Auf den Punkt: GuardFall nutzt jahrzehntealte Bash-Techniken wie Quoting-Tricks und Umgebungsvariablen, um Sicherheitsfilter zu umgehen und beliebige Befehle in KI-Agenten auszuführen.
Forscher von Adversa AI haben eine strukturelle Schwachstelle namens GuardFall identifiziert, die es Angreifern ermöglicht, über klassische Unix-Shell-Mechanismen die Schutzfilter von KI-Coding-Agents zu umgehen. Von elf getesteten Open-Source-Tools waren zehn anfällig für die Attacke.
Die Schwachstelle basiert auf einer Zeitdiskrepanz zwischen der Textprüfung des KI-Agenten und der tatsächlichen Shell-Ausführung. Der KI-Schutzfilter prüft den Eingabetext auf verdächtige Befehle, bevor dieser an die System-Shell weitergegeben wird. Bash expandiert jedoch erst nach dieser Prüfung bestimmte Konstrukte wie Quoting, Escape-Sequenzen oder Umgebungsvariablen. Dies ermöglicht es, schadbefehle zu verstecken, die erst zur Laufzeit sichtbar werden.
Im Test wurden elf populäre Open-Source-KI-Coding-Agenten untersucht, darunter Hermes, OpenCode und Roo-code. Zehn davon waren für GuardFall anfällig; nur Continue konnte die meisten Angriffe durch einen speziellen Filter blockieren, der Befehle vor der Ausführung tokenisiert und kanonisiert. Die Angreifer nutzten fünf verschiedene Angriffsmethoden, besonders effektiv erwies sich die Verwendung alternativer Argumentstrukturen, um schädliche Befehle zu tarnen. Um solche Angriffe zu blockieren, müssten Filter die exakten Flag-Kombinationen jeder einzelnen Binärdatei kennen.
Für CISOs relevant ist das Supply-Chain-Risiko: Ein Angreifer kann bösartige Befehle in eine Repository einschleusen – etwa in eine manipulierte README oder ein Makefile. Wenn ein Entwickler einen anfälligen Agenten einsetzt, um solche Dateien zu lesen, kann dieser dazu verleitet werden, im Hintergrund beliebige Befehle auszuführen: AWS-Anmeldedaten zu entwenden, Entwicklungsumgebungen zu löschen oder ganze CI-Pipelines zu kompromittieren. Da KI-Agenten üblicherweise mit den vollständigen Kontorechten des Entwicklers laufen, entsteht ein erhebliches Eskalationsrisiko.
Kurzfristig sollten KI-Agenten in einer isolierten Shell mit umgeleitetes Heimatverzeichnis ausgeführt werden – ein einfacher Wrapper erhält Zugriff auf das Projektverzeichnis, blockiert aber Zugang zu SSH-Schlüsseln, AWS-Credentials und Shell-Historie. Zusätzlich sollten automatische Bestätigungsmodi deaktiviert und externe Konfigurationen streng validiert werden. Langfristig müssen KI-Tool-Entwickler interne Filter implementieren, die eingehenden Text vor der Shell-Übergabe vereinheitlichen.
Quelle: www.it-daily.net · Erschienen 12. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.