The Register, Air araştırmacılarının kod eylemcilerinin pazar yeri SHA pimini, inen kopyayı kontrol etmeden kabul ettiğini yazdı. Anthropic ve OpenAI düzeltme yayımladı; Google Gemini CLI değişikliğini reddetti, Microsoft henüz Copilot yaması göndermemişti.
The Register’ın 17 Eylül hesabına göre pazar yeri ilanları bir SHA pini gösteriyor ve eylemciler o işi çekiyor. Air’den Or Nevo, Dor Granat ve Niv Hoffman, istemcinin çalışma ağacının pine uyduğunu kanıtlamadığını savundu. Değiştirilmiş bir eklenti, pinin satın alması gereken güvenle çalışır. Açığa verdikleri ad Plugin4Shell. Rapor bunu yeni bir kriptografi kırılması değil, çekim sorunu sayıyor.[1]
Register hesabına göre Air haziranda dört satıcıya ulaştı. Anthropic Claude Code düzeltmesini 2.1.179’da yayımladı. OpenAI Codex düzeltmesini 0.146.0’da yayımladı. The Register, Google’ın Gemini CLI’yi yamasız bırakacağını ve Microsoft’un henüz Copilot’u oynatmadığını yazdı. Bu satır bir güvenlik sıralaması değil, satıcı envanteridir. Okurun elinde satıcı yanıtlarının tek yayıncı yazımı var.[1]
Eklentiler kendini yenilediğinde değiştirilmiş yük, kullanıcı tıklaması olmadan gelebilir. The Register bunu günlük kurulum alışkanlığının üstüne oturan bir uzak kod yolu olarak kurdu. Orada aktarılan Air yazısı riski, pazar yeri pinini yeterli sayan eylemcilerle bağlıyor. Bununla birlikte sonraki bir satıcı notu kimin açıkta olduğunu daraltabilir. İkinci bağımsız bir çıkış aynı çekim açığını yazana dek kart bu tek raporda kalır.[1]
