Plugin4Shell 漏洞：钉住的是请求，不是运行的代码
「钉住版本」保护的是你发出的请求，不是你运行的代码。 这句话听起来像绕口令，但它是本周一起安全披露的核心。Air Security 在 2026 年 9 月 17 日公开的 Plugin4Shell，让 Anthropic Claude Code、OpenAI Codex、GitHub Copilot、Google Gemini CLI 四款主流编码 agent 的插件哈希钉定机制失效。而失效的原因不是某一家写错了代码——是四家的工程师在同一条流程的同一个位置，独立地漏掉了同一个断言。 ...