LONDON (IT BOLTWISE) – Eine neue Studie von Adversa AI zeigt, dass KI-Coding-Agenten Shell-Sicherheitschecks umgehen können: Die Filterung passiert als Text, Bash interpretiert den Befehl jedoch anders. In Labortests funktionierte der Bypass bei zehn von elf populären Open-Source-Agenten, weil der Guard typische Blocklisten nicht korrekt gegen die tatsächlich ausgeführte Shell-Expansion durchsetzt. Kritisch: Die betroffenen Agenten können Shell-Kommandos mit voller Account-Rechte starten und damit SSH-Keys, Cloud-Credentials oder lokale Dateien gefährden. Die Autoren liefern außerdem Hinweise, wie sich das Risiko bis zu einer robusten Guard-Implementation mit Sandbox- und Policy-Ansätzen reduzieren lässt.
KI-Coding-Agenten sind gerade von der „Assistenten“-Ecke in den Automationsmodus gerutscht: Sie lesen Repositories, generieren Codeänderungen und führen dabei häufig Shell-Kommandos aus, die technisch betrachtet immer „mit Ihren Rechten“ laufen. Genau an dieser Stelle setzt die aktuelle Untersuchung von Adversa AI an: Unter dem Namen GuardFall beschreibt das Team einen Weg, wie sich ein vermeintlich sicherer Safety-Check umgehen lässt, obwohl das Muster hinter der Ausnutzung seit Jahrzehnten bekannt ist. Der Knackpunkt ist nicht eine exotische kryptografische Schwäche, sondern ein klassisches Parsing-Problem zwischen dem Text, den ein Guard prüft, und dem Kommando, das die Shell am Ende wirklich ausführt.
GuardFall adressiert dabei eine weit verbreitete Sicherheitsarchitektur: Viele Agenten bauen eine Blocklist auf und prüfen jeden geplanten Shell-Befehl als reinen Text, bevor sie ihn starten. Bash dagegen führt zuvor Umformungen aus – Quotes werden entfernt, Escape-Sequenzen interpretiert und „Shortcuts“ expandiert. Das bedeutet: Ein Guard, der auf die Rohzeichenkette schaut, kann einen Ausdruck akzeptieren, der nach Bash-Parsing in eine gefährliche Operation umschlägt. Adversa illustriert das an einem einfachen Beispiel mit „r”m“ statt „rm“, das ein Textmatcher als harmlos behandelt, während Bash die leeren Quotes entfernt und „rm“ ausführt. Laut den Forschern ist das weniger ein einzelner „Bug“, sondern eine gefährliche Konvention: Blocklisten ohne semantisches Verständnis der Shell bleiben strukturell angreifbar.
In den praktischen Tests liefen die Payloads so, dass die Angriffslogik nicht wie „run rm -rf“ als plumper Befehl erscheint, sondern in normal wirkenden Workflows versteckt wird. Die Autoren betonen zwei Bedingungen, die zusammenkommen müssen: Erstens muss das Modell überhaupt in der Lage sein, einen bösartigen Shell-Ausdruck zu emittieren; eine grobe „rm“-Plumpness wird oft abgewiesen. Zweitens muss der Agent in einem Modus laufen, in dem Kommandos automatisch ausgeführt werden oder eine Sandbox-Funktionalität abgeschaltet ist – genau diese Auto-Execute-Flags sind in CI/CD-Pipelines und „hands-off“-Setups üblich. Aus ihrer Sicht ist das damit kein „CVE-Thema“, das man mit einem Patch einzelner Dateien erledigt, sondern ein Designproblem in der Command-Verarbeitungskette.
Adversa testete GuardFall an zehn von elf populären Open-Source-Agenten für Coding und Computer-Use. Nur ein Projekt („Continue“) bot nach den Ergebnissen einen wirksamen Schutz, wobei der Agent anders vorgeht: Er „liest“ den Kommando-Text so, wie Bash ihn tatsächlich in Teile zerlegt, und prüft erst danach, was wirklich ausgeführt würde. Außerdem blockiert er eine harte Liste destruktiver Kommandos direkt. Diese Absicherung hielt in Continue offenbar gegen alle Payloads im Default-Editor-Modus stand; in einem Command-Line-Auto-Run-Szenario war der Schutz schwächer, wobei die gefährlichsten Varianten weiterhin am harten Block scheiterten. Insgesamt gelang der Bypass laut Adversa bei opencode, Goose, Cline, Roo-Code, Aider, Plandex, Open Interpreter, OpenHands, SWE-agent sowie beim Hermes-Projekt, dessen Issue-Tracker die Problematik ursprünglich dokumentiert.
Der Marktbezug ist dabei nicht akademisch: Die von Adversa betrachteten Tools zusammen erreichten laut Studie rund 548.000 GitHub-Stars (Stand Mai 2026). Besonders relevant ist, dass die Angreifer-Nutzlast end-to-end in Produktionstests demonstriert wurde – etwa gegen das Plandex-Binary –, und ein ähnliches Muster auch bei acht weiteren Agenten funktionierte. Adversa ordnet das in eine Reihe mehrerer Sicherheitsbefunde ein: In diesem Jahr wurden bereits „Trust“- und „Deny“-Regel-Umgehungen beobachtet, etwa bei verschiedenen KI-Assistenz-Clients und Agent-Setups, sowie Angriffe wie AutoJack und Agentjacking, die mit vergiftetem Content zu Shell-Kommandos führten, die dann mit den Privilegien des Eigentümers liefen. Fachlich ist das Muster konsistent: Untrusted Text erreicht eine echte Shell, bevor der Guard versteht, was tatsächlich ausgeführt werden wird.
Auch aus Compliance- und Datenschutzsicht ist der Hebel hoch, weil das Risiko in die „Kronjuwelen“-Schicht geht: SSH-Keys, Cloud-Credentials und sonstige Tokens in Home-Verzeichnissen sind für viele Entwickler-Setups zugänglich, wenn der Agent auf dem gleichen System wie das Konto läuft. Damit geraten nicht nur einzelne Dateien, sondern auch potenziell personenbezogene Daten, Audit-Trails und organisatorische Zugriffsmuster in Gefahr. Streng genommen ist das weniger „KI-spezifisch“ als „Automations-Privilegierung“: Sobald ein Modell im Agent-Kontext Shell-Ausführung auslöst, verschiebt sich das Bedrohungsmodell von Prompt-Injection hin zu klassischem Host- und Credential-Theft-Risiko. Für Unternehmen bedeutet das: Sicherheitskontrollen müssen die Ausführungssemantik treffen, nicht nur die Eingabezeichenkette.
Welche Sofortmaßnahmen ergeben sich aus GuardFall? Adversa empfiehlt ein Bündel aus „Containment“ und Policy: Erstens Agenten so betreiben, dass $HOME auf einen bewusst leeren oder temporären Ordner zeigt, damit Dateien wie ~/.ssh oder ~/.aws nicht erreichbar sind. Zweitens Auto-Execute-Flags wie –auto-exec, –auto-run, –auto-test sowie Optionen, die Berechtigungen gefährlich überspringen (z. B. „dangerously-skip-permissions“), nur dort aktiv lassen, wo ein echter Human-in-the-loop-Abbruch realistisch ist. Drittens Agent-Läufe auf Pull Requests aus Forks unterbinden, da dort die Hürde für Angreifer besonders niedrig ist. Viertens sollten Konfigurationsdateien, die ein Repository mitliefert (etwa .aider.conf.yml), als untrusted behandelt werden, weil genau solche Dateien den Angriffsfluss bei der ersten akzeptierten Bearbeitung auslösen können.
Für die Zukunft zeichnet sich ein technischer Richtungswechsel ab: Safety-Checks werden zunehmend nur dann belastbar, wenn sie die semantische Kommandostruktur berücksichtigen. Continue zeigt mit seinem Ansatz, den „wirklich ausgeführten“ Kommandozustand zu bewerten, einen Weg – jedoch darf das nicht vom Ausführungsmodus abhängen. In der Praxis wird das auf robustere Guardrails hinauslaufen: Shell-Parsing in einer sicheren Bibliothek, deny-by-default für definierte Command-Classes, und idealerweise eine Trennung von Agenten-„Denken“ und Host-„Handeln“ über Sandboxen, die nicht nur Flags, sondern tatsächliche Rechtebegrenzung durchsetzen. Unternehmen sollten GuardFall deshalb als Signal lesen: Nicht der nächste Agent ist der Sicherheitsmaßstab, sondern die Ausführungskette selbst – inklusive ihrer Grenzen, ihrer Expansion und ihrer Auditierbarkeit.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GuardFall zeigt Shell-Injection-Lücke in KI-Coding-Agenten und gefährdet Account-Secrets" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GuardFall zeigt Shell-Injection-Lücke in KI-Coding-Agenten und gefährdet Account-Secrets" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GuardFall zeigt Shell-Injection-Lücke in KI-Coding-Agenten und gefährdet Account-Secrets« bei Google Deutschland suchen, bei Bing oder Google News!