NERDMANHacker kapern KI-Agenten über GitHub-Kommentare
Ein Sicherheitsforscher hat gezeigt, wie einfach sich Claude Code, Gemini CLI und GitHub Copilot manipulieren lassen. Die Waffe: simpel präparierte Kommentare in GitHub-Repos.
So funktioniert der Angriff
Aonan Guan hat eine Prompt-Injection-Methode demonstriert, die über PR-Titel und Issue-Kommentare funktioniert. Die KI-Agenten lesen diese Texte, interpretieren sie als Anweisungen — und führen sie aus. Kein Exploit-Kit nötig, kein Zero-Day. Nur ein Kommentar.
Was konkret passiert
- Angriffsfläche:** GitHub-Kommentare, PR-Titel, Issue-Beschreibungen
- Betroffene Tools:** Claude Code, Gemini CLI, GitHub Copilot
- Methode:** Versteckte Anweisungen im Klartext, die KI-Agenten als Befehle interpretieren
- Ergebnis:** Schadcode-Ausführung, Extraktion von API-Schlüsseln
Das Problem sitzt tiefer
Die Tools wurden gebaut, um Code schneller zu schreiben und Sicherheitsanalysen zu automatisieren. Jetzt sind sie selbst das Einfallstor. Wer einem KI-Agenten Zugriff auf sein Repo gibt, gibt potenziell jedem Kommentarschreiber Zugriff auf seine Secrets.
✅ Pro
- Proof of Concept existiert — kein theoretisches Risiko
- Betrifft die drei größten KI-Coding-Tools gleichzeitig
- Forscher hat verantwortungsvoll veröffentlicht
❌ Con
- Kein bestätigter Fall von Missbrauch in freier Wildbahn
- Angriff setzt voraus, dass Agenten unbeaufsichtigt laufen
- Hersteller können Eingaben besser filtern
💡 Was das bedeutet
Jedes Unternehmen, das KI-Agenten auf Repos mit externen Contributors loslässt, hat ab sofort ein Problem. API-Keys in der Umgebung des Agenten sind nur ein `git comment` vom Leak entfernt. Wer seine Agenten ohne Sandbox und ohne Review laufen lässt, spielt russisches Roulette mit seinen Credentials.
