Manipulierte git-Repos: KI-Agenten führen fremden Code aus

Die AI-Security-Firma Manifold Security hat am 1. September acht Schwachstellen in sieben Kommandozeilen-KI-Agenten offengelegt – darunter Claude Code, Qwen Code, goose, Grok Build und Hermes. Ein präpariertes git-Repository kann in seiner eigenen Konfiguration einen Befehl hinterlegen, den der Agent beim Öffnen ungefragt ausführt: mit deinen vollen Rechten, ausserhalb der Sandbox und bevor die Trust-Abfrage überhaupt erscheint. Vier der acht Befunde waren zum Veröffentlichungszeitpunkt noch ungepatcht.

Eine Zeile in der falschen Datei

Der Auslöser ist unspektakulär. Öffnet ein KI-Agent einen Ordner, sammelt er als Erstes Kontext – welcher Branch, welche Dateien geändert. Dafür ruft er ganz normale git-Befehle auf, etwa git status oder git diff. Beide bringen zuerst den git-Index auf den neuesten Stand.

Genau da sitzt das Problem: Mit der Einstellung core.fsmonitor lässt sich git ein Hilfsprogramm nennen, das diese Prüfung übernimmt. Das ist kein Fehler, sondern in der git-Dokumentation ausdrücklich so vorgesehen, gedacht für sehr grosse Repositories. Nur liest git die Einstellung aus der .git/config des Repos selbst – wer das Repo schreibt, bestimmt also den Befehl. Und keiner der beschriebenen Agenten hat diese Konfiguration vor dem Aufruf ausgefiltert.

Was ein Angreifer damit erreicht, listet Manifold nüchtern auf: SSH-Schlüssel, Cloud-Zugangsdaten, Tokens aus der Shell-Konfiguration, alle Repositories auf der Platte. Das Berechtigungssystem des Agenten sieht davon nichts, weil der Befehl in einem Unterprozess des Agenten selbst landet.

Klonen ist nicht das Problem

Bevor du jetzt keine Repos mehr herunterlädst: git clone, fetch und pull übertragen die lokale Konfiguration eines Repositories gar nicht. Manifold ist da ausdrücklich präzise, und OpenAI bestätigt es im eigenen Sicherheitshinweis zu Codex. Gefährlich sind ausschliesslich Repos, die als Dateien bei dir ankommen – als ZIP vom Kollegen, über ein geteiltes Laufwerk, aus einem Sync-Ordner oder vom USB-Stick. Genau so reichen Teams Projekte herum, genau so übergeben Beraterinnen Code an Kunden.

Vier von acht sind noch offen

Bei Claude Code ist der core.fsmonitor-Pfad seit Version 2.1.196 geschlossen – gemeldet am 26. Juni, drei Tage später gefixt. Ein zweiter Weg über den Befehl claude ultrareview nutzt laut Manifold einen anderen Konfigurationsschlüssel und war am 1. September in Version 2.1.252 noch offen; ob die seither erschienenen Versionen ihn schliessen, ist bislang nicht dokumentiert. Bei goose ist die Lücke seit 1.44.0 behoben – sie trägt als einzige eine offizielle Bewertung: CVE-2026-72718, CVSS 7.0, also hoch. Codex und Cursor sind ebenfalls gepatcht; für Codex hat OpenAI am 1. September eigene CVE-Einträge veröffentlicht.

Ohne Fix waren zum Stichtag Qwen Code, Grok Build und Hermes Agent. Bei Qwen Code feuert der Befehl, bevor du dich überhaupt angemeldet hast, bei Grok Build beim ersten Tastendruck. Alibaba hat den Bericht im Juli angenommen, xAI hatte eine frühere Meldung derselben Art als "informativ" abgelegt, und bei Hermes blieb die private Meldung nach sechs Kontaktversuchen über fünf Kanäle unbearbeitet.

Bei Qwen Code lohnt ein zweiter Blick: Das Projekt hat Anfang August eine Sperre nachgezogen, die git-Befehle nicht mehr automatisch durchwinkt, wenn die Repo-Konfiguration ein externes Programm benennt – seit Version 0.21.9. Manifold hat die Lücke danach trotzdem noch auf der neueren 0.22.3 ausgelöst. Ein Teilfix schliesst eben nicht jeden Pfad.

Unangenehm macht die Sache die Reichweite: Claude Code allein kommt laut Manifold auf über 77 Millionen npm-Downloads pro Monat, die fünf beschriebenen Projekte zusammen auf knapp eine halbe Million GitHub-Sterne. Hinweise auf tatsächliche Angriffe gibt es bisher keine – keiner der CVEs steht im Katalog bekannter ausgenutzter Schwachstellen der US-Behörde CISA.

Drei Handgriffe für heute Nachmittag

• Fremde Ordner prüfen, bevor der Agent sie sieht. Bei jedem Repo, das nicht geklont wurde, git config --get core.fsmonitor ausführen. Kommt ein Programmname zurück, ist das ein Warnsignal. The Hacker News nennt zusätzlich core.hooksPath und attr.tree als Stellen zum Mitanschauen.
• Global aufräumen. git config --global --list | grep fsmonitor zeigt, was systemweit gesetzt ist; git config --global core.fsmonitor false schaltet die Einstellung ab, wenn du sie nicht brauchst.
• Agenten aktualisieren. Claude Code ab 2.1.196, goose ab 1.44.0, Codex CLI ab 0.131.0. Wo es keinen Fix gibt, hilft nur Disziplin: fremde Ordner gar nicht erst mit dem Agenten öffnen – oder nur im Container beziehungsweise in einer VM.

Die eigentliche Lehre steckt nicht im Modell, sondern in der Klempnerei darunter: im Unterprozess, den ein Agent startet, um herauszufinden, wo er gerade ist. Wie schon bei den Infostealern, die diese Woche Claude-Sessions abgegriffen haben, ist der Angriffspunkt nicht die KI – sondern das Entwicklergerät, auf dem sie läuft.