Auf den Punkt: Mitiga-Forscher fanden manipulierte KI-Agenten-Konfigurationsdateien auf GitHub, die Prompts und Zugangsdaten exfiltrieren, ohne von EDR-Systemen erkannt zu werden.
Sicherheitsforscher von Mitiga haben in öffentlichen GitHub-Repositories manipulierte Konfigurationsdateien für KI-Coding-Agenten entdeckt, die Prompts, Umgebungsvariablen und Zugangsdaten unbemerkt an Angreifer senden. Die als „PromptLogger“ bezeichnete Technik nutzt reguläre Agenten-Funktionalität aus und bleibt für klassische Endpoint-Sicherheitslösungen unsichtbar.
KI-Coding-Assistenten und CLI-Agenten laden bei jedem Start Konfigurations- und Instruktionsdateien, um Regeln, Präferenzen und Persona-Definitionen bereitzustellen, ohne diese in jedem Prompt wiederholen zu müssen. Anthropics Claude Code CLI-Agent nutzt dafür die Datei CLAUDE.md, die global oder projektspezifisch eingebunden wird und häufig Teil geteilter Repositories ist, um Team-Konventionen einzuhalten. Vergleichbare Dateien existieren bei anderen Anbietern: OpenAI Codex verwendet AGENTS.md, Google Gemini GEMINI.md, die IDEs Cursor und Cline nutzen .cursorrules beziehungsweise .clinerules, GitHub Copilot greift auf .github/copilot-instructions.md zurück. Hinzu kommen JSON-Konfigurationsdateien wie mcp.json, hooks.json oder settings.json, die ebenfalls ausführbaren Code enthalten können, etwa über Hooks, die Skripte bei bestimmten Triggern im Agenten-Workflow auslösen.
Die Sicherheitsfirma Mitiga hat in einem aktuellen Report mehrere GitHub-Repositories dokumentiert, in denen solche Instruktionsdateien mit bösartigen Anweisungen präpariert waren. Die injizierten Instruktionen weisen den Ziel-Agenten an, sämtliche vom Nutzer eingegebenen Prompts inklusive darin enthaltener sensibler Informationen sowie Umgebungsvariablen und weitere vom Agenten genutzte Zugangsdaten zu exfiltrieren. Mitiga bezeichnet diese Backdoor-Technik als „PromptLogger“. Keines der betroffenen Repositories war stark frequentiert – für gezielte Angriffe reicht es jedoch aus, Links zu solchen Repos gezielt zu verteilen, etwa im Rahmen gefälschter Bewerbungsprozesse, bei denen Entwickler während eines Interviews aufgefordert werden, ein GitHub-Projekt zu klonen.
Für CISOs ist relevant, dass diese Angriffstechnik keinen bösartigen Binärcode auf der Festplatte hinterlässt, keinen Code in andere Prozesse injiziert und keine klassischen Persistenzmechanismen nutzt. Da der Agent selbst die Exfiltration im Rahmen regulärer Tool-Nutzung ausführt, erkennen EDR-Lösungen und klassisches Workstation-Monitoring den Vorgang nicht als Anomalie. Mitiga vergleicht die Technik mit klassischen Keyloggern, geht aber davon aus, dass die abgegriffenen Daten deutlich sensibler sind: Prompts enthalten häufig Quellcode, Architekturpläne, zur Fehlerbehebung eingefügte Zugangsdaten, interne Dokumentation, Debugging-Ausgaben, Kundenbeispiele, Geschäftslogik sowie die Absicht der Entwickler. Damit ermöglicht der Angriff eine Überwachung selbst bei geprüften und offiziell freigegebenen KI-Tools, was das bisherige Risikobild von Schatten-KI-Nutzung erweitert.
Unternehmen sollten Instruktions- und Konfigurationsdateien für KI-Agenten – CLAUDE.md, AGENTS.md, GEMINI.md, .cursorrules, .clinerules, copilot-instructions.md sowie JSON-Dateien wie mcp.json, hooks.json und settings.json – regelmäßig auf unautorisierte Änderungen prüfen, insbesondere wenn diese aus externen Repositories importiert werden. Code-Review-Prozesse und Repository-Scanning sollten entsprechend erweitert werden, da diese Dateien faktisch ausführbare Anweisungen für Agenten mit Zugriff auf sensible Systeme darstellen.
Quelle: www.csoonline.com · Erschienen 4. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.