Was ein KI-Agent liest, kann ihn steuern.

CSO Online berichtet über einen Fund der Sicherheitsfirma Forever Security. Im Downloads-Ordner eines Kunden der Firma lag eine präparierte Datei AGENTS.md. Sie wies den Coding-Agenten Codex an, ein schädliches npm-Paket zu installieren. Die Installation wurde gestoppt, bevor die Schadsoftware lief. Wie die Datei auf den Rechner kam, ließ sich nicht klären. Die Forscher zeigten aber, dass eine Webseite einen solchen Download ohne weitere Rückfrage auslösen kann.

Eine Textdatei ohne Code.

Dateien wie AGENTS.md oder CLAUDE.md sind für Projektregeln gedacht: welche Befehle es gibt, wie getestet wird, was tabu ist. Agenten lesen sie automatisch, sobald sie in dem Verzeichnis arbeiten. Bei Codex muss das Verzeichnis zusätzlich als vertrauenswürdig markiert sein. Die präparierte Datei enthielt keinen ausführbaren Code. Der Agent hielt ihren Inhalt für eine echte Projektanweisung und führte sie mit den Rechten aus, die er ohnehin hatte.

In den Tests der Forscher folgte Codex in über 90 Prozent der Fälle, meist mit einem harmlosen Ersatz für die Schadsoftware. Er trug einen fremden MCP-Server in seine Konfiguration ein, die für den ganzen Rechner gilt, und startete danach eine Sitzung, in der Freigaben und Sandbox umgangen waren. Der fremde Server wäre auch in späteren Sitzungen in anderen Projekten geladen worden.

Claude Code leitete in etwa der Hälfte der Tests seinen Datenverkehr zur API über einen Server der Forscher um. Sie konnten dabei ein Anmelde-Token mitschneiden und gegen die echte API wiederverwenden. Damit wäre das Konto übernehmbar gewesen.

Sakshi Grover vom Marktforscher IDC nennt die Ergebnisse im selben Artikel eine glaubwürdige Frühwarnung. Einen Beleg für breite Angriffe sieht sie darin nicht. Die Quoten sind nicht unabhängig geprüft, und eine Stellungnahme von OpenAI oder Anthropic enthält der Bericht nicht.

Das Muster reicht weiter als eine Datei.

Das OWASP-Projekt für KI-Sicherheit führt Prompt Injection an erster Stelle seiner Risiken für Sprachmodelle. Gemeint ist hier die indirekte Form: Die Anweisung steckt in einem Inhalt, den das Modell verarbeitet, etwa in einer Datei oder einer Webseite. Für einen Agenten ist damit jeder gelesene Text eine mögliche Anweisung.

Solche Inhalte gibt es überall: geklonte Repositories, Composer- und npm-Pakete mit eigenen Anweisungsdateien, Webseiten, E-Mails, Logdateien und Datenbankinhalte. User-Agent, aufgerufene URL oder Bestellkommentar in einem Log kann jeder frei setzen. Liest ein Agent bei der Fehlersuche so ein Log, während er Zugriff auf einen Server hat, treffen fremder Text und echte Rechte zusammen.

„Nur ein Paket installieren“ ist dabei schon der ganze Schaden. Installationsskripte, etwa postinstall bei npm oder Composer-Plugins, laufen mit den Rechten des Entwicklers. Sie können Tokens und SSH-Schlüssel lesen und damit alles erreichen, worauf der Rechner Zugriff hat.

Eine Anweisung darf keine Rechte verleihen.

Akshat Tyagi von HFS Research beschreibt im CSO-Artikel den Kern des Problems: Die Werkzeuge behandeln das Befolgen einer Anweisung und das Vergeben eines Rechts als denselben Vorgang. Wer mit KI-Agenten arbeitet, muss beides deshalb selbst auseinanderhalten.

Das beginnt bei Konfiguration und Zugangsdaten. Einstellungen, Hooks und die MCP-Konfiguration des Agenten sollten für ihn schreibgeschützt sein, Token-Dateien, .env-Dateien und Schlüssel für ihn nicht lesbar. Eine Regel im Prompt wie „nie lesen“ reicht dafür nicht. Sie ist selbst nur Text, und eine eingeschleuste Anweisung kann ihr widersprechen. Kurzlebige Tokens begrenzen den Schaden, falls doch eines abfließt.

Freigaben bleiben eingeschaltet. Neue Pakete, Zugriffe auf Server, ein Push auf ein unbekanntes Ziel und ausgehende Anfragen bestätigt ein Mensch. Optionen, die Freigaben oder Sandbox umgehen, bleiben aus. Eine Sandbox mit begrenztem Netzzugang verhindert zusätzlich, dass Daten unbemerkt abfließen.

Anweisungsdateien verdienen dieselbe Sorgfalt wie Quellcode: Herkunft prüfen, Änderungen reviewen. Dateien aus Abhängigkeiten wie vendor/ oder node_modules/ muss der Agent nicht als Anweisung laden. Die präparierte Datei aus dem Fund wirkt außerdem nur, wenn ein Agent in genau diesem Ordner arbeitet. Ein Agent gehört deshalb in das Projektverzeichnis, an dem er arbeiten soll.

Zuletzt hilft es, die Umgebungen zu trennen. Die Arbeit am Code mit einem Agenten läuft am besten auf einem System, auf dem keine Zugangsdaten für Produktivsysteme liegen. Pakete kommen über ein internes Verzeichnis oder einen Proxy, der sie vor der Installation prüft.

OWASP hält es für unklar, ob sich Prompt Injection überhaupt zuverlässig verhindern lässt. Wer Agenten einsetzt, sollte deshalb damit rechnen, dass einer irgendwann einer fremden Anweisung folgt, und vorher festlegen, was er dann noch darf.

Quellen

1. Prasanth Aby Thomas: Malicious downloads can trick AI coding agents into compromising themselves, CSO Online, 26. Oktober 2026.
2. OWASP Gen AI Security Project: LLM01:2025 Prompt Injection, abgerufen am 28. Oktober 2026.