\n English<\/a>.<\/p>\n
It was translated with technical assistance and editorially reviewed before publication.\n <\/p>\n
In sechs gro\u00dfen Coding-Agenten findet sich eine Sicherheitsl\u00fccke: \u00dcber ein Repository mit Schadcode k\u00f6nnen Angreifer die KI-Modelle dazu bewegen, auf beliebige Dateien zuzugreifen \u2013 auch au\u00dferhalb einer Sandbox.<\/p>\n
Weiterlesen nach der Anzeige<\/p>\n
IT-Forscher von Wiz haben die Schwachstelle entdeckt und GhostApproval genannt. Die Schwachstelle liegt im Umgang mit symbolischen Links.<\/p>\n
Betroffen sind Amazon Q Developer, Anthropics Claude Code, Augment, Cursor, Google Antigravity und Windsurf. F\u00fcr die meisten Tools existiert inzwischen ein Update, das die Schwachstelle behebt, aber f\u00fcr Augment und Windsurf existieren noch keine Patches.<\/p>\n
Symlink als Angriffsvektor<\/p>\n
Offenbar pr\u00fcfen die betroffenen Agenten die Symlinks nicht gen\u00fcgend. Die Wiz-Forscher haben ein Repository erstellt, das den Symlink project_settings.json enth\u00e4lt, der auf die SSH-Schl\u00fcssel (~\/.ssh\/authorized_keys) verweist.<\/p>\n
In der Readme-Datei steht die Anweisung, dass der Assistent beim Aufsetzen eines Workspace eine Zeile zu project_settings.json hinzuf\u00fcgen soll. Diese Zeile enth\u00e4lt den SSH-Schl\u00fcssel des Angreifers.<\/p>\n
Sobald jemand das Repository einem KI-Agenten mit der Bitte \u00fcbergibt, einen Workspace daf\u00fcr einzurichten, schreibt der Agent vermeintlich in die harmlose project_settings.json-Datei, die aber keine Projektdatei, sondern ein Symlink auf die SSH-Schl\u00fcssel ist. Damit \u00f6ffnet er den Zugriff \u00fcber SSH f\u00fcr den Angreifer.<\/p>\n
Weiterlesen nach der Anzeige<\/p>\n
<\/p>\n <\/a><\/p>\n Die Kombination aus Symlink auf die SSH-Schl\u00fcssel und der Anweisung in der Readme-Datei erm\u00f6glicht den Angriff.<\/p>\n \n (Bild:\u00a0Wiz)\n <\/p>\n Wiz hat auch erfolgreich eine Variante des Angriffs getestet, die einen Symlink auf die Start-up-Datei der Shell ~\/.zshrc nutzt.<\/p>\n Human in the Loop hilft nicht immer<\/p>\n Besonders fatal: Wer auf Sicherheit durch Human in the Loop setzt, k\u00f6nnte get\u00e4uscht werden. So erkennt Claude Code im internen Reasoning zwar, dass es sich bei project_settings.json eigentlich um eine zsh-Konfigurationsdatei handelt. Allerdings verschweigt der Assistent im Dialog diese Information und fragt nur \u201eMake this edit to project_settings.json?\u201c<\/p>\n <\/p>\n <\/a><\/p>\n Claude Code erkennt zwar, dass es sich um einen symbolischen Link zu einer anderen Datei handelt, verschweigt es aber im Dialog.<\/p>\n \n (Bild:\u00a0Wiz)\n <\/p>\n Andere Tools umgehen die menschliche Interaktion wohl noch weiter: Windsurf schreibt zun\u00e4chst den SSH-Schl\u00fcssel in die Datei und fragt danach, ob es auch okay ist. Augment zeigt gar keinen Dialog.<\/p>\n Fix f\u00fcr die meisten der betroffenen Systeme<\/p>\n Die Forscher haben die Schwachstelle im Februar 2026 entdeckt und an die Hersteller gemeldet. F\u00fcr Amazon Q Developer, Google Antigravity und Cursor gibt es inzwischen Updates, die das Problem nicht mehr haben. Augment und Windsurf arbeiten daran. Anthropic hat laut eigenen Angaben unabh\u00e4ngig von der Wiz-Untersuchung daran gearbeitet, dass Claude Code Symlinks erkennt und davor warnt.<\/p>\n Weitere Details zu den Schwachstellen und wie sie sich in den einzelnen KI-Agenten zeigen, finden sich im Wiz-Blog<\/a>.<\/p>\n \n (Bild:\u00a0TechSolution \/ Adobe Stock)\n <\/p>\n<\/p>\n
<\/p>\n
<\/p>\n