Auf den Punkt: Über 1,7 Millionen Downloads trojanisierter AI-Agent-Skills auf skills.sh installierten einen Credential Stealer, der gezielt Zugangsdaten auf Entwicklerworkstations und CI-Systemen abgriff.
Sicherheitsforscher von Zenity haben eine Angriffskampagne aufgedeckt, bei der trojanisierte Skills für AI-Agenten über die Plattform skills.sh verbreitet wurden, um einen Credential Stealer auf Entwicklerrechnern und CI-Systemen zu installieren. Die Kampagne zeigt, dass die Software-Lieferkette für agentische KI-Tools inzwischen gezielt angegriffen wird.
Am 11. Juli luden Angreifer auf der offenen Skills-Marktplatzplattform skills.sh manipulierte Agent-Skills hoch, deren Namen die bekannten AI-Dienste Paperclip und Browser Use per Typosquatting imitierten. Bis zum 2. August summierten sich die Downloads der betroffenen Skills auf über 1,7 Millionen. Skills sind Textdateien mit Anweisungen und Codebeispielen, die LLMs anleiten, bestimmte Aufgaben auszuführen oder Tools und Dienste zu nutzen; die Marktplatzplattform skills.sh wird von Vercel betrieben und dient der automatischen Auffindbarkeit solcher Skills durch AI-Agenten.
Zur Vorbereitung hatten die Angreifer im Juli zwei GitHub-Organisationen namens „getpaperclipai“ und „browser-use-headless“ angelegt, die die legitimen Organisationen paperclipai und browser-use imitierten. Anschließend luden sie zunächst wortgetreue Kopien der offiziellen Skills auf skills.sh hoch, um Marktplatzprüfungen zu bestehen, und ersetzten diese am 11. Juli durch bösartige Versionen. Parallel versuchten die Angreifer, trojanisierte Pakete namens paperclip-ai und browser-use-headless über npm und PyPI zu verteilen; beide Registries erkannten und entfernten diese Pakete jedoch innerhalb von Stunden als bösartig. Die Täter wichen daraufhin auf eine direkte Installationsanweisung aus den eigenen GitHub-Repositories aus, etwa im Skill „paperclip-board“, der Agenten anwies, das Repository zu klonen statt die offizielle Installationsmethode via npx zu verwenden.
Laut Zenity war die Sammellogik der Payload gezielt auf Entwicklerworkstations, CI-Runner und Agent-Workspaces ausgerichtet: SSH-Schlüssel, Cloud-Zugangsdaten, Git- und Paketmanager-Tokens, Kubernetes- und Docker-Konfigurationen, Deployment-Plattformen, Datenbanken, Infrastructure-as-Code-Tooling sowie .env-Dateien von Projekten. Da viele der hochgeladenen Paperclip-Skills sich gegenseitig referenzieren und Kaskadeninstallationen auslösen, lässt sich die Zahl eindeutiger Opfer nicht genau bestimmen; einzelne Skills verzeichneten jedoch jeweils rund 300.000 Installationen und erreichten zeitweise die Trending-Liste von skills.sh.
Für CISOs markiert der Fall eine Erweiterung klassischer Supply-Chain-Risiken auf agentische KI-Ökosysteme: Angreifer zielen nicht mehr nur auf Paketregistries wie npm oder PyPI, sondern auf Konfigurations- und Instruktionsdateien, die von LLM-Agenten automatisch ausgeführt werden und dadurch weniger klassische Codeprüfungen durchlaufen. Organisationen, die agentische Tools wie Paperclip, Claude Code, OpenAI Codex oder Cursor einsetzen, sollten die Herkunft und Integrität eingesetzter Skills prüfen, Installationsquellen auf offizielle Repositories beschränken und Zugangsdaten in CI-Umgebungen sowie Entwicklerworkstations rotieren, falls betroffene Skills genutzt wurden.
Quelle: www.csoonline.com · Erschienen 7. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.