No entanto, Claude Code, Codex e GitHub Copilot podem ser induzidos a executar código malicioso em vez do código do plug-in confiável associado ao SHA porque eles passam o SHA diretamente ao Git para verificar o código do plug-in, mas não verificam posteriormente se o Git realmente verificou o commit correspondente a esse SHA, escreveram os pesquisadores.
Isso significa que um invasor que controla o repositório do plugin, seja publicando um plugin benigno e posteriormente tornando-o malicioso ou assumindo o controle do repositório por trás de um plugin confiável existente, pode explorar a lacuna criando uma nova versão do repositório contendo código malicioso e usando o SHA do commit legítimo como seu nome, explicaram os pesquisadores.
Como resultado, quando o agente pede ao Git para verificar o SHA, o Git o resolve para a versão controlada pelo invasor, fazendo com que o agente execute o código malicioso mesmo tendo sido instruído a usar o commit revisado, disseram eles.
