LONDON (IT BOLTWISE) – Forschende zeigen, wie sich über scheinbar harmlose GitHub-Repositories mit manipulierten Setup-Skripten eine Reverse Shell auslösen lässt. Der Angriff nutzt eine Laufzeit-Ausführung über DNS-Informationen, wodurch klassische statische Scanner oft keine auffälligen Muster finden. Für Unternehmen bedeutet das: KI-Agenten im Entwicklungsprozess brauchen strengere Freigabe- und Transparenzmechanismen. Gleichzeitig verschärft der Wettbewerb um KI-Modelle den Sicherheitsdruck, weil Kosten und Performance-Trade-offs die Wahl der Toolchain beeinflussen.
Im Umfeld von KI-Agenten verschiebt sich das Risikoprofil: Nicht mehr allein die Anwendung selbst steht im Visier, sondern der Weg dorthin über Build- und Setup-Schritte. Genau daran knüpft eine aktuelle Demonstration zu „Claude Code“ an. Der Kern ist unscheinbar: Angreifer platzieren keine Schadsoftware direkt im Repository, sondern lenken den Ablauf so um, dass ein Setup-Skript erst zur Laufzeit etwas nachlädt und ausführt. Damit wird die Schwelle überschritten, an der viele Sicherheitsprüfungen greifen, denn sie sind typischerweise auf bekannte Signaturen und statische Codepfade optimiert.
Technisch liegt die Schwachstelle in der Verarbeitung von Setup-Skripten innerhalb eines Repository-Kontexts. Die Forscher beschrieben einen Angriff, bei dem das Setup-Skript einen Befehl aus einem DNS-Eintrag bezieht – und zwar als dynamische Laufzeit-Entscheidung. Sobald ein Entwickler das manipulierte Repository in Claude Code startet, führt der KI-Agent das Setup-Skript automatisch aus. Diese Automatisierung ist der Hebel: Aus einer scheinbar legitimen „Onboarding“- oder Initialisierungsroutine kann eine Reverse Shell werden, die einem externen Angreifer eine vollständige Kontrolle über die Entwicklungsumgebung vermittelt. Praktisch heißt das: Die KI-gestützte Bequemlichkeit wird zur Ausführungsmaschine.
Warum bleibt das für typische Tools so schwer erkennbar? Weil der schädliche Code nicht im Repository selbst auftaucht. Er wird vielmehr erst in dem Moment wirksam, in dem das Setup-Skript läuft und die DNS-Information in konkrete Befehle übersetzt. Statische Code-Analyse sieht dann nur den harmlos wirkenden Teil des Skripts. In der Folge kann es passieren, dass Scanner die eigentliche Schadlogik verfehlen, solange sie nicht „runtime“-Datenflüsse oder ausgehende DNS-Requests konsequent mit in die Bewertung einbeziehen. Für Security-Teams ist das ein klassisches Muster aus der Welt der Supply-Chain-Angriffe, hier aber verstärkt durch KI-gestützte Workflows.
Ein weiterer Punkt: Die aktuellen KI-Agent-Workflows bieten häufig nicht die Sicherheitsvorkehrungen, die man aus streng regulierten DevSecOps-Prozessen kennt. Die empfohlene Gegenmaßnahme der Forscher ist vergleichsweise konkret: KI-Agenten so aktualisieren, dass sie den vollständigen Inhalt von Setup-Skripten anzeigen und erst nach einer manuellen Freigabe ausführen. Damit entsteht eine bewusst eingeführte „Human-in-the-Loop“-Kontrolle genau dort, wo ein autonomer Agent sonst ohne sichtbare Zustimmung agiert. Ohne diese Kontrollinstanz bleiben autonome Agenten anfällig für Angriffe, die bewusst darauf setzen, statische Prüfungen auszutricksen.
Der Zeitpunkt der Meldung ist zudem marktpolitisch brisant. Claude Code steht laut Berichten in einem internationalen Vergleich unter Wettbewerbsdruck, unter anderem durch Tests, die Semgrep als Maßstab nutzen und das Tool gegen das chinesische Open-Weight-Modell GLM-5.2 von Zhipu AI stellen. Beim Erkennen von IDOR-Schwachstellen (Insecure Direct Object Reference) erreicht GLM-5.2 in diesem Vergleich einen F1-Score von 39 Prozent, während Claude Code auf 32 Prozent kommt. Gleichzeitig wird GLM-5.2 mit rund einem Sechstel der Kosten von Anthropics Tool beziffert. Für Entscheider bedeutet das: Sicherheitsqualität und Betriebskosten rücken noch stärker in eine gemeinsame Abwägung.
Historisch reiht sich die Schwachstelle in eine Folge von Vorfällen rund um das Claude-Ökosystem ein. Bereits im März 2026 wurde laut Darstellung der Quellcode von Claude Code als npm-Paket geleakt. Im Mai soll es zudem einen schweren internen Vorfall bei GitHub gegeben haben, bei dem rund 3.800 Repositories betroffen waren; zeitgleich wurde das Schadsoftware-Framework Shai-Hulud erwähnt. Solche Ereignisse wirken wie Beschleuniger: Sie erhöhen die Wahrscheinlichkeit, dass Angreifer Payloads, Infrastruktur und Deployments schneller iterieren. Dazu kommt ein Sicherheitsvorfall, bei dem kommerzielle KI-Modelle wie Claude und GPT zwischen Dezember 2025 und Februar 2026 eingesetzt wurden, um eine Wasseraufbereitungsanlage in Monterrey (Mexiko) auszukundschaften; Claude habe dabei ein umfangreiches Python-Skript für autonome Aufklärung generiert.
Aus Unternehmenssicht verschieben sich die Anforderungen an die Absicherung von „KI-Nutzung“ hin zu „KI-Toolchain-Governance“. Wenn KI-Agenten Setup-Schritte und damit potenziell Code-Execution in Entwicklerumgebungen automatisieren, müssen Sicherheitskontrollen stärker an den Prozess gekoppelt werden: Zugriff auf Secrets, Netzwerk-Policies, DNS-Ausgänge und das Logging von ausgeführten Befehlen sollten standardmäßig überwacht werden. Gerade Reverse-Shells sind nicht nur ein Compliance-Problem, sondern ein operatives Risiko, weil sie Angreifern die Möglichkeit geben, API-Schlüssel und Zugangsdaten abzufließen. Ergänzend gewinnt die regulatorische Perspektive an Gewicht: Mit Blick auf EU- und nationale Cyber- sowie KI-Vorgaben werden Nachweispflichten für Risikomanagement, Transparenz und Zugriffskontrollen wahrscheinlicher zu einem Vergabekriterium.
Für die Zukunft zeichnet sich ein klarer Roadmap-Druck ab: KI-Agenten werden voraussichtlich nicht nur „besser“ werden, sondern auch „sichtbarer“ und „prüfbarer“ in ihren Nebenwirkungen. Die kurzfristige Implikation ist, dass Teams ihre DevSecOps-Pipelines um Laufzeit-Signale erweitern: DNS-Entitäten, Prozessbäume nach Setup-Ausführung und der Bezug von externen Daten sollten in Regeln münden, die auch dynamische Pfade abdecken. Mittel- bis langfristig wird zudem die Frage nach Modellwahl, Kosten und Genauigkeit stärker an Security-KPIs gekoppelt: Wenn das günstigere Modell mehr Schwachstellen findet, aber zugleich neue Angriffsflächen eröffnet, braucht es eine einheitliche Bewertungsmatrix. Für Entwickler bedeutet das: Automatisierung ja, aber mit klaren Freigabepunkten, die das Risiko der KI-gestützten Ausführung beherrschbar machen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Claude Code: Manipulierte Setup-Skripte öffnen Reverse Shells" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Claude Code: Manipulierte Setup-Skripte öffnen Reverse Shells" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Claude Code: Manipulierte Setup-Skripte öffnen Reverse Shells« bei Google Deutschland suchen, bei Bing oder Google News!