LONDON (IT BOLTWISE) – Sicherheitsforschung zeigt, wie sich ein unprivilegierter GitHub-Account über ein Issue in CI-Workflows einschleusen kann, bis hin zu möglichen Zugriffen auf CI-Runner-Umgebungen. Besonders kritisch sind zwei Pfade in Gemini CLI: eine OS-Command-Injection über eine.gemini/.env-Datei sowie ein fehlerhaftes Enforcement von Tool-Allowlists unter -yolo. Bei Claude Code betrifft ein Detail im Validierungs- und Harness-Verhalten die Einbringung von untrusted Content in eine Agent-Umgebung; OpenAI Codex zeigt derweil eher ein Workflow-/Dokumentationsproblem als eine neue Produktlücke. Entscheidend für Teams ist jetzt das Aktualisieren der genannten CLI-Versionen und das Auditieren von Workflows, die sich von außen triggern lassen.
Dass ein scheinbar harmloses GitHub-Issue irgendwann “nur” als Auslöser für Automation landet, klingt für Entwickler selbstverständlich. In den vorliegenden Ergebnissen wird aber genau diese Brücke zur Gefahr: Unprivilegierte Nutzer ohne Repository-Rechte können eine CI-Ausführung in Agent-Setups so beeinflussen, dass Code auf den CI-Runnern anläuft – je nach Anbieter sogar bevor eine streng isolierende Sandbox wirklich greift. Das Muster ist dabei nicht “das Modell ist falsch”, sondern die Kette zwischen Modellantwort und tatsächlich ausgeführtem Befehl: Die Sicherheitslücke sitzt im Harness, also in dem Code, der die Entscheidung trifft, was in der realen Welt passiert.
Bei Gemini CLI gilt das besonders deutlich. Laut den beschriebenen Findings ist CVE-2026-12537 eine OS Command Injection im Container-Launcher: Ein speziell präparierter .gemini/.env-Dateieintrag kann Code auf dem Host einer headless CI-Plattform ausführen, noch bevor der eigentliche Sandbox-Start beginnt. Der Fix ist in Gemini CLI 0.39.1 sowie run-gemini-cli 0.1.22 enthalten. Gleichzeitig wird in der Sicherheitsanalyse eine zweite Schwachstelle hervorgehoben: Gemini CLI prüfe Tool-Allowlists nur beim Registrieren der Tools, setze sie aber zur Laufzeit nicht mehr durch. Unter dem Modus --yolo werde danach faktisch jede Kommandoforderung des Modells als auto-approved behandelt; Google adressiert beide Punkte in einem Advisory für Gemini-CLI-GitHub-Actions.
Auch Claude Code wird als Beispiel dafür verwendet, wie kleinste Abweichungen in Validierung und Ausführungslogik sicherheitskritisch werden können. CVE-2026-54316 wird dabei als Exfiltration über den Hugging-Face-Download-Zähler erklärt: Statt nur Informationen zu liefern, wird der Zähler als Kanal missbraucht, um ein API-Secret Zeichen für Zeichen auszulesen. Der Fix liegt in Claude Code 2.1.163; betroffen sind demnach alle Releases von 0.2.54 bis 2.1.163. Anthropic beschreibt die notwendige Voraussetzung so, dass die Ausnutzung das Platzieren von untrusted Content in einen Claude-Code-Kontext erfordert; die Bewertung der Schwere variiert zusätzlich zwischen CVSS v4 und CVSS v3.1.
Spannend ist, dass die Quellen die wiederkehrende Ursache auf eine gemeinsame Designlinie zurückführen: Die Sicherheitsforscherin und der Forscher richten den Blick weniger auf das “KI-Modell”, sondern auf die Autoritätsvergabe entlang der Ausführungspipeline. So wird in den Ergebnissen zitiert, wie Novee die Trennung zwischen Modellwelt und realer Ausführung beschreibt: „The harness is the code between the model and the real world“, schreibt Elad Meged, founding engineer bei Novee. Genau an dieser Stelle wird es bei Claude Code auch technisch: Der Command-Validator entferne vor den 23 Validierungsprüfungen ein einzelnes Single-Quote-Fragment – ein Verhalten, das für bash korrekt sein kann. In der Kettenlogik reiche dann eine gezielte Payload in der Kommando-Zeile, etwa im Kontext von git push mit --receive-pack, aus, um einen Flag-Auslöser an den Runner durchzureichen, ohne dass die spätere Ausführungsstrecke es mehr als ungültig erkenne.
Bei OpenAI Codex wird dagegen weniger von einem isolierten Produkt-Bug gesprochen als von einem Workflow- und Prozessproblem. Die Findings enthalten kein klassisches “Installierbares Patch”-Statement und nennen auch keinen entsprechenden CVE. Stattdessen sei in einem Beispiel-Repository mit der Bezeichnung openai/codex derselbe Job so aufgesetzt, dass zwei Codex-Durchläufe ein gemeinsames Checkout teilen: Der erste Durchlauf kann AGENTS.md schreiben, und der zweite Durchlauf lädt diese Datei dann als Instruktionsgrundlage. Das Auslösen entsteht laut Analyse, wenn die JSON-Validierung zwischen den zwei Durchläufen fehlschlägt und damit der zweite Pass anläuft. OpenAI trennt diese Pässe inzwischen in unterschiedliche Jobs und nutzt zusätzlich drop-sudo sowie einen read-only Sandbox-Ansatz; gleichzeitig wird in der Guidance betont, dass Repository-Instruktionsdateien als Teil der untrusted Input Surface zu betrachten sind, und Codex solle als letzter Schritt im Job laufen, um “Spuren” vor nachfolgenden privilegierten Schritten zu vermeiden.
Für IT-Leitung und Security-Teams ergibt sich daraus vor allem eine klare Priorisierung: Nicht nur die “KI-Tools” selbst müssen aktualisiert werden, sondern vor allem müssen Workflows geprüft werden, die von außen triggerbar sind. Die Quellen nennen als direkte Sofortmaßnahmen das Aktualisieren von Gemini CLI auf 0.39.1 und run-gemini-cli auf 0.1.22 sowie Claude Code auf 2.1.163, gefolgt von einem Audit jeder Pipeline, deren Trigger auch durch eine nicht vertrauenswürdige Aktion entstehen kann. Zusätzlich wird in den Berichten aufgezeigt, wie sich solche Konzepte in der Praxis erweitern lassen: Pillar Security beschreibt etwa, dass der ChainDrop-npm-Wurm kompromittierte Repositories mit einem Claude-Code SessionStart Hook sowie einer VS-Code-Aktion anreichere, die bei geöffnetem Workspace greift. Dass CISA die genannten CVE-Einträge aktuell nicht als “exploited in the wild” führt und auch kein öffentlich bestätigter Zielgebrauch in den Quellen auftaucht, senkt nicht den Engineering-Aufwand – es macht ihn nur noch dringlicher, weil die Fehlerklasse wiederholt genau im Zusammenspiel aus Validierung, Allowlist-Durchsetzung und Runner-Autorität auftritt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CI-Workflow-Secrets gefährdet: Claude Code und Gemini CLI schließen Lücken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CI-Workflow-Secrets gefährdet: Claude Code und Gemini CLI schließen Lücken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CI-Workflow-Secrets gefährdet: Claude Code und Gemini CLI schließen Lücken« bei Google Deutschland suchen, bei Bing oder Google News!