Ein sauber wirkendes GitHub-Repository kann zum Übertragungsweg für Malware werden, wenn ein KI-Coding-Assistent darauf vertraut wird, es einzurichten.
Das 0DIN-Team von Mozilla demonstrierte dieses Risiko am 25. Juni 2026 in einem Proof of Concept mit Claude Code, dem agentenbasierten Coding-Tool von Anthropic. Die Demo zeigte, wie routinemäßige Einrichtungsschritte einen KI-Coding-Agenten dazu bringen konnten, eine über DNS bereitgestellte Payload abzurufen und auszuführen und dadurch eine Reverse Shell auf dem Rechner eines Entwicklers zu öffnen.
KI-Coding-Assistenten können Dateien lesen, Abhängigkeiten installieren, Shell-Befehle ausführen und auf lokale Entwicklerumgebungen zugreifen. Dadurch wird Prompt-Injection zu einem Risiko für die Offenlegung von Zugangsdaten und die Kompromittierung von Endpunkten, während Anbieter und Forscher neue Sicherheitskontrollen für KI-Agenten definieren.
So funktionierte der Angriff auf das saubere Repository
Beim Proof of Concept von 0DINenthielt das Repository keine offensichtlich schädliche Payload. Es nutzte einen normal wirkenden Python-Einrichtungsablauf, den Claude Code als Projektkontext interpretierte.
Der Assistent installierte die Anforderungen, stieß auf einen routinemäßigen Initialisierungsfehler und führte die vorgeschlagene Fehlerbehebung aus. Dieser Befehl löste ein Einrichtungsskript aus, das einen DNS-TXT-Eintrag abfragte, den zurückgegebenen Wert decodierte und als Shell-Befehl ausführte.
Das Ergebnis war eine Reverse Shell zurück zu einem vom Angreifer kontrollierten System. Da die Payload erst zur Laufzeit abgerufen wurde, war der endgültige Befehl vor der Ausführung im Repository nicht sichtbar. Dadurch hatten statische Scanner, Code-Reviewer und Abhängigkeitsprüfungen kaum etwas zu beanstanden.
Sobald die Shell geöffnet war, hatte der Angreifer Zugriff unter dem Benutzerkonto des Entwicklers selbst. Dadurch konnten Quellcode, Browsersitzungen, API-Schlüssel, GitHub-Token, AWS-Zugangsdaten, SSH-Material und andere lokale Geheimnisse offengelegt werden.
Der Agent musste die Aktion nicht als schädlich erkennen. Er versuchte, die Anfrage eines Entwicklers abzuschließen, einen Fehler zu beheben und einen dokumentierten Initialisierungsschritt auszuführen.
Separate Untersuchungen zeigen, dass das Problem über eine einzelne Demo hinausgeht, während Anbieter darum wetteifern, KI-Coding-Tools sicherer zu machen. Eine Studie zu agentenbasierten Coding-Editoren analysierte 314 Prompt-Injection-Payloads anhand von 70 MITRE-ATT&CK-Techniken und stellte Erfolgsraten von bis zu 84 % bei der Ausführung schädlicher Befehle gegen GitHub Copilot und Cursor fest.
Warum agentenbasierte Coding-Tools neue Schutzvorkehrungen benötigen
Jeder Coding-Agent, der nicht vertrauenswürdige Projektinhalte verarbeitet und dabei mit den Berechtigungen eines Entwicklers arbeitet, kann einen ähnlichen Angriffsweg eröffnen.
Zu den Hochrisiko-Konfigurationen gehören weitreichender Dateisystemzugriff, Terminalzugriff, Netzwerkzugriff, ein dauerhaftes Gedächtnis, das Einbinden externer Pakete oder der Zugriff auf Speicher für Zugangsdaten. Diese Fähigkeiten verlagern die Sicherheitsgrenze von der reinen Codeprüfung hin zu Laufzeitkontrollen für Dateien, Befehle, Netzwerkzugriff und Geheimnisse.
Sicherheitsteams sollten prüfen, ob Agenten die vollständigen Zugangsdaten eines Entwicklers übernehmen oder unter eingeschränkten Dienstkonten ausgeführt werden. Außerdem sollten sie festlegen, wie Agenten mit Einrichtungsanweisungen, Paketfehlern, README-Dateien, Tools des Model Context Protocol und anderen externen Inhalten umgehen – insbesondere da KI-Systeme eingesetzt werden, um ausnutzbare Software-Schwachstellen.
Eine im Januar 2026 durchgeführte systematische Untersuchung von 78 Studien ergab, dass adaptive Prompt-Injection-Angriffe viele veröffentlichte Abwehrmaßnahmen umgehen können, wenn Angreifer ihre Payloads gezielt so anpassen, dass sie nicht erkannt werden. Dadurch sind Filter und Warnbanner als alleinige Kontrollen unzureichend.
Unternehmen sollten Konfigurationen nach dem Prinzip der geringsten Privilegien, eine Ausführung in einer Sandbox, Freigabeschritte für Dateischreibvorgänge und Shell-Befehle, Kontrollen für ausgehenden Netzwerkverkehr, die Isolierung von Geheimnissen und Audit-Logs für von Agenten ausgeführte Aktionen priorisieren. Die Sandboxing-Richtlinien von Anthropicverweisen außerdem auf die Isolierung von Dateisystem und Netzwerk als Maßnahmen, um den Schaden durch einen kompromittierten Coding-Agenten zu begrenzen.
Behandeln Sie jedes unbekannte Repository, Einrichtungsskript, Paketdatei und jede README-Datei, die ein KI-Agent liest, als nicht vertrauenswürdige Eingabe. Während Coding-Agenten immer tiefer in Entwicklungsabläufe von Unternehmen vordringen, müssen sich Sicherheitskontrollen auf die Laufzeitumgebung erstrecken, in der Agenten Befehle ausführen.
Mehr dazu: Sicherheitsteams verfolgen außerdem, wie KI-gesteuerte Malware ihren eigenen Angriffsweg wählen kann, während agentenbasierte Systeme immer autonomer werden.