Manipulierte git-Repos: KI-Agenten führen fremden Code aus

Klonen ist nicht das Problem

Bevor du jetzt keine Repos mehr herunterlädst: git clone, fetch und pull übertragen die lokale Konfiguration eines Repositories gar nicht. Manifold ist da ausdrücklich präzise, und OpenAI bestätigt es im eigenen Sicherheitshinweis zu Codex. Gefährlich sind ausschliesslich Repos, die als Dateien bei dir ankommen – als ZIP vom Kollegen, über ein geteiltes Laufwerk, aus einem Sync-Ordner oder vom USB-Stick. Genau so reichen Teams Projekte herum, genau so übergeben Beraterinnen Code an Kunden.

Vier von acht sind noch offen

Bei Claude Code ist der core.fsmonitor-Pfad seit Version 2.1.196 geschlossen – gemeldet am 26. Juni, drei Tage später gefixt. Ein zweiter Weg über den Befehl claude ultrareview nutzt laut Manifold einen anderen Konfigurationsschlüssel und war am 1. September in Version 2.1.252 noch offen; ob die seither erschienenen Versionen ihn schliessen, ist bislang nicht dokumentiert. Bei goose ist die Lücke seit 1.44.0 behoben – sie trägt als einzige eine offizielle Bewertung: CVE-2026-72718, CVSS 7.0, also hoch. Codex und Cursor sind ebenfalls gepatcht; für Codex hat OpenAI am 1. September eigene CVE-Einträge veröffentlicht.

Ohne Fix waren zum Stichtag Qwen Code, Grok Build und Hermes Agent. Bei Qwen Code feuert der Befehl, bevor du dich überhaupt angemeldet hast, bei Grok Build beim ersten Tastendruck. Alibaba hat den Bericht im Juli angenommen, xAI hatte eine frühere Meldung derselben Art als "informativ" abgelegt, und bei Hermes blieb die private Meldung nach sechs Kontaktversuchen über fünf Kanäle unbearbeitet.

Bei Qwen Code lohnt ein zweiter Blick: Das Projekt hat Anfang August eine Sperre nachgezogen, die git-Befehle nicht mehr automatisch durchwinkt, wenn die Repo-Konfiguration ein externes Programm benennt – seit Version 0.21.9. Manifold hat die Lücke danach trotzdem noch auf der neueren 0.22.3 ausgelöst. Ein Teilfix schliesst eben nicht jeden Pfad.

Unangenehm macht die Sache die Reichweite: Claude Code allein kommt laut Manifold auf über 77 Millionen npm-Downloads pro Monat, die fünf beschriebenen Projekte zusammen auf knapp eine halbe Million GitHub-Sterne. Hinweise auf tatsächliche Angriffe gibt es bisher keine – keiner der CVEs steht im Katalog bekannter ausgenutzter Schwachstellen der US-Behörde CISA.

Drei Handgriffe für heute Nachmittag

• Fremde Ordner prüfen, bevor der Agent sie sieht. Bei jedem Repo, das nicht geklont wurde, git config --get core.fsmonitor ausführen. Kommt ein Programmname zurück, ist das ein Warnsignal. The Hacker News nennt zusätzlich core.hooksPath und attr.tree als Stellen zum Mitanschauen.
• Global aufräumen. git config --global --list | grep fsmonitor zeigt, was systemweit gesetzt ist; git config --global core.fsmonitor false schaltet die Einstellung ab, wenn du sie nicht brauchst.
• Agenten aktualisieren. Claude Code ab 2.1.196, goose ab 1.44.0, Codex CLI ab 0.131.0. Wo es keinen Fix gibt, hilft nur Disziplin: fremde Ordner gar nicht erst mit dem Agenten öffnen – oder nur im Container beziehungsweise in einer VM.

Die eigentliche Lehre steckt nicht im Modell, sondern in der Klempnerei darunter: im Unterprozess, den ein Agent startet, um herauszufinden, wo er gerade ist. Wie schon bei den Infostealern, die diese Woche Claude-Sessions abgegriffen haben, ist der Angriffspunkt nicht die KI – sondern das Entwicklergerät, auf dem sie läuft.