KI-Coding-Agents sind keine Spielerei mehr. Sie lesen Repositories, ändern Dateien, führen Befehle aus, folgen Projektanweisungen und prüfen Pull Requests. Das macht sie nützlich. Es macht sie aber auch zu privilegierter Automatisierung auf Entwicklerrechnern.

KI-Coding-Agent in einer Sandbox mit Repository, Freigabe und Secrets-Tresor

Der Produktivitätsfall ist real genug. Ein arXiv-Paper über den frühen Microsoft-Rollout von Claude Code und GitHub Copilot CLI berichtet, dass Anwender grob 24% mehr Pull Requests mergten als sonst zu erwarten gewesen wäre. Die Autoren warnen zugleich: Ein gemergter PR ist nur ein Output-Proxy, und Tokenkosten können organisationsweit Millionen Dollar erreichen.

Gleichzeitig brachten die letzten Tage drei Sicherheitswarnungen: GhostApproval von Wiz, Friendly Fire vom AI Now Institute und Ghostcommit von ASSET Research Group. Die Folgerung ist nicht, Agents zu verbieten. Man muss sie wie CI-Runner, Contractors und privilegierte IDE-Erweiterungen behandeln.

Was sich geändert hat

Autocomplete schlug eine Zeile vor. Moderne Agents lesen AGENTS.md, durchsuchen Workspaces, rufen Tools auf, ändern Code, starten Tests, lesen Dokumente oder Bilder und arbeiten in Review-Prozessen. Ein bösartiges Repository kann dadurch zur Instruktionsumgebung werden.

Wenn ein Tool Secrets lesen, Dateien schreiben und Kommandos ausführen kann, wird jemand versuchen, es zu steuern.

GhostApproval: Zustimmung reicht nicht

Wiz veröffentlichte GhostApproval am 8. Juli. Ein bösartiges Repository nutzt Symlinks, damit ein Assistent außerhalb des Workspaces schreibt, während die Freigabeoberfläche einen harmlosen lokalen Pfad zeigt.

Wiz nennt Amazon Q Developer, Anthropic Claude Code, Augment, Cursor, Google Antigravity und Windsurf als betroffene getestete Tools. Einige Anbieter korrigierten schnell, andere waren noch in Arbeit oder lehnten den Report ab. NVD-Seiten zu CVE-2026-12958 und CVE-2026-50549 waren während der Recherche sichtbar.

Die Lehre: "Der Nutzer hat zugestimmt" ist kein Sicherheitsmodell, wenn der Nutzer den kanonischen Zielpfad und die Nebenwirkungen nicht sieht.

Friendly Fire: defensive Prüfung als Angriffsfläche

AI Now Institute beschreibt Friendly Fire als Proof of Concept für RCE gegen Claude Code CLI und OpenAI Codex CLI, wenn sie zur Prüfung fremder Bibliotheken genutzt werden. Der Angriff nutzt Prompt Injections im Quellcode und zielt auf automatische Modi.

Das ist keine Behauptung massenhafter Ausnutzung. Es ist Forschung. Aber der Einsatzfall ist realistisch: Teams wollen Agents unbekannte Dependencies prüfen lassen. Das gehört in Wegwerf-Umgebungen ohne echte Secrets, ohne Publish-Tokens, ohne breiten Netzwerkzugang und ohne Auto-Approve.

Ghostcommit: Prompt Injection in Bildern

BleepingComputer berichtete am 11. Juli über Ghostcommit. ASSET versteckt Anweisungen in einem PNG, auf das AGENTS.md verweist. Textreviewer und einige KI-Reviewer lesen das Bild nicht. Später kann der Agent die Anweisung lesen und Secrets als scheinbar harmlose Daten ausgeben.

ASSET sagt, 6.480 Pull Requests aus 300 aktiven Repositories untersucht zu haben; 73% erreichten den Default Branch ohne substanzielle menschliche Prüfung und ohne Bot Review. Der praktische Punkt: Bilder, Docs und Instruktionsdateien können Agents beeinflussen.

BleepingComputer berichtet, dass Cursor mit Claude Sonnet in einem Test .env preisgab, während Claude Code in den Tests verweigerte. Das Modell ist also nicht das ganze Produkt. Wrapper, Berechtigungen und Defaults zählen.

Was Teams jetzt tun sollten

Führen Sie Agents auf nicht vertrauenswürdigen Repositories nicht in der normalen Entwicklerumgebung aus. Nutzen Sie Container, VMs oder Wegwerf-Workspaces. Keine echten SSH-Keys, keine Cloud-Credentials, keine Publish-Tokens. Netzwerk blockieren oder protokollieren. Auto-Approve für riskante Aufgaben abschalten.

Secrets gehören nicht in Agent-Workspaces. Symlinks und aufgelöste Pfade müssen geprüft werden. AGENTS.md, README, Bilder, SVGs, Dokumente und Metadaten sind relevant, wenn der Agent sie liest. MCP-Server, Cloud-CLIs und Dateisystemzugriff sollten minimal sein. Prompts, Tool Calls, Diffs, Shell-Kommandos und Modellwahl müssen in Logs.

Auch Kosten brauchen Governance. Agents sind Compute. Budgets, Dashboards und Modellrichtlinien gehören vor den Rollout.

Entscheidung für die Einführung

Nutzen Sie Agents in vertrauenswürdigen Repositories mit klarer Aufgabe und kontrollierter Umgebung. Begrenzen Sie sie bei sensiblen Repositories, bis Sandbox, Logs und Freigaben funktionieren. Für fremden Code gilt: wie Malware-Analyse behandeln.

Die nächste Phase der AI Practice besteht nicht aus mehr Prompts. Sie besteht aus operativer Disziplin rund um Agents, die handeln können.