Sicherheitsforscher haben gerade drei der am weitesten verbreiteten KI-Coding-Agenten in Unternehmensumgebungen gehijackt. Sie nutzten keine klassische Software-Schwachstelle. Sie haben keine Zugangsdaten erzwungen. Sie schrieben einen Pull-Request-Titel.
Das war's. Ein bösartiger PR-Titel. Claude Code, Googles Gemini CLI Action und Microsofts GitHub Copilot - alle kompromittiert, alle zum Abgreifen von API-Schlüsseln und Zugriffstoken genutzt. Und hier kommt der Teil, der Ihr Sicherheitsteam nachts wachhalten sollte: Keiner der betroffenen Anbieter hat eine CVE vergeben oder eine öffentliche Sicherheitswarnung veröffentlicht.
Forscher der Johns Hopkins University veröffentlichten diese Erkenntnisse diese Woche und nennen das Angriffsmuster „comment-and-control“ - ein Wortspiel zu command-and-control, weil die gesamte Angriffs-Infrastruktur innerhalb von GitHub selbst lebt. Keine externen Server. Keine Malware. Nur KI-Agenten, die genau das tun, wofür sie entwickelt wurden: GitHub-Daten lesen und darauf reagieren.
Wie der Angriff tatsächlich funktioniert
KI-Coding-Agenten wie Claude Code Security Review und Geminis CLI Action folgen einem vorhersehbaren Ablauf. Sie lesen GitHub-Inhalte - PR-Titel, Issue-Texte, Kommentare - behandeln diese als vertrauenswürdigen Kontext und führen Aufgaben basierend darauf aus. Diese Designannahme ist die Schwachstelle.
Forscher Aonan Guan von Johns Hopkins erkannte, dass er durch das Einfügen von Anweisungen in die Daten, die die KI liest, deren Verhalten umleiten kann. Er reichte also einen Pull Request ein und bettete bösartige Anweisungen direkt in den PR-Titel ein - im Grunde befahl er Claude, Bash-Befehle auszuführen und die Ausgabe als "Security Finding" zurückzugeben.
Claude führte die Befehle aus. Dann postete es die Ergebnisse, einschließlich Umgebungszugangsdaten, als PR-Kommentar. Angreifer schreibt den Titel. Angreifer liest den Bot-Kommentar. Fertig.
Bei Gemini eskalierten die Forscher die Injektion über Kommentar-Ketten und brachten Gemini schließlich dazu, seinen eigenen API-Schlüssel als GitHub-Issue-Kommentar zu veröffentlichen. GitHub zahlte dafür 1.337 US-Dollar - ein frecher Gruß aus der Sicherheits-Community.
Der Agent von GitHub Copilot war schwieriger. GitHub hatte drei Laufzeitschutzmechanismen hinzugefügt: Umgebungsfilterung, Geheimnis-Scanning und eine Netzwerk-Firewall. Guan umging alle drei, indem er die bösartige Eingabe in einem HTML-Kommentar versteckte - für menschliche Prüfer im gerenderten Markdown unsichtbar, aber für die KI, die den Rohinhalt verarbeitet, vollständig sichtbar. Das Opfer weist das Issue Copilot zur Behebung zu. Copilot leakt die Geheimnisse. Der Angreifer beseitigt Spuren, indem er den Issue-Titel ändert und die Bot-Antwort löscht.
Das Problem der stillen Offenlegung
Hier wird es für Unternehmen noch schlimmer. Anthropic wurde im Oktober erstmals auf die Claude Code-Schwachstelle hingewiesen. Sie zahlten eine Bug-Bounty von 100 US-Dollar - die niedrigste der drei -, stuften die Schwere auf 9,4 (kritisch) hoch und fügten ihrer Dokumentation einen Hinweis hinzu, dass die Aktion „nicht gegen Prompt-Injection-Angriffe gehärtet“ sei.
Keine CVE. Keine öffentliche Warnung. Keine Benachrichtigung an Nutzer mit verwundbaren Versionen.
Google zahlte 1.337 US-Dollar und nannte das Forscherteam. Trotzdem keine CVE. Microsoft, nachdem sie zunächst von einem „bekannten Problem“ sprachen, das sie „nicht reproduzieren konnten“, zahlte schließlich im März 500 US-Dollar. Keine öffentliche Offenlegung.
Guan sagte gegenüber The Register: „Ich weiß sicher, dass einige Nutzer auf einer verwundbaren Version festhängen. Wenn keine Warnung veröffentlicht wird, wissen diese Nutzer möglicherweise nie, dass sie verwundbar sind - oder angegriffen werden."
Dieser Satz beschreibt den aktuellen Stand der KI-Sicherheit in Unternehmen perfekt. Ihr Team setzt einen KI-Agenten zur Code-Überprüfung ein. Forscher finden heraus, dass er gehijackt werden kann, um alle Geheimnisse in Ihrer GitHub Actions-Umgebung zu stehlen. Der Anbieter patcht das stillschweigend. Sie erfahren es nie.
Das ist kein Einzelfall
Was das besonders unangenehm macht, ist, dass die Angriffsfläche nicht exotisch ist. GitHub Actions wird von Hunderttausenden Organisationen genutzt. KI-Coding-Agenten - Claude Code, Copilot, Gemini-Integrationen - werden schnell in Entwicklerteams weltweit eingesetzt. Die meisten Unternehmen haben keine Übersicht, welche KI-Tools ihre Entwickler in CI/CD-Pipelines aktiv nutzen, geschweige denn, ob diese Tools gepatcht sind.
Das fällt genau in den Bereich Shadow AI. Nicht die Art, bei der ein Mitarbeiter ChatGPT im Browser öffnet - sondern die, bei der KI-Agenten in Kernentwicklungs-Workflows mit Zugriff auf Produktionsgeheimnisse eingebettet sind und niemand in der Sicherheit eine vollständige Inventur hat, was wo läuft.
Und diese Woche gab es eine zweite, verwandte Meldung: einen Designfehler im Model Context Protocol (MCP) von Anthropic, dem offenen Standard, der KI-Modelle mit externen Tools und Datenquellen verbindet. Das Ox-Sicherheitsteam fand heraus, dass die Nutzung von STDIO als lokalen Transportmechanismus effektive Ausführung beliebiger Betriebssystembefehle erlaubt - und das Schwachstellenmuster sich durch alle Projekte zieht, die das offizielle MCP-SDK von Anthropic nutzen, mit 150 Millionen Paket-Downloads in Python, TypeScript, Java und Rust.
Anthropic lehnte es ab, das Protokoll selbst zu patchen und bezeichnete das Verhalten als „erwartet“. Zehn CVEs mit hoher und kritischer Schwere wurden seitdem für einzelne MCP-abhängige Projekte veröffentlicht. Die Ursache ist weiterhin ungefixt.
Was Unternehmen jetzt tun müssen
Einige praktische Schritte, die Sie diese Woche umsetzen sollten:
Prüfen Sie Ihre GitHub Actions auf KI-Agent-Integrationen. Jeder Workflow, der Claude Code, Gemini CLI Action oder GitHub Copilot aufruft, sollte überprüft werden. Prüfen Sie, welche Version festgelegt ist. Bestätigen Sie, ob sie seit Ende 2025 aktualisiert wurde.
Beschränken Sie den externen PR-Zugriff auf KI-Agent-Workflows. Alle drei Anbieter empfehlen, vor der Verarbeitung externer Beiträge durch KI-Agenten eine Genehmigung durch Maintainer zu verlangen. Dies verhindert keine Insider-Angriffe, schließt jedoch den offensichtlichsten externen Angriffsvektor.
Behandeln Sie PR- und Issue-Inhalte als nicht vertrauenswürdige Eingaben. Wenn ein KI-Agent in Ihrer Pipeline nutzergelieferte Inhalte liest und darauf reagiert, ist das eine Angriffsfläche für Prompt Injection. Organisationen beginnen erst, die Sicherheitsmodelle zu entwickeln, die dafür erforderlich sind.
Verschaffen Sie sich Sichtbarkeit, bevor Sie steuern. Das schwierigere Problem ist, dass die meisten Sicherheitsteams keine verlässliche Übersicht darüber haben, welche KI-Tools tatsächlich in ihrer Umgebung laufen - insbesondere in Entwickler-Workflows. Sie können nichts patchen, von dem sie nichts wissen, und keine Richtlinien für KI-Agenten durchsetzen, die sie nicht entdeckt haben.
Hier setzt Aonas [Shadow AI Discovery](https://aona.ai/product) an. Ein vollständiges Bild der KI-Nutzung im Unternehmen - inklusive KI-Agenten in Entwickler-Tools - ist Voraussetzung für jede sinnvolle Governance. Der diese Woche beschriebene Angriff erfordert nicht, dass ein Mitarbeiter bewusst ein Risiko eingeht. Er nutzt KI-Tools, die die IT bereits genehmigt hat, die in von der IT verwalteten Pipelines laufen und genau das tun, wofür sie entwickelt wurden.
Das Bedrohungsmodell für Unternehmens-KI-Sicherheit ist deutlich komplexer geworden. Die gute Nachricht: Der Angriff ist verstanden, die Gegenmaßnahmen dokumentiert, und es ist keine Wartezeit auf Anbieter nötig. Die Frage ist, ob Ihr Sicherheitsteam die nötige Sichtbarkeit hat, um zu wissen, wo es anfangen soll.
