KI-gestützte Coding-Assistenten sind aus dem Entwickleralltag kaum noch wegzudenken. Sie schreiben Code, erklären komplexe Funktionen und verwalten Repositories. Doch genau diese tiefe Integration in den Entwicklungsprozess öffnet nun eine gefährliche Flanke. Sicherheitsforscher der Firma Manifold haben eine gravierende Schwachstelle aufgedeckt: Manipulierte Git-Repositories können KI-Agenten dazu bringen, beim bloßen Öffnen des Projekts automatisch Schadcode auszuführen. Der Entwickler muss dafür nicht einmal aktiv einen Befehl bestätigen.

Die unsichtbare Gefahr im Hintergrund

Das Problem liegt nicht im Sprachmodell selbst, sondern in den automatisierten Routinen der Agenten. Werkzeuge wie Claude Code oder Qwen Code führen im Hintergrund standardmäßig Git-Abfragen wie git status aus, um den Zustand des Projekts zu erfassen. Befindet sich im geöffneten Ordner jedoch eine präparierte lokale Git-Konfiguration, kann diese über den Parameter core.fsmonitor beliebige Befehle einschleusen. Sobald der KI-Agent die Abfrage startet, wird der manipulierte Code getriggert.

Wie das IT-Portal heise.de berichtet, erfolgt diese Ausführung mit den vollen Rechten des angemeldeten Entwicklers. Da der Prozess außerhalb der üblichen Sandbox stattfindet und noch vor jeglicher Sicherheits- oder Vertrauensabfrage des Editors greift, sind die Systeme der Betroffenen nahezu schutzlos. Erste Anbieter haben bereits reagiert: Die bekannten Tools Cursor und Codex wurden nach Angaben der Forscher inzwischen gepatcht. Bei diversen anderen Entwicklern läuft das Verfahren zur Offenlegung der Schwachstelle jedoch noch.

Was Entwickler jetzt tun können

Dieser Vorfall zeigt eindringlich, dass die Automatisierung von KI-Tools neue Risiken schafft, wo man sie am wenigsten vermutet. Entwickler sollten beim Umgang mit fremden oder zugeschickten Repositories äußerste Vorsicht walten lassen. Es wird dringend empfohlen, die Datei .git/config in unbekannten Projekten vor dem Öffnen manuell zu prüfen. Auf der anderen Seite sind die Betreiber der KI-Tools gefragt, ihre automatischen Git-Aufrufe abzusichern – beispielsweise durch das Erzwingen von Parametern wie git -c core.fsmonitor=false status, um die Ausführung externer Skripte zu unterbinden.

Fazit

Die Entdeckung ist ein Weckruf für die gesamte DevSecOps-Branche. KI-Agenten erleichtern die Arbeit enorm, doch ihre weitreichenden Systemzugriffe müssen strenger reglementiert werden. Nur durch eine konsequente Isolation der Agenten-Prozesse und das Schließen solcher logischen Lücken in den Hintergrund-Routinen kann das Vertrauen in die intelligenten Helfer langfristig erhalten bleiben.