Суть бага в одной фразе: агент делает checkout запиннутого коммита, но не проверяет, что checkout действительно попал в нужный SHA, а git при совпадении имён предпочитает branch-ref одноимённому хешу. «Нулевой клик» обеспечивает фоновое автообновление плагинов — дефолт в Claude Code и Codex: подменённый плагин доезжает до уже установленного окружения без единого действия пользователя. Плагины наследуют права агента, то есть исходники, облачные креды, SSH-ключи, доступ к внутренним репозиториям и секретам.
Теперь хронология, без которой публикация читается страшнее, чем есть. Баг найден в мае 2026, раскрыт вендорам в июне 2026, исправление в Claude Code вышло 17 июня (версия 2.1.179), в Codex — 12 августа (версия 0.146.0). То есть к моменту публикации патчи лежали три месяца и месяц соответственно, и читатель, обновлявшийся летом, уже защищён.
Что делать: обновиться до Claude Code 2.1.179+ или Codex 0.146.0+. GitHub Copilot патча не получил — Microsoft его не выпустила. Gemini CLI объявлен Google устаревшим и патчиться не будет, рекомендованный путь — переезд на Antigravity; до переезда его разумнее просто удалить. Оценки «первая в своём роде атака на цепочку поставок ИИ-агентов» и «миллионы затронутых агентов» — формулировки самой Air Security, а не независимый подсчёт.