Auf den Punkt: Ein GitHub Issue von einem rechtelosen Account reichte aus, um über Schwachstellen in Claude Code und Gemini CLI Code auf CI-Runnern mit Zugriff auf Secrets auszuführen, bei OpenAI ließ sich damit der nächste Agenten-Lauf kompromittieren.
Sicherheitsforscher von Novee Security haben gezeigt, dass ein einfacher GitHub Issue, erstellt von einem Account ohne Repository-Rechte, ausreichte, um Code auf den CI-Runnern hinter den KI-Coding-Agents von Anthropic und Google auszuführen. Bei OpenAI genügte dieselbe Angriffskette, um den nächsten Agenten-Lauf zu übernehmen.
Die Forscher testeten die Angriffe jeweils gegen die Standardkonfiguration, in der die Anbieter ihre Coding-Agents auslieferen. Betroffen sind Claude Code von Anthropic und Gemini CLI von Google, deren jeweilige Repositories über GitHub Issues manipuliert werden konnten: Ein Account ohne jegliche Schreib- oder Repository-Berechtigung öffnete ein Issue, das ausreichte, um Code auf den CI-Runnern der Projekte auszuführen. Bei OpenAI wirkte dieselbe Technik anders, konnte dort aber den nächsten Lauf des Agenten kompromittieren. Die Ergebnisse wurden am 5. August auf der Black Hat USA in Las Vegas vorgestellt.
Für CISOs ist relevant, dass hier keine Zero-Day-Exploits in klassischem Sinne notwendig waren, sondern eine Schwäche im Zusammenspiel von KI-Coding-Agents, CI/CD-Pipelines und öffentlich zugänglichen Interaktionskanälen wie GitHub Issues ausgenutzt wurde. Angreifer benötigten keinerlei privilegierten Zugang zum Repository, um Ausführungsrechte auf CI-Runnern zu erlangen, auf denen typischerweise Secrets, Zugangsdaten und Deployment-Berechtigungen liegen. Das betrifft insbesondere Organisationen, die Claude Code, Gemini CLI oder vergleichbare Coding-Agents in ihren eigenen Entwicklungspipelines mit Standardkonfiguration einsetzen.
Aus der Berichterstattung ergibt sich keine Aussage zu konkreten CVE-IDs, betroffenen Versionsnummern oder bereits veröffentlichten Patches der drei Anbieter. CISOs sollten den Einsatz von KI-Coding-Agents in CI/CD-Umgebungen daraufhin prüfen, ob Trigger aus öffentlichen oder wenig privilegierten Interaktionen wie Issues, Pull Requests oder Kommentaren tatsächlich Ausführungsrechte auf Runnern mit Zugriff auf Secrets nach sich ziehen können, und ob die Standardkonfiguration der jeweiligen Anbieter dies bereits einschränkt.
Quelle: thehackernews.com · Erschienen 7. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.