Sedan förra rapporten
| Status | Verktyg | Förändring | Praktisk betydelse |
|---|---|---|---|
| NYTT | Plugin4Shell – Claude Code, Codex, GitHub Copilot och Gemini CLI | 17 sep: Air Security publicerar den första dokumenterade supply chain-sårbarheten i agenters pluginlager. En angripare som kontrollerar ett plugin-repo kan få agenten att checka ut annan kod än den granskade commiten, medan SHA-pinnen ser uppfylld ut. Anthropic fixade Claude Code 2.1.179 och OpenAI verifierade Codex 0.146.0, båda före publiceringen. Copilot är fortfarande ofixad, och Google kommer inte att fixa Gemini CLI eftersom den är avvecklad. | Automatiska pluginuppdateringar är på som standard i Claude Code och Codex, så ingen klickar igenom något. Den som kör en agent mot produktionsnära kod bör uppdatera till fixad version och se över vilka plugin-källor som faktiskt är aktiva. |
| FÖRÄNDRAT | ZCode (Z.ai/Zhipu) | 18 sep: en utvecklare hittade en 313 MB krypterad arkivfil i ZCodes lokala katalog, på väg till Alibaba Cloud – ett paket med hela repots Git-historik. Z.ai:s eget uttalande pekar på Repo Wiki/indexeringsfunktionen, som var påslagen som standard efter lanseringen. Företaget bad om ursäkt och säger att problemet är löst och att uppgifterna raderas direkt. | Bara Z.ai kan verifiera raderingen: arkivet krypterades med en nyckel som bara Z.ai har. Git-historik innehåller återkallade nycklar, interna värdnamn och gamla grenar – alltså mer än det som ligger i arbetskatalogen. Integritetspolicyn är oförändrad sedan 15 juni och beskriver ingen repopaketering. |
Inga nya stabila releaser landade i de bevakade verktygen under perioden. Det som faktiskt förändrade läget ligger i stället i säkerhets- och integritetslagret, och båda punkterna ovan saknades i tidigare utgåvor av rapporten.
Plugin-lagret är en distributionskanal, inte en detalj
Plugin4Shell träffar själva add-on-flödet snarare än modellen: agenterna hämtar den pinnade commiten men kontrollerar aldrig att arbetskopian verkligen motsvarar den. För Claude Code, Codex och Copilot går attacken via en Git-gren vars namn är den 40 tecken långa commit-hashen; för Gemini CLI via en gren som heter FETCH_HEAD.
Tre saker är värda att hålla isär:
- Fixat: Claude Code 2.1.179 (bekräftat 17 juni 2026) och Codex 0.146.0 (verifierat 12 augusti 2026). Ligger du före dessa versioner är uppdateringen åtgärden.
- Inte fixat: GitHub Copilot. GitHub uppger att plattformen blockerar gren- och tagg-namn som ser ut som hashar, men Air Security invänder att marketplaces på andra Git-värdar – eller självhostade – kan vara fortsatt utsatta.
- Aldrig fixat: Gemini CLI. Google bekräftade 4 augusti att ingen rättning kommer eftersom CLI:t avvecklades 18 juni 2026 till förmån för Antigravity CLI, som inte har den här plugin-pinningen.
För en teknisk läsare är den praktiska slutsatsen inte ”byt agent” utan ”inventera plugins”. En granskad och pinnad plugin var hela säkerhetsmodellen, och den modellen räckte inte.
ZCode: en standard, inte en bugg
Det som gör ZCode-incidenten svår att avfärda är att uppladdningen var en funktion som byggts medvetet och lämnats på: Repo Wiki genererade wiki-sidor i molnet och kunde därmed paketera hela repot, inklusive .git. Det fanns ingen knapp för att stänga av den.
Z.ai:s tre åtaganden enligt uttalandet i företagets Feishu-kanal (återgivet i sin helhet på V2EX) är att öppna ZCode-källkoden, bjuda in externa granskare och ha åtgärdat uppladdningarna. Det som saknas är fortfarande det som går att kontrollera: ingen extern omtestning och ingen dokumenterad retention-policy. Enligt South China Morning Posts rapportering har minst en kinesisk robotikfirma internt förbjudit Z.ai:s verktyg.
Värt att notera för kontinuiteten: samma mönster har redan prövats mot xAI:s Grok Build, där uppladdningarna kunde verifieras stoppade genom ett externt omtest. Skillnaden är att där gick det att kontrollera, här går det inte.
Dagens verktygskarta
| Behov | Förstaval | Starkaste alternativ | Status | Varför |
|---|---|---|---|---|
| IDE-baserad agentisk kodning | Cursor | GitHub Copilot | KVAR | Cursors parallella agenter, worktrees och molnmiljöer i IDE:n är fortfarande den mest kompletta arbetsytan för agentisk kodning i editorn. |
| Terminalbaserad kodagent | Claude Code | Codex CLI, GitHub Copilot CLI | KVAR | Claude Code ligger kvar som förstaval och är patchar för Plugin4Shell sedan 2.1.179; AGENTS.md-stödet gör dessutom samma projektfil användbar i flera agenter. |
| Research | Perplexity | ChatGPT | KVAR | Perplexity är fortfarande starkast på källspårning och löpande omvärldsbevakning i researchflöden. |
| Generell AI-arbetsyta | ChatGPT | Claude, Gemini | KVAR | ChatGPT är den bredaste arbetsytan och utfasningen av custom GPTs sker till förmån för plugins inom samma produkt. |
| Bild/design | Adobe Firefly | Midjourney | KVAR | Firefly för redigerbar, kommersiellt säkrad grafik i Creative Cloud och Midjourney för konceptfasen. |
| Automation/agentplattform | n8n | OpenClaw | KVAR | n8n förblir förstavalet för den som vill bygga egna integrationer med visuella flöden och kunna self-hostas; OpenClaw är det starkaste alternativet för en egen agentkanal mot Slack, Telegram eller Discord. |
| Lokal modellbackend | Ollama | llama.cpp | KVAR | Ollama är fortsatt den enklaste vägen till en lokal modellbackend och det gränssnitt de flesta utvecklarverktyg förväntar sig. |
| Lokal AI-klient | Open WebUI | LM Studio Bionic | KVAR | Open WebUI ger fleranvändarstöd och RAG i webbläsaren; Bionics nya Mac-motor förbättrar hastigheten men ändrar inte kategorins förstaval. |
Inget förstaval byter plats i dag. Dygnets material är säkerhets- och integritetsfrågor kring verktyg som redan står i kartan, inte en förändring som gör ett annat verktyg mer lämpat för behovet.
Källor: Air Security – Plugin4Shell, The Next Web – Z.ai och ZCode, Google Developers Blog – Gemini CLI till Antigravity CLI.