KI-Agenten übersehen versteckte Anweisungen in Bildern

(Source: Emilipothèse / Unsplash.com)

(Source: Emilipothèse / Unsplash.com)

Eine neue Angriffstechnik namens Ghostcommit nutzt eine Schwachstelle vieler KI-gestützter Entwicklungswerkzeuge aus. Statt schädliche Anweisungen im Quellcode zu verstecken, platzieren Angreifer sie in einer PNG-Bilddatei. Liest ein KI-Agent das Bild später ein, kann er Zugangsdaten aus der Konfigurationsdatei .env auslesen und als scheinbar harmlose Zahlenfolge im Quellcode ablegen, wie "Bleeping Computer" berichtet.

Die ASSET Research Group der University of Missouri-Kansas City entwickelte einen Proof of Concept für den Angriff. Die Forschenden veröffentlichten den Angriff auf Github und informierten nach eigenen Angaben die betroffenen Anbieter.

Bilddatei täuscht die Codeprüfung

Der Angriff beginnt mit einem scheinbar harmlosen Pull Request, also einem Änderungsvorschlag für ein Softwareprojekt. Die Datei AGENTS.md, die KI-Agenten als Konfigurationsdatei dient, verweist auf eine Bilddatei mit den eigentlichen Anweisungen. Diese fordern den KI-Agenten auf, die Konfigurationsdatei .env mit den darin gespeicherten API-Schlüsseln und anderen Zugangsdaten auszulesen.

Viele automatische Code-Reviewer prüfen Bilder jedoch gar nicht. Die Forschenden testeten unter anderem Coderabbit und Bugbot. Beide stuften den manipulierten Pull Request als unauffällig ein - selbst dann, als die Bilddatei Begriffe wie "malicious prompt injection" und den ausdrücklichen Befehl zum Auslesen der .env-Datei enthielt.

Zugangsdaten landen als Zahlen im Code

Der Datendiebstahl erfolgt erst bei einer späteren Aufgabe. Fordert eine Entwicklerin oder ein Entwickler den KI-Agenten auf, neuen Code zu schreiben, liest dieser die versteckten Anweisungen, wandelt den Inhalt der .env-Datei in eine Zahlenfolge um und fügt sie als scheinbar harmlose Konstante in den Quellcode ein. Weder menschliche Prüfende noch viele Secret-Scanner erkennen die unbemerkte Weitergabe der Zugangsdaten.

Die Tests zeigen zudem: Ob ein Angriff gelingt, hängt stärker vom verwendeten Entwicklungswerkzeug als vom KI-Modell ab. Während Cursor und Antigravity die Anweisungen mit mehreren Modellen befolgten, verweigerte Claude Code die Ausführung der Anweisungen in allen Versuchen.

Als Gegenmassnahme entwickelten die Forschenden eine Github-App, die ausser dem Quellcode auch Bilder analysiert. Langfristig empfehlen sie jedoch einen mehrschichtigen Schutz. Systeme sollten nicht nur Codeänderungen prüfen, sondern auch erkennen, wenn ein KI-Agent ohne plausiblen Grund auf Dateien mit Zugangsdaten zugreift.

Übrigens: Bereits 2025 zeigten Forschende, wie sich KI-Systeme mit versteckten Befehlen in Bildern manipulieren lassen. Wie der damalige Angriff funktionierte, lesen Sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.