LONDON (IT BOLTWISE) – KI-Coding-Agenten sind längst nicht mehr nur „Assistenten“, die Code vorschlagen. Neue Erweiterungsmechanismen wie Skills, Plugins, Hooks und MCP-Server können die Entscheidungslogik im Agenten verändern und dabei zusätzliche Datenflüsse anstoßen. Dadurch entsteht eine Supply-Chain-Lücke, die in klassischen App- und Dependency-Checks oft unsichtbar bleibt. Sicherheitsverantwortliche müssen deshalb ihre Governance von der sichtbaren Anwendung auf die tatsächliche „Effective Authority“ der Agenten verlagern.
KI-Entwicklung in Unternehmen hat sich von der statischen Code-Begutachtung zu zunehmend „agentischem“ Arbeiten verschoben: Ein Tool analysiert ein Repository, bearbeitet Dateien, führt Shell-Kommandos aus, erstellt Pull Requests und kann dabei längere Zeit mit nur begrenzter Aufsicht laufen. In dieser Phase wird die eigentliche Sicherheitsfrage oft falsch eingeordnet. Denn selbst wenn Code-Review, CI, SAST, Dependency Scanning und Monitoring bereits etabliert sind, bleibt ein neuer Angriffspfad bestehen: Drittkomponenten greifen nicht mehr nur in Build- oder Deploy-Schritte ein, sondern in den Entscheidungskreis des Agenten. Genau an dieser Stelle spricht die Quelle von „Shadow AI“, also von der effektiven KI-Fähigkeitsmenge, die außerhalb der genehmigten Sichtbarkeit entsteht.
Der Kern der Problematik liegt in der Konvergenz von Erweiterungsmodellen. Eine „Skill“ ist dabei mehr als eine einzelne Routine: Sie kann eine Sammlung aus Anweisungen, Skripten und Ressourcen sein, die eine wiederholbare Agent-Workflow-Logik vermittelt. Ein „Plugin“ bündelt diese Bausteine typischerweise in eine Verpackungsschicht; es kann Skills mit Connectors, Subagenten, Hooks und MCP-Server-Konfigurationen verknüpfen. Hinzu kommt: Ein MCP-Server gibt dem Agenten Zugriff auf externe Tools, Datenbanken, APIs und Kontext. Ein Hook wiederum kann an einem definierten Punkt im Agenten-Lifecycle eine Aktion auslösen, etwa einen Befehl, einen HTTP-Request oder einen Modell-Prompt. Zusätzlich können Repository-Instructions die Agentenlogik für ein konkretes Codebase-Setup umlenken – ohne dass hierfür zwingend ein neues Binärprogramm erscheint.
Damit verlagert sich die „Trust Boundary“: Früher suchte Sicherheit in Paketregistern, CI/CD-Workflows, Browser-Erweiterungen, SaaS-Integrationen und Produktions-Abhängigkeiten nach externem Risiko. Das hat weiterhin Relevanz, aber es trifft nicht mehr die volle Realität. In der neuen Agent-Welt liegt Vertrauen auch in Dateien, die wie Konfiguration oder Dokumentation wirken. Eine Datei wie „SKILL.md“ kann natürliche Sprache enthalten und auf ausführbare Skripte zeigen; ein Plugin kann die Tool-Auswahl des Agenten still erweitern; eine MCP-Tool-Beschreibung kann beeinflussen, welche Daten das Modell an einen Server sendet; und Projekt-Hooks können während einer Sitzung automatisch Aktionen auslösen. Klassisches Software Composition Analysis findet dann möglicherweise eine problematische Bibliothek – entscheidet aber nicht, ob eine Anweisung wie „diagnostische Dateien sammeln und hochladen“ eine legitime Unterstützung oder eine Exfiltrationsroute ist.
Die Quelle untermauert das mit mehreren bereits beobachteten Angriffsmustern über den kompletten Agenten-Lifecycle hinweg – von Discovery und Installation bis zu Review, Runtime-Verhalten und Repository-Setup. So werden etwa Fälle beschrieben, in denen Forschende in Tests rund 7.600 bösartige Repositorys identifizierten, darunter mehr als 800, die als AI-Skills oder MCP-Server getarnt waren, und die in öffentlichen Registries über 600 Mal auftauchten. In der Prüfung entdeckten und empfahlen KI-Agenten solche Repositorys eigenständig. Neben dem offensichtlichen Risiko von Malware-Installation, Credential Theft und Session-Theft wird besonders problematisch, dass Skills kritische Payloads enthalten können, die gezielt Backdoors, persistente Manipulationen und Datenexfiltration anstoßen; teils wurden dabei auch Anweisungen oder ausführbares Material nachgeladen. Ergänzend wird ein Schwachstellenfall bei „Hookify“ genannt: Eine Lücke in einem offiziellen Markt-Plugin habe die Einspeisung bösartiger Projekt-Regeldateien in einen „trusted“ System-Message-Kanal ermöglicht, sodass bei einem getesteten Setup auch lokale Secrets und Environment-Variablen offengelegt wurden.
Dass es mit einzelnen Komponenten nicht getan ist, macht die Quelle an der Logik „Transitive Trust“ fest. Ein Plugin ist kein einzelnes Feature, sondern ein Container für mehrere Fähigkeiten: Es kann Skills enthalten, Hooks bereitstellen, Subagenten koordinieren und MCP-Server so konfigurieren, dass weitere Systeme erreichbar werden. Das schafft eine mehrstufige Kette von Befugnissen, die jeweils plausibel aussehen kann. Der Nutzer vertraut dem Plugin, das Plugin lädt eine Skill, die Skill veranlasst den Agenten, ein MCP-Tool aufzurufen, und der MCP-Server nutzt die Nutzeridentität, um wiederum Zugriff auf ein anderes System zu ermöglichen. Ein Hook kann dann Ergebnisse aufzeichnen, verändern oder weiterleiten. Aus Security-Sicht bedeutet das: Eine Genehmigung sollte nicht als „Label“ verstanden werden, sondern als Prüfung eines Abhängigkeitsgraphen – also dessen, was installiert wird, welche Bausteine lesen oder ausführen dürfen, welche Identitäten geerbt werden und welche externen Ziele erreichbar sind. In der Praxis erklärt genau diese Transitivität, warum ein formales App-Approval allein die Supply-Chain-Lücke nicht schließt.
Für die Governance folgt daraus ein klarer Richtungswechsel: Der Prüfmaßstab muss von „Welche Anwendung ist freigegeben?“ auf „Welche effektive Autorität hat der Agent im konkreten Lauf?“ verschoben werden. Die Quelle nennt dafür sechs operative Schritte. Erstens: Eine vollständige Bestandsaufnahme der Extension-Schicht, inklusive Skills, Plugins, Hooks, Instruction-Dateien, custom Agenten, MCP-Servern, Tool-Definitionen und verbundener Identitäten – eine reine SBOM für Software reicht also nicht. Zweitens: Kontrolle von Discovery und Provenienz, etwa über organisationseigene Registries und Allowlists mit Audit-Trail zu Publisher, Repository, Commit/Version, Owner, Review-Status und Update-Policy; außerdem sollten Agentenempfehlungen eher wie Suchresultate behandelt werden, nicht wie Sicherheitsvalidierung. Drittens: Review des Graphen statt der Marketplace-„Label“-Ansicht, weil ein „Code Review“-Plugin mit Shell- und Exfiltrationsfähigkeit eine andere Freigabelogik braucht als ein rein lesender Linter. Viertens: Verhaltenänderungen konsequent versionieren und diffen – nicht nur Code, sondern auch Instruktionen, Tool-Beschreibungen, Hook-Logik und Outbound-Ziele. Fünftens: Laufzeitkontrollen dort erzwingen, wo Install-Time-Scanning blind ist: beim Lesen sensibler Daten, beim Tool-Aufruf, beim Netzwerkübergang und bei folgenreichen Aktionen; dabei sollte für jedes High-Risk-Ereignis festgehalten werden, welche Identität aktiv war, welches Tool genutzt wurde, welche Daten berührt wurden und warum die Aktion erlaubt wurde. Sechstens: Red-Teaming der gesamten „instruction-to-action“-Kette, also nicht nur Jailbreak-Tests, sondern die Frage, ob ein vergiftetes README Discovery lenkt, ob eine Skill Payload versteckt, ob ein MCP-Server einen anderen „shadowed“, oder ob Repository-Konfiguration in lokale Ausführung übergeht.
Für die nächsten Monate ist vor allem die organisatorische Konsequenz entscheidend: Wenn eine Organisation ein Agent-Produkt genehmigt, aber Entwickler parallel eigene Skills installieren, öffentliche Plugin-Marktplätze nutzen, persönliche MCP-Server anbinden oder Agent-Parameter aus Repositories übernehmen, dann ist die sichtbare App-Freigabe nicht mehr gleichbedeutend mit einer kontrollierten Agenten-Supply-Chain. Ein Scheinbild entsteht dann, wenn ein SaaS-Inventar lediglich „freigegebenes Produkt aktiv“ meldet, aber nicht die individuelle Kombination aus Skills, Hooks, Tool-Konfigurationen und Identitätsrechten. Genau hier liegt der praktische Hebel: Teams sollten ihre Governance als Fähigkeitshandbuch für die Agenten-Autorität betrachten, nicht als Checkbox für den Tool-Name. Erst wenn sich die effektive Capability Graph-Struktur rekonstruieren und Komponenten auch über mehrere Agent-Oberflächen hinweg widerrufen lassen, lässt sich „Shadow AI inside approved AI“ wirksam verkleinern.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Shadow AI: Wenn KI-Coding-Agenten heimlich zusätzliche Lieferketten aktivieren" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Shadow AI: Wenn KI-Coding-Agenten heimlich zusätzliche Lieferketten aktivieren" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Shadow AI: Wenn KI-Coding-Agenten heimlich zusätzliche Lieferketten aktivieren« bei Google Deutschland suchen, bei Bing oder Google News!