KI-Agenten führen git-Schadcode beim Starten automatisch aus

Was geschehen ist – die Kernmeldung ausführlich

Ein gravierendes Sicherheitsproblem bedroht derzeit Software-Entwickler, die KI-gestützte Werkzeuge zur Programmierung einsetzen. Wie die Sicherheitsfirma Manifold aufgedeckt hat, existiert eine Angriffsmöglichkeit über manipulierte Git-Repositories. Dabei nutzen KI-Agenten, die für die Arbeit in der Konsole konzipiert sind, Schwachstellen in der Art und Weise aus, wie sie beim Öffnen eines Verzeichnisses mit der Versionsverwaltung Git interagieren. Sobald ein Entwickler ein solches präpariertes Repository öffnet, führen die KI-Agenten automatisch Schadcode aus. Das Besondere an diesem Sicherheitsvorfall ist, dass dieser Vorgang völlig ohne das Zutun des Anwenders geschieht. Es ist weder eine explizite Bestätigung durch den Nutzer erforderlich, noch erfolgt eine Sicherheitsabfrage. Der Schadcode wird dabei mit den vollen Benutzerrechten des Entwicklers auf dem lokalen System ausgeführt. Da diese Prozesse außerhalb einer isolierten Sandbox-Umgebung ablaufen, haben die Angreifer theoretisch Zugriff auf sensible Daten und Funktionen des betroffenen Rechners. Die Sicherheitslücke betrifft eine Vielzahl bekannter KI-Agenten, die in der Entwickler-Community zunehmend an Bedeutung gewinnen, und stellt ein erhebliches Risiko für die Integrität lokaler Entwicklungsumgebungen dar.

Die Einzelheiten – alle Zahlen, Namen, Orte, Zeitangaben

Die technische Ursache für diese Sicherheitslücke liegt in der automatisierten Arbeitsweise der KI-Agenten. Um den Kontext eines Projekts aktuell zu halten, führen Tools wie Claude Code, Qwen Code oder Goose beim Starten im Hintergrund Git-Abfragen durch. Zu diesen Befehlen gehören beispielsweise 'git status' oder 'git diff'. Dabei greifen die Agenten auf die lokale Git-Konfiguration zu. Git bietet die Möglichkeit, den Index über eine externe Funktion zu aktualisieren, die in der Konfigurationsdatei unter dem Parameter 'fsmonitor' definiert wird. Angreifer können diesen Parameter manipulieren und dort einen beliebigen Befehl hinterlegen. Da die Agenten diesen Befehl beim Starten ausführen, wird der Schadcode aktiv. Die Firma Manifold hat nachgewiesen, dass dies bei zahlreichen Agenten funktioniert. Während Anthropic die 'fsmonitor'-Lücke in Claude Code bereits geschlossen hat, bestehen bei anderen wie Qwen oder Grok noch Risiken. Auch Tools wie Codex und Cursor waren betroffen, wurden jedoch inzwischen gepatcht. Der Bericht von Manifold betont, dass die Liste der betroffenen Systeme weit über die namentlich genannten Agenten hinausgeht und sowohl große KI-Labore als auch Softwarefirmen umfasst.

Hintergrund – wie es dazu kam

Die Entdeckung der Sicherheitslücke durch Manifold basiert auf einer detaillierten Analyse der Interaktion zwischen KI-Agenten und dem Git-Ökosystem. Grundsätzlich ist das bloße Klonen, Pullen oder Fetchen eines Repositories aus dem Internet laut den Sicherheitsforschern kein direkter Angriffsvektor, da dabei die Konfigurationsdateien nicht in einer Weise ausgeführt werden, die den Angriff auslöst. Das Risiko steigt jedoch massiv, wenn Entwickler Repositories aus unsicheren Quellen beziehen, beispielsweise als Zip-Datei von Kollegen oder über Dateitransfer-Dienste, und diese lokal entpacken. Sobald ein solcher Ordner mit einem KI-Agenten geöffnet wird, greift die manipulierte Konfiguration. Die Sicherheitsforscher von Manifold haben die betroffenen Hersteller vor der Veröffentlichung ihrer Ergebnisse kontaktiert, um eine verantwortungsvolle Offenlegung zu gewährleisten. Dennoch befinden sich einige der betroffenen Agenten noch in einer sogenannten Disclosure-Phase, in der den Herstellern Zeit eingeräumt wird, die Schwachstellen zu schließen. Dies erklärt, warum einige Tools bereits sicher sind, während andere noch immer eine Gefahr darstellen können.

Die Beteiligten – wer betroffen ist und entscheidet

Die Sicherheitsfirma Manifold fungiert in diesem Szenario als Entdecker und Melder der Schwachstelle. Auf der Seite der betroffenen Software-Produkte stehen zahlreiche KI-Agenten, darunter Claude Code von Anthropic, Qwen Code, Grok, Codex und Cursor. Die Entwickler dieser KI-Systeme stehen nun in der Pflicht, die Sicherheitslücken durch entsprechende Updates zu schließen. Anthropic hat bereits reagiert und die 'fsmonitor'-Lücke behoben, wobei bei Claude auch eine weitere Schwachstelle im Zusammenhang mit 'claude ultraview' identifiziert wurde. Die Redaktion von heise developer und iX hat den Sachverhalt bei Manifold aktiv angefragt, um den aktuellen Stand der Sicherheitslage zu klären. Betroffen sind letztlich alle Entwicklerinnen und Entwickler, die KI-Agenten nutzen, ohne die zugrunde liegenden Git-Konfigurationen bei extern empfangenen Projekten einer Sicherheitsprüfung zu unterziehen. Die Kommunikation zwischen den Sicherheitsforschern und den Software-Herstellern ist ein zentraler Bestandteil des Prozesses, um die Lücken systematisch zu schließen.

Einordnung – was das bedeutet

Einzuordnen ist das Sicherheitsrisiko als kritisch, da es das Vertrauensverhältnis zwischen Entwickler-Tools und dem Betriebssystem untergräbt. Normalerweise erwarten Nutzer, dass ein Tool, das lediglich den Status eines Repositories abfragt, keine systemweiten Befehle ausführt. Die Tatsache, dass dies ohne Sandbox-Isolierung geschieht, ist aus Sicht der IT-Sicherheit höchst problematisch. Den Berichten zufolge handelt es sich nicht um einen Einzelfall, sondern um ein systemisches Problem in der Architektur vieler KI-Agenten. Die Forscher von Manifold betonen, dass das Muster der Schwachstelle bei vielen großen Akteuren der Branche zu finden ist. Es zeigt sich hier eine Diskrepanz zwischen der schnellen Entwicklung neuer KI-Funktionen und der notwendigen Absicherung gegen klassische Angriffsvektoren. Dass die Ausführung von Schadcode mit vollen Nutzerrechten erfolgt, bedeutet, dass im schlimmsten Fall der gesamte Rechner kompromittiert werden kann, inklusive des Zugriffs auf SSH-Schlüssel, API-Tokens oder andere sensible Entwicklerdaten, die im lokalen Verzeichnis oder in der Umgebung des Nutzers gespeichert sind.

Offene Fragen – was der Quelltext nicht beantwortet

Der vorliegende Quelltext lässt einige Fragen offen, die für eine vollständige Risikobewertung wichtig wären. So wird zwar erwähnt, dass die Liste der betroffenen Agenten sehr lang ist und sowohl große KI-Labore als auch Softwarefirmen umfasst, eine vollständige, namentliche Auflistung aller noch nicht gepatchten Programme wird jedoch nicht gegeben. Es bleibt unklar, wie viele Nutzer bereits Opfer solcher Angriffe geworden sind oder ob es Hinweise auf eine aktive Ausnutzung in der freien Wildbahn gibt. Zudem wird nicht detailliert beschrieben, welche spezifischen Schadensszenarien über den Zugriff auf die Git-Konfiguration hinaus möglich sind, etwa ob die KI-Agenten durch den Schadcode auch dazu gebracht werden könnten, Daten nach außen zu senden. Auch die Frage, ob es technische Möglichkeiten gibt, die Ausführung von 'fsmonitor' global auf Betriebssystemebene zu unterbinden, ohne die Funktionalität von Git für legitime Zwecke zu stark einzuschränken, wird nicht abschließend geklärt. Die genaue Anzahl der betroffenen Agenten bleibt aufgrund der laufenden Disclosure-Phase vorerst ein Geheimnis der Sicherheitsforscher.

Wie es weitergeht – angekündigte Schritte

Die Hersteller der betroffenen KI-Agenten sind dazu angehalten, die Schwachstellen in ihren Produkten durch Updates zu beheben. Entwicklerinnen und Entwickler sollten proaktiv handeln, um sich zu schützen. Als Sofortmaßnahme empfiehlt es sich, die Datei '.git/config' in jedem Repository, das aus einer fremden Quelle stammt, manuell auf verdächtige Befehle zu prüfen. Jeder Eintrag, der ein Programm aufruft, sollte als Warnsignal verstanden werden. Anbieter von KI-Agenten sind zudem aufgerufen, ihre Software so anzupassen, dass sie die automatischen Git-Befehle bereinigen oder absichern, beispielsweise durch den Einsatz von Befehlen wie 'git -c core.fsmonitor=false status', um die Ausführung externer Funktionen zu unterbinden. Da sich die Sicherheitslage durch die laufende Disclosure-Phase dynamisch entwickelt, ist davon auszugehen, dass in den kommenden Wochen weitere Patches für die noch anfälligen Systeme veröffentlicht werden. Nutzer sollten ihre KI-Tools regelmäßig auf die neueste Version aktualisieren und bei der Verwendung von KI-Agenten in unbekannten Repositories äußerste Vorsicht walten lassen.