Sicherheit

Gefährliche Git-Konfigurationen: KI-Coding-Tools können beim Öffnen eines Projekts fremden Code ausführen

KI-Generiertes Foto

KI-Coding-Tools wie Claude Code, Codex, Cursor, Qwen Code oder Grok Build sollen Entwicklern Arbeit abnehmen. Genau diese Automatisierung kann aber auch zum Problem werden.

Sicherheitsforscher von Manifold Security haben mehrere Schwachstellen entdeckt, bei denen manipulierte Git-Repositories dafür sorgen können, dass ein KI-Coding-Agent Code des Angreifers auf dem Rechner des Entwicklers ausführt.

Das Tückische daran: In einigen Fällen passiert das schon bevor der Nutzer einem Projekt vertraut, einen Prompt abschickt oder überhaupt richtig mit dem Agenten arbeitet.

Das Problem steckt nicht in der KI selbst

Die Schwachstelle liegt nicht im Sprachmodell.

Das eigentliche Problem ist deutlich unspektakulärer: Viele Coding-Agenten führen beim Öffnen eines Projekts automatisch Git-Befehle wie git status oder git diff aus, um herauszufinden:

  • auf welchem Branch man sich befindet

  • welche Dateien geändert wurden

  • wie der aktuelle Zustand des Projekts aussieht

Git kann allerdings bestimmte Einstellungen direkt aus der Datei .git/config eines Repositories laden.

Eine davon ist:

core.fsmonitor

Eigentlich dient diese Funktion dazu, Git bei der Erkennung geänderter Dateien schneller zu machen.

Der Haken: Als Wert kann dort auch ein ausführbarer Befehl hinterlegt werden.

Wird anschließend ein Git-Befehl ausgeführt, kann Git diesen Befehl automatisch starten.

Ein manipuliertes Projekt kann dadurch Code ausführen

Ein Angreifer könnte also ein Git-Projekt so vorbereiten, dass in dessen .git/config ein eigener Befehl hinterlegt ist.

Öffnet ein Entwickler dieses Projekt anschließend mit einem anfälligen KI-Coding-Agenten, führt der Agent im Hintergrund einen Git-Befehl aus.

Git liest die Konfiguration – und startet dabei den eingeschleusten Befehl.

Der Code läuft dann mit den Rechten des angemeldeten Benutzers.

Das kann im schlimmsten Fall bedeuten, dass der Angreifer:

  • Dateien lesen kann

  • Dateien verändern oder löschen kann

  • weitere Programme startet

  • Zugangsdaten ausliest

  • auf andere Ressourcen des Benutzerkontos zugreift

Besonders unangenehm ist, dass der Befehl teilweise außerhalb der Sandbox des KI-Tools ausgeführt wird.

Ein normales git clone ist meist nicht betroffen

Es gibt allerdings einen wichtigen Punkt.

Die .git/config eines Repositories wird bei einem normalen:

git clone

nicht einfach vom Server übernommen.

Das bedeutet: Wer ein Repository sauber von GitHub, GitLab oder einem anderen Git-Server klont, bekommt diese manipulierte lokale Git-Konfiguration normalerweise nicht mitgeliefert.

Problematischer sind Projekte, die als kompletter Ordner inklusive .git-Verzeichnis weitergegeben werden.

Zum Beispiel über:

  • ZIP- oder Archivdateien

  • geteilte Netzlaufwerke

  • Cloud-Sync-Ordner

  • USB-Sticks

  • gemeinsam genutzte Projektverzeichnisse

In solchen Fällen bleibt .git/config erhalten.

Mehrere bekannte KI-Coding-Tools betroffen

Die Forscher fanden das Problem in mehreren Agenten.

Betroffen waren unter anderem:

  • goose

  • Codex CLI

  • Codex Desktop

  • Claude Code

  • Hermes Agent

  • Qwen Code

  • Grok Build

  • Cursor

Einige Anbieter haben bereits reagiert und entsprechende Updates veröffentlicht.

Codex wurde bereits aktualisiert

Für OpenAIs Codex wurden mehrere Sicherheitslücken dieser Art dokumentiert.

Betroffen waren unter anderem ältere Versionen von Codex CLI sowie Codex Desktop für Windows und macOS.

Laut den veröffentlichten Versionsangaben wurde das Problem in neueren Versionen behoben.

Wer Codex verwendet, sollte deshalb darauf achten, eine aktuelle Version einzusetzen.

Gerade bei CLI-Werkzeugen passiert es schnell, dass irgendwo noch eine ältere, fest installierte Version verwendet wird.

Auch Claude Code war betroffen

Bei Claude Code wurde ebenfalls ein Angriff über core.fsmonitor bestätigt.

Der entsprechende Weg wurde nach Angaben der Forscher zwar behoben, allerdings wurde später noch ein weiterer ähnlicher Angriffspfad entdeckt.

Interessant ist hier vor allem der Zeitpunkt der Ausführung:

Bei bestimmten Varianten konnte der schädliche Befehl bereits starten, bevor der Nutzer das Workspace-Vertrauensfenster bestätigt hatte.

Damit verliert ein solcher Sicherheitsdialog natürlich einen großen Teil seines Nutzens.

Teilweise noch ohne Patch

Nicht alle betroffenen Werkzeuge waren zum Zeitpunkt der Veröffentlichung vollständig abgesichert.

Für einige Versionen beziehungsweise Angriffspfade bei:

  • Hermes Agent

  • Qwen Code

  • Grok Build

  • Claude Code

waren laut den Forschern noch keine vollständigen Korrekturen verfügbar oder der Status war zumindest nicht eindeutig geklärt.

Wer eines dieser Werkzeuge verwendet, sollte deshalb besonders darauf achten, Updates zeitnah einzuspielen.

Warum das Ganze so gefährlich ist

Das Problem zeigt ziemlich gut, wo die neue Angriffsfläche bei KI-Entwicklungstools liegt.

Früher musste ein Entwickler meistens selbst einen Befehl ausführen.

Heute übernehmen Coding-Agenten viele dieser Schritte automatisch.

Sie prüfen Git-Status, lesen Dateien, starten Tools und analysieren Projekte teilweise schon direkt beim Öffnen.

Genau diese Bequemlichkeit bedeutet aber auch:

Wenn ein Projekt manipuliert ist, kann der Agent Dinge ausführen, bevor der Nutzer überhaupt merkt, dass etwas passiert.

So kann man sich schützen

Wer Projekte von anderen Personen erhält, sollte bei kompletten Git-Verzeichnissen etwas vorsichtiger sein.

Vor allem lohnt sich ein Blick in:

.git/config

Besonders auffällig sind Einstellungen wie:

core.fsmonitor
core.hooksPath

Auch ungewöhnliche Filter-Konfigurationen können interessant sein.

Ob core.fsmonitor in einem Repository gesetzt ist, lässt sich mit folgendem Befehl prüfen:

git config --get core.fsmonitor

Die globale Git-Konfiguration kann beispielsweise so durchsucht werden:

git config --global --list

Wer core.fsmonitor grundsätzlich nicht benötigt, kann die Funktion global deaktivieren:

git config --global core.fsmonitor false

Das ersetzt natürlich keine aktuellen Sicherheitsupdates der verwendeten Coding-Tools.

Noch keine bekannten Angriffe in freier Wildbahn

Nach den veröffentlichten Informationen gibt es bislang keine Hinweise darauf, dass diese Schwachstellen bereits aktiv für reale Angriffe ausgenutzt wurden.

Das ist beruhigend, ändert aber nichts an der grundsätzlichen Problematik.

Gerade Entwickler arbeiten regelmäßig mit fremdem Quellcode, Testprojekten und gemeinsam genutzten Repositories. Deshalb ist diese Art von Schwachstelle besonders relevant.

Fazit

Die sogenannten GitSpawn-Schwachstellen zeigen ein interessantes Sicherheitsproblem moderner KI-Coding-Agenten.

Nicht die KI selbst wird ausgetrickst. Stattdessen nutzen Angreifer eine ganz normale Git-Funktion und die Tatsache, dass moderne Agenten viele Git-Befehle automatisch im Hintergrund ausführen.

Das Ergebnis kann trotzdem gravierend sein: Ein manipuliertes Projekt kann beim Öffnen Code auf dem Rechner des Entwicklers ausführen.

Wer Coding-Agenten wie Codex, Claude Code, Cursor oder ähnliche Tools nutzt, sollte deshalb die Software aktuell halten und bei Projekten, die als kompletter Ordner inklusive .git-Verzeichnis geliefert werden, etwas genauer hinschauen.

Ein normales git clone ist in diesem Fall deutlich unkritischer als ein unbekanntes Projektverzeichnis vom USB-Stick oder aus einer ZIP-Datei.