AI-Coding-Agents absichern: Was GhostApproval, Ghostjacking und CVE-2026-62830 gemeinsam haben

Im Sommer 2026 sind drei Schwachstellen öffentlich geworden, die auf den ersten Blick nichts miteinander zu tun haben: eine Symlink-Lücke in sechs AI-Coding-Assistenten, ein Prompt-Injection-Angriff über Logdateien und eine kritische Rechteausweitung in einem Cloud-Agenten von Microsoft.

Verschiedene Hersteller, verschiedene Techniken, verschiedene Angriffsziele. Und trotzdem dasselbe Grundproblem: Der Agent tut etwas anderes, als der Mensch sieht oder autorisiert hat. Wer AI-Agents im Unternehmen einsetzt, sollte dieses Muster kennen, denn es überlebt jeden einzelnen Patch.

GhostApproval: Der Freigabedialog zeigt die falsche Datei

Wiz Research hat am 8. Juli 2026 eine Schwachstelle veröffentlicht, die sechs verbreitete AI-Coding-Assistenten gleichzeitig betraf: Amazon Q Developer, Claude Code, Augment, Cursor, Google Antigravity und Windsurf.

Die zugrunde liegende Technik ist alt. Symlink-Following (CWE-61) kennt man seit Jahrzehnten: Eine Datei ist in Wahrheit nur ein Verweis auf eine andere, und wer sie beschreibt, schreibt woanders hin. Neu ist, was in der Interaktion mit dem Agenten passiert.

In einer der Demonstrationen liest der Assistent eine Datei, stellt in seiner eigenen Argumentation ausdrücklich fest, dass es sich um einen Symlink auf einen sensiblen Systempfad handelt, und schreibt trotzdem hinein. Im Freigabedialog, den die Entwicklerin zu Gesicht bekommt, steht nur der harmlose Dateiname.

Der Agent weiß also, was er tut. Der Mensch, der zustimmt, weiß es nicht.

Die Reaktionen der Hersteller sind aufschlussreich: Amazon, Google und Cursor haben die Meldung als Schwachstelle behandelt und Fixes ausgeliefert, Cursor unter CVE-2026-50549. Augment und Windsurf hatten zum Zeitpunkt der Veröffentlichung nicht nachgezogen. Anthropic hat für Claude Code widersprochen: Wer einem Verzeichnis vertraue und eine Änderung freigebe, trage die Entscheidung selbst, das liege außerhalb des eigenen Bedrohungsmodells.

Diese Position ist nicht abwegig, aber sie verschiebt die Verantwortung dorthin, wo die Information fehlt. Eine Freigabe ist nur so viel wert wie das, was im Dialog steht.

Ghostjacking: Wenn Logdateien zu Befehlen werden

Auf der DEF CON 34 hat Tenet Security am 9. August 2026 einen Angriff vorgestellt, der ohne jede Schwachstelle im klassischen Sinn auskommt. Ghostjacking nutzt aus, dass Coding-Agents routinemäßig Dinge lesen, die von außen befüllt werden: Fehlermeldungen, blockierte Netzwerk-Requests, Monitoring-Alerts, Bug-Reports.

In diese Daten schreibt der Angreifer Anweisungen. Der Agent liest sie als Teil seines Kontexts und führt sie aus. In den Tests gegen Claude Code, aufgesetzt nach der offiziell empfohlenen Konfiguration, funktionierte das in neun von zehn Fällen.

Der für Sicherheitsteams unangenehme Teil steht im Kleingedruckten des Talks: Jeder einzelne Schritt der Angriffskette ist eine legitime, autorisierte Operation. EDR, WAF, IAM, VPN und Firewall erzeugen keine Warnung, weil es nichts zu blockieren gibt. Der Agent darf das alles. Er tut es nur für den Falschen.

Tenets eigene Empfehlungen fassen das Problem in einem Satz zusammen: Daten, die ein Agent liest, dürfen nie zu Anweisungen werden, die er ausführt.

CVE-2026-62830: Der Agent als Generalschlüssel

Im August-Patchday hat Microsoft eine Lücke im Azure SRE Agent geschlossen, die mit CVSS 9.9 bewertet ist. Technisch handelt es sich um eine fehlende Autorisierungsprüfung (CWE-862) im On-Behalf-Of-Flow, also genau in dem Mechanismus, der sicherstellen soll, dass ein Agent nur mit den Rechten des jeweiligen Nutzers handelt.

Bricht dieser Flow, erbt der Angreifer die Rechte des Service Principals über die gesamte verwaltete Umgebung. Die Bewertung trägt deshalb das Flag "Scope Changed": Der Schaden bleibt nicht beim Agenten, sondern erstreckt sich auf alles, was dessen Managed Identity erreichen kann, von Runbooks über Telemetrie bis zu den Azure-Ressourcen dahinter.

Weil der Dienst vollständig bei Microsoft läuft, gab es für Kunden nichts zu patchen. Der Fix passierte serverseitig. Das ist bequem und gleichzeitig der Kern des Problems: Die Rechte eines Agenten sind selten so eng, wie man beim Ausrollen annimmt, und die Blast Radius fällt erst auf, wenn jemand sie ausnutzt.

Das gemeinsame Muster

Drei Vorfälle, ein Bauplan:

1. Der Agent hat weitreichende Rechte, weil er sonst nutzlos wäre. Er darf Dateien schreiben, Befehle ausführen, Infrastruktur anfassen.
2. Der Agent verarbeitet Inhalte, die andere kontrollieren. Repos, Logs, Tickets, Webseiten, Tool-Ausgaben.
3. Die Kontrollinstanz sieht weniger als der Agent. Der Freigabedialog zeigt eine harmlose Datei. Die Firewall sieht eine autorisierte Verbindung. Das IAM sieht einen gültigen Token.

Solange diese drei Punkte zusammenkommen, erzeugt jeder neue Agent eine neue Angriffsfläche. Patches schließen Einzelfälle, aber nicht das Muster.

Warum der klassische Stack hier nichts sieht

Sicherheitswerkzeuge sind darauf trainiert, Anomalien zu erkennen: unbekannte Prozesse, verdächtige Ziel-IPs, ungewöhnliche Rechte. Ein Agent, der Ghostjacking zum Opfer fällt, produziert nichts davon. Er nutzt das Tool, das er nutzen soll, mit den Rechten, die er haben soll, gegen Ziele, die auf keiner Blockliste stehen.

Die Entscheidung, die hier schiefgeht, ist semantisch, nicht netzwerktechnisch: Ein Stück Text, das als Daten gedacht war, wird als Anweisung gelesen. Diese Unterscheidung kann nur treffen, wer den Inhalt sieht, bevor er wirkt.

Was auf dem Endgerät dagegen hilft

Patronus setzt genau an dieser Stelle an, weil dort beides zusammenkommt: der Inhalt und die Aktion.

Sichtbarkeit zuerst. Bevor man Agents kontrollieren kann, muss man wissen, welche überhaupt laufen. Auf einem durchschnittlichen Entwicklerrechner sind das heute mehrere Coding-Assistenten und eine Handvoll MCP-Server, die meisten ohne IT-Freigabe installiert. Diese Inventarisierung passiert bei uns lokal auf dem Gerät, nicht über einen Cloud-Umweg.

Inhalte prüfen, bevor sie zu Anweisungen werden. Unser Modell Wolf Defender ist genau dafür trainiert: Prompt Injection erkennen, und zwar nicht nur in dem, was der Nutzer tippt, sondern auch in dem, was Tools zurückliefern. Geladene Webseiten und Logausgaben sind der übliche Träger indirekter Injection, also der Fall, den Ghostjacking ausnutzt.

Tool-Aufrufe bewerten, nicht nur Text. Die Husky-Modelle klassifizieren, was ein Tool-Call tatsächlich anfasst: Ziel, Operation und Datenfluss-Eigenschaften. Eine sensible Quelle in Kombination mit einem externen Ziel in ein und demselben Aufruf ist ein präzises, deterministisches Kriterium für eine Policy-Entscheidung, unabhängig davon, wie harmlos der Dateiname im Freigabedialog aussieht.

Alles vor der Ausführung, lokal. Prüfungen, die erst im Nachhinein greifen, dokumentieren den Vorfall, sie verhindern ihn nicht. Und Prüfungen, die den Inhalt erst in eine fremde Cloud schicken, erzeugen genau das Datenabflussrisiko, das sie eindämmen sollen.

Keine dieser Maßnahmen ersetzt Patches. Sie sorgen dafür, dass die nächste Lücke dieser Bauart nicht sofort zum Vorfall wird.

Was Sie diese Woche prüfen können

• Welche Coding-Assistenten und MCP-Server laufen tatsächlich auf den Entwicklerrechnern, und wer hat sie freigegeben?
• Bei welchen Agents ist ausgehender Netzwerkzugriff standardmäßig erlaubt?
• Zeigen Ihre Freigabedialoge den echten Zielpfad einer Aktion oder nur den Namen, den der Agent anzeigt?
• Welche Rechte hat die Identität, unter der Ihre Cloud-Agents laufen, und was könnte ein Angreifer damit erreichen?
• Welche Datenquellen, die Ihre Agents lesen, kann jemand von außen befüllen?

Wenn Sie die erste Frage nicht beantworten können, fangen Sie dort an. Alles andere baut darauf auf.

Selbst nachsehen, was auf euren Geräten läuft

Patronus Protect erscheint in Kürze als Vollversion. Wer auf der Warteliste steht, bekommt den ersten Monat kostenlos: patronus.studio/download.

Wenn Sie vorher wissen wollen, wo Ihre Organisation beim EU AI Act steht, beantwortet unser kostenloses Assessment 23 Fragen aus dem Originaltext der Verordnung und liefert einen PDF-Report mit priorisierten Findings. Ohne Registrierung, die Auswertung läuft im Browser.

Quellen

• Wiz Research: GhostApproval, a trust boundary gap in AI coding assistants, 8. Juli 2026
• Tenet Security: Ghostjacking, vorgestellt auf der DEF CON 34, 9. August 2026
• Microsoft Security Update Guide: CVE-2026-62830, Azure SRE Agent, Elevation of Privilege, CVSS 9.9, August 2026