Auf den Punkt: Ein autonomer KI-Sicherheits-Agent von Wiz fand und exploitete eine kritische Command-Injection-Lücke in Snowflakes GitHub-Actions-Pipeline, die zuvor sowohl GitHub Copilot als auch GitHub Advanced Security übersehen hatten.
Ein autonomer Sicherheits-Agent des Anbieters Wiz hat eine kritische Schwachstelle in der GitHub-Actions-Pipeline von Snowflake selbstständig gefunden und ausgenutzt – obwohl GitHub Copilot den zugrunde liegenden Code-Change zuvor als unbedenklich eingestuft hatte. Der Fall zeigt, wie unzuverlässig KI-gestützte Code-Reviews Sicherheitslücken erkennen können und wie autonome Angriffs-Tools solche Lücken in Minuten operationalisieren.
Wiz‘ autonomes Sicherheitswerkzeug „Red Agent“ identifizierte eine Schwachstelle im Workflow „jira_issue.yml“ des Snowflake-Repositories „snowflake-connector-net“. Der Workflow lief bei jedem neu erstellten GitHub-Issue und verarbeitete den Issue-Titel als Teil eines Shell-Kommandos. Eine mit PR#1218 eingeführte Änderung veränderte die Verarbeitung dieser Eingabe so, dass Angreifer eigene Befehle einschleusen und ausführen konnten. Eine vorhandene Schutzmaßnahme gegen nicht vertrauenswürdige Nutzer griff nicht, weil sie für Pull Requests konzipiert war, der Angriffsvektor jedoch über Issues lief – jeder GitHub-Nutzer konnte die Prüfung so umgehen. Die Lücke ging am 18. Juni mit dem Merge von PR#1218 live; GitHub Advanced Security hatte den finalen Code zwar gescannt, die Injection-Schwachstelle aber nicht erkannt.
GitHub Copilot war als Co-Autor am zugehörigen Pull Request beteiligt und hatte den gemergten Code-Change geprüft, ohne die kritische Schwachstelle zu bemerken. Wiz stellte in einer nachträglichen Klarstellung ausdrücklich fest, dass unklar bleibt, ob Copilot den fehlerhaften Code selbst verfasst hat – die ursprüngliche Formulierung der Offenlegung hatte hier für Kritik gesorgt. Wiz-CTO Ami Luttwak wies gegenüber CSO Online darauf hin, dass die Zuordnung von Verantwortung zwischen Mensch und KI zunehmend schwieriger wird, wenn mehrere Agenten an jedem PR mitwirken, scannen und Änderungen vornehmen – die reine Betrachtung der Co-Autoren eines PR reiche als Attributionskriterium nicht mehr aus.
Red Agent fand die Schwachstelle im Rahmen eines autonomen Scans der GitHub-Organisation von Snowflake und erstellte selbstständig einen manipulierten Issue-Titel, der aus einer „echo“-Anweisung der Shell ausbrechen und Jira-Zugangsdaten an einen externen Listener senden sollte. Der erste Exploit-Versuch scheiterte an einem Syntaxfehler; der Agent analysierte den Fehler eigenständig, passte seinen Payload an und baute im zweiten Versuch einen funktionierenden Exploit. Der GitHub-Actions-Runner sendete daraufhin Base64-kodierte Jira-Credentials per Out-of-Band-Callback. Mit diesen Zugangsdaten erhielt Wiz Lesezugriff auf Snowflakes internes Atlassian-Umfeld, einschließlich Engineering-, Security-Compliance- und Bug-Bounty-Projekten.
Die Schwachstelle war zum Zeitpunkt des Fundes durch Red Agent bereits fünf Tage aktiv. Wiz meldete den Fund am 23. Juni über HackerOne; Snowflake patchte den Workflow noch am selben Tag und stellte das sicherere Eingabe-Handling wieder her, die betroffenen Jira-Credentials wurden am Folgetag rotiert. Snowflakes forensische Untersuchung fand keine Hinweise auf einen Zugriff durch Dritte während des Expositionsfensters; Wiz bestätigte zudem, dass alle im Rahmen des Proof-of-Concept abgerufenen Daten sicher gelöscht wurden.
Für CISOs markiert der Fall zwei parallele Entwicklungen, die gemeinsam gedacht werden müssen: Erstens reichen KI-gestützte Code-Review-Tools wie Copilot oder GitHub Advanced Security allein nicht aus, um Command-Injection-Schwachstellen in CI/CD-Pipelines zuverlässig zu erkennen – Schutzmechanismen müssen für alle relevanten Trigger-Typen (Pull Requests wie auch Issues) korrekt konfiguriert und regelmäßig getestet werden. Zweitens verkürzen autonome offensive KI-Agenten die Zeit zwischen Auffinden und Ausnutzen einer Schwachstelle drastisch, einschließlich eigenständiger Fehleranalyse und Payload-Anpassung nach gescheiterten Versuchen. Unternehmen, die Secrets wie API- oder Jira-Credentials in CI/CD-Workflows verwenden, sollten Rotationszyklen verkürzen, Least-Privilege-Prinzipien konsequent durchsetzen und die Attribution von Code-Änderungen zwischen menschlichen und KI-Akteuren in ihren Audit-Prozessen neu bewerten.
Quelle: www.csoonline.com · Erschienen 19. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.