你把插件锁在一个经过审核的 commit 上，以为从此不会变。2026 年 9 月中旬披露的 Plugin4Shell 证明这把锁只是看起来很紧：四个主流编码 Agent 都在请求那个 commit，却从不核对最终落到磁盘上的代码是不是它。攻击者只要把插件的默认分支改成一个 SHA 形状的名字，就能在后台自动更新时静默换上恶意代码，全程不需要你点一下。本文拆解这条攻击链的两个变体、四个 Agent 的修补状态，以及它真正暴露的三层信任裂缝，最后给出一份可直接执行的加固清单。