Harmloser GitHub-Link wird zur Falle: Claude Code führt versteckten Schadcode ohne Prüfung aus

Sicherheitsforscher von 0DIN, Mozillas GenAI-Bug-Bounty-Plattform, haben einen neuartigen Angriffsweg auf Entwicklerrechner aufgezeigt. Über ein harmlos wirkendes GitHub-Repository können Angreifer per indirekter Prompt Injection die volle Kontrolle erlangen, sobald KI-Coding-Tools wie Claude Code zum Einsatz kommen.

Ein Setup-Skript im Projekt lädt zur Laufzeit einen Befehl aus einem DNS-Eintrag und führt ihn aus. Der schädliche Code existiert nie im Repository selbst und ist daher für Scanner, Code-Reviews und den KI-Agenten unsichtbar. Claude Code stößt beim Einrichten auf eine gewöhnliche Fehlermeldung, führt automatisch das Setup aus und öffnet so eine Reverse Shell zum Angreifer. Dieser erhält Zugriff auf API-Schlüssel, Zugangsdaten und kann sich dauerhaft einnisten. Die Reichweite ist groß, da ein einziger Repo-Link in einer Stellenausschreibung, einem Tutorial oder einer Slack-Nachricht alle treffen kann, die ihn mit einem KI-Coding-Tool öffnen.

Die Forscher fordern, dass KI-Agenten den Inhalt von Setup-Skripten offenlegen müssen, bevor sie diese ausführen. Entwickler sollten Setup-Anleitungen in fremden Repositories grundsätzlich als nicht vertrauenswürdigen Code behandeln.