Sauberes GitHub-Repo lockt KI-Coding-Agenten in Malware-Falle
Sicherheitsforscher haben gezeigt, dass ein anscheinend sauberes GitHub-Repository KI-gestützte Coding-Agenten dazu bringen kann, unsichtbare Malware auszuführen. Der Angriff nutzt versteckte Anweisungen in Dateien, die von Agenten wie Claude Code oder Copilot interpretiert werden.
Sicherheitsforscher haben demonstriert, dass ein scheinbar sauberes GitHub-Repository ausreicht, um KI-gestützte Coding-Agenten zur Ausführung von Malware zu verleiten. Der Angriff nutzt versteckte Anweisungen in Quelltext-Dateien, die von Agenten wie Claude Code oder GitHub Copilot interpretiert werden.
Was ist passiert?
Laut einem Bericht von BleepingComputer vom 27. Juni 2026 haben Sicherheitsforscher gezeigt, dass KI-Coding-Agenten durch sogenannte Prompt-Injection aus Repositories heraus manipuliert werden können. Der Angriff basiert auf einem GitHub-Repository, das auf den ersten Blick normalen Quellcode enthält. Eingebettet in Kommentare, Markdown-Dateien oder Konfigurationsdateien befinden sich jedoch Anweisungen, die der KI-Agent als Befehle interpretiert. Diese weisen den Agenten an, unsichtbare Malware auszuführen, Reverse-Shells aufzubauen oder Dateien vom System des Entwicklers zu exfiltrieren. Der Entwickler selbst sieht die Anweisungen nicht, da sie in Dateien versteckt sind, die der Agent automatisch liest.
Wer ist betroffen?
Betroffen sind alle Entwickler und Teams, die KI-Coding-Agenten wie Claude Code, GitHub Copilot, Cursor oder ähnliche Werkzeuge einsetzen, die automatisch Repositories klonen und Dateien lesen. Der Angriff ist besonders wirksam bei Agenten, die autonome Aufgaben ausführen, bei denen der Mensch nicht jeden Schritt bestätigt. Entwickler, die öffentliche Repositories als Referenz oder Basis für eigene Projekte nutzen, sind besonders gefährdet.
Wie kritisch ist das?
Der Angriff ermöglicht die vollständige Kompromittierung des Entwickler-Rechners. Da KI-Agenten oft mit weitreichenden Berechtigungen laufen, inklusive Terminal-Zugriff und Dateisystem-Zugriff, kann ein erfolgreicher Angriff zum Diebstahl von Quellcode, Credentials und sensiblen Daten führen. Die Schwachstelle liegt nicht in einem einzelnen Tool, sondern im grundlegenden Interaktionsmuster zwischen KI-Agenten und untrusted Input. Es ist keine massenhafte Ausnutzung bekannt, aber die Machbarkeit ist zweifelsfrei demonstriert.
Was sollten Admins jetzt tun?
- KI-Coding-Agenten nur in isolierten Umgebungen wie Containern oder VMs ausführen
- Entwickler schulen, dass Repositories nicht nur Quellcode, sondern auch Anweisungen für KI-Agenten enthalten können
- Autonome Ausführung von KI-Agenten beschränken und menschliche Bestätigung für kritische Aktionen erzwingen
- Dateien aus externen Repositories prüfen, bevor KI-Agenten Zugriff erhalten
- Terminal- und Netzwerkzugriff von KI-Agenten einschränken und überwachen
Einordnung für Unternehmen
Für Unternehmen, die KI-Coding-Werkzeuge in der Entwicklung einsetzen, ist dieser Angriff ein Weckruf. Die Bequemlichkeit autonomer Agenten wird zum Risiko, wenn diese unkontrolliert auf externe Inhalte zugreifen. Entwicklungsabteilungen sollten Richtlinien für den Einsatz von KI-Agenten erstellen, mindestens mit der Vorgabe, dass externe Repositories nicht direkt von Agenten verarbeitet werden. Eine isolierte Ausführungsumgebung ist die wirkungsvollste Maßnahme.
