Forscher zeigen, wie man KI-Coding-Agenten dazu verleiten kann, Malware aus scheinbar sauberen GitHub-Repositories auszuführen
KI-Coding-Agenten stehen vor einem neuen Supply‑Chain‑Risiko
Ein neuer Bericht von Mozillas Zero Day Investigative Network, kurz 0DIN, besagt, dass agentenbasierte Coding‑Tools dazu verleitet werden können, bösartige Nutzlasten aus GitHub-Repositories auszuführen, die sowohl für Scanner als auch für menschliche Prüfer harmlos erscheinen.
Die Sorge betrifft nicht einen vergifteten Quellbaum im klassischen Sinn. In 0DINs Demonstration enthielt das Repository selbst keinen offensichtlichen bösartigen Code. Stattdessen entfaltete sich die Angriffskette während der Einrichtung, als Claude Code gebeten wurde, das Projekt zu klonen und auszuführen. Diesem Prozess zufolge könnte, so die Forscher, auf dem Rechner des Entwicklers eine interaktive Shell entstehen, ohne dass ein offensichtlich verdächtiger Befehl genehmigt wurde.
0DIN beschrieb die Kompromittierung mit „kein Exploit‑Code, keine Warnung, kein verdächtiger Befehl, den jemand genehmigen musste.“
Die Methode beruht auf drei separaten Komponenten, die einzeln harmlos wirken. Zusammen können sie einen typischen Benutzerfehler nachahmen, einen Fehler auslösen, dem der Agent vertraut, und einen Wert abrufen, der schließlich auf ein bösartiges Ziel verweist. Das Ergebnis ist eine Reverse‑Shell, die laut den Forschern „drei Indirektionsschritte entfernt" von allem ist, was die KI tatsächlich bewertet hat.
„Claude Code hat nie beschlossen, eine Shell zu öffnen. Es entschied sich, einen Fehler zu beheben. Die Reverse‑Shell liegt drei Indirektionsschritte entfernt von allem, was Claude Code tatsächlich bewertet hat: eine Fehlermeldung, der es vertraute, ein Skript, das einen Wert abgerufen hat, und einen DNS‑Eintrag, den es nie gesehen hat“, sagten die 0DIN‑Forscher.
Gelingt der Angriff, erhält der Angreifer eine Shell mit den Rechten des Entwicklers, wodurch Zugriff auf Umgebungsvariablen, API‑Schlüssel, lokale Konfigurationsdateien und die Möglichkeit zur Persistenz eröffnet wird.
0DIN sagt, die Technik sei derzeit nur ein Konzept, warnte jedoch, dass sie leicht über gefälschte Stellenanzeigen, Tutorials, Blogposts oder Direktnachrichten verbreitet werden könne.
Um das Risiko zu verringern, empfiehlt die Gruppe, dass KI‑Agenten die vollständige Ausführungskette für Setup‑Befehle offenlegen, einschließlich Skripten und jeglichem Code, der zur Laufzeit dynamisch nachgeladen wird. Diese Transparenz, so die Forscher, sei entscheidend, wenn Organisationen Supply‑Chain‑Angriffe stoppen wollen, die sowohl automatisierte Abwehrmechanismen als auch menschliche Prüfungen umgehen.
Quellen: