LONDON (IT BOLTWISE) – Sicherheitsforscher beschreiben eine Schwachstelle in Amazons KI-gestützter Entwicklungsumgebung Kiro. Sie betrifft die Komponente „Kiro Powers“ und kann lokale Workspace-Daten per Prompt-Injection an einen externen Endpoint übertragen. Betroffen ist Kiro IDE 0.7.45 auf Windows, während eine neuere Fix-Version mit 0.8.140 verfügbar ist. Entscheidend ist dabei, dass allein das Öffnen eines manipulierten Projekts ausreicht und danach bereits das Senden beliebiger Nachrichten den angreifbaren Ablauf starten kann.
In Kiro IDE steckt eine Form von Risiko, die man aus klassischer Software-Sicherheit eher vom Zusammenspiel mehrerer Module kennt: Die KI interpretiert Inhalte aus dem Projektkontext als anleitende Instruktionen, und diese Instruktionen beeinflussen anschließend sicherheitsrelevante Abläufe im Editor. Konkret geht es um eine Schwachstelle, die ohne CVE-Nummer gemeldet wurde und in Kiro IDE Version 0.7.45 unter Windows bereits ausnutzbar sein soll. Der Anbieter nennt inzwischen eine behobene Version mit Kiro IDE 0.8.140; als Referenz nennt der Bericht außerdem die jeweils aktuelle Linie bis Kiro IDE 1.0.337.
Technisch wird die Angriffsmöglichkeit über „Kiro Powers“ vermittelt. Diese Funktionsschicht geht über reine „Skills“ hinaus, weil sie Model-Context-Protocol-(MCP)-Serverkonfigurationen, Steering Files und Hooks bündelt. Ein Steering File wirkt dabei wie ein dauerhaft nutzbarer Onboarding- bzw. „Bordbuch“-Kontext: Es beschreibt, welche MCP-Tools der Agent kennt und wann er sie aufrufen soll. Wenn ein Angreifer Repository-Inhalte kontrolliert, können diese Inhalte so wirken, als stammten sie aus legitimen Anwendungsanweisungen. Der kritische Punkt: Die Plattform muss dem Agenten dabei eine Interpretation erlauben, die später in andere Teile der IDE-Funktionskette hineinwirkt.
Für die praktische Ausnutzbarkeit werden zwei Nutzeraktionen als erforderlich genannt: Der Anwender muss das bösartige Projekt über einen Workspace-Datei-Flow öffnen, also über „File → Open Workspace From File“, statt den Ordner direkt zu starten. Danach soll das Senden einer beliebigen Nachricht an den Kiro-Agenten reichen, um den problematischen Ablauf zu triggern. Interessant ist zudem, dass der Bericht die Reproduzierbarkeit sowohl für „trusted“ als auch für „untrusted workspaces“ beschreibt. Das senkt die Hürde im Alltag, weil Sicherheitsmechanismen, die nur auf „nicht vertrauenswürdige“ Inhalte reagieren, hier offenbar nicht verhindern, dass der Agent den manipulierten Kontext verarbeitet und später Aktionen ausführt, ohne dass der Nutzer explizit „Zugriff“ oder „Übertragung“ anfordert.
Aus dem beschriebenen Ablauf ergibt sich ein mehrstufiger Trust-Boundary-Fehler: Zuerst beeinflussen kontrollierte Repository-Daten den Agenten; dann liest der Agent sensible lokale Informationen aus dem Workspace; anschließend schreibt der Agent die Daten in sicherheitsrelevante IDE-Konfigurationen. Eine darauf folgende IDE-Funktion macht diese modifizierten Konfigurationen wiederum zu Netzwerkaktivität. Genau diese Kaskade unterscheidet „Prompt Injection“ in einem Agenten-IDE-Kontext von dem, was viele noch aus rein textbasierten Chat-Szenarien kennen: Entscheidend ist weniger, ob der Nutzer einen bösartigen Prompt sieht, sondern ob der Agent im Hintergrund Werkzeuge und Konfigurationen so kombiniert, dass aus Kontextsteuerung echte Datenübertragung wird. Die Schwierigkeit wird dabei als niedrig eingestuft; auffällig ist auch, dass der Nutzer weder eine bösartige Prompt-Vorlage einreichen noch den Angriffsinhalt referenzieren muss.
Der Bericht ordnet diese Art Schwachstelle in eine breitere Entwicklung ein: KI-Entwicklungsumgebungen verschieben die Grenze zwischen „Interpretieren“ und „Ausführen“. Wenn Dateien nicht nur als Dokumentation dienen, sondern als Kontextinput für Modelle, gleichzeitig aber auch als Grundlage für Tool-Aufrufe und weitere Programmfunktionen, können Repository-Dateien ungewollt zu einer Art „Programmoberfläche“ werden. In so einem Setting wird die Sicherheit weniger durch einzelne Komponenten definiert, sondern durch die vollständige Abfolge von Datenflüssen: Welche Informationen dürfen nach einer Modellinterpretation überhaupt weitergereicht werden? Welche Konfigurationsbereiche dürfen ein Agent schreiben? Und welche Tool-/Capabilities dürfen diese Konfigurationen anschließend in Netzwerkverbindungen übersetzen? Genau solche Sequenzen müssen auch bei zukünftigen Security-Reviews stärker in den Fokus rücken, weil klassische Bug-Reports oft nur einzelne Fehlerbilder abbilden.
Auch das Timing und die Historie spielen hier eine Rolle. Bereits zuvor wurden Probleme adressiert, etwa eine Schwachstelle aus dem Juni 2026, die mit CVE-2026-10591 (CVSS 8.8) beschrieben wurde und einem unauthentifizierten Angreifer die Ausführung beliebiger Befehle ermöglichen konnte. Genannt werden als Beispiele Ausgaben in pfad- bzw. ausführungssensitiven Bereichen wie „.vscode/tasks.json“ oder „~/.kiro/settings/mcp.json“, inklusive der Möglichkeit zur Autostart-Logik beim Öffnen eines Ordners. Der Bericht verweist außerdem auf einen früheren Bug, der Steering-File-Direktiven so nutzbar machte, dass lokale Informationen in eine Markdown-Image-Anfrage integriert und zu einem externen Server übertragen werden konnten. Damit entsteht das Muster: Sobald der Editor/Agent lokale Dateien als „Material“ interpretiert oder in eine andere Ausgabeform überführt, reicht die Angreifersteuerung an einer Stelle, um an anderer Stelle in sicherheitskritische Pfade zu kippen.
Für Unternehmen und Plattformbetreiber ist das vor allem ein Signal, das über eine einzelne IDE hinausgeht. Wenn Tool-Aufrufe, Kontextprotokolle wie MCP und Konfigurationspersistenz (etwa über Steering Files oder Hooks) eng gekoppelt sind, muss die Security-Architektur stärker „end-to-end“ denken, nicht nur „prompt-basiert“ oder „sandbox-basiert“. Praktisch bedeutet das: Patchen ist notwendig, aber nicht hinreichend. Ebenso relevant sind Kontrollen entlang der gesamten Kette von der Agenteninterpretation bis zu Netzwerk- bzw. exfiltrationsfähigen Operationen. Wer KI-gestützte Entwicklungsumgebungen einsetzt, sollte deshalb insbesondere Workspaces und Projektimporte aus externen Quellen als potenzielle Angriffsfläche behandeln, denn der Bericht betont genau diese Realität: Schon das Öffnen eines manipulierten Projekts kann ausreichen, um ohne weitere Nutzeranweisung eine gefährliche Ausführungslogik anzustoßen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Amazon Kiro: Prompt-Injection in „Kiro Powers“ kann Daten exfiltrieren" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Amazon Kiro: Prompt-Injection in „Kiro Powers“ kann Daten exfiltrieren" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Amazon Kiro: Prompt-Injection in „Kiro Powers“ kann Daten exfiltrieren« bei Google Deutschland suchen, bei Bing oder Google News!