agent安全治理委员会：由安全、研发、IT部门联合组成，负责AI编程工具的准入审核、安全策略制定与事件响应
2. 定期开展红蓝对抗：每季度组织一次针对AI编程工具的渗透测试，模拟供应链攻击场景，检验防护体系有效性
3. 参与社区漏洞披露：订阅各主流Agent的安全公告，第一时间获取漏洞信息与补丁更新
4. 推进AI原生安全标准：将AI工具安全纳入企业SDL流程，从选型、部署、使用、下线全生命周期管控风险