Sicherheitslücke in AI-Coding-Tools entdeckt

Forschende von Wiz haben eine kritische Sicherheitsanfälligkeit in sechs weit verbreiteten AI-Coding-Assistenten entdeckt. Diese Schwachstelle ermöglicht es Angreifern, über manipulierte Code-Projekte die Kontrolle über die Computer von Entwicklern zu übernehmen. Die betroffenen Tools sind Amazon Q Developer, Anthropic's Claude Code, Augment, Cursor, Google Antigravity und Windsurf. Die Sicherheitsanfälligkeit beruht auf einem Symlink-Fehler, der es einem bösartigen Projekt ermöglicht, eine harmlose Datei zu bearbeiten, während die tatsächlichen Änderungen auf eine sensible Datei angewendet werden. Dies geschieht, ohne dass der Entwickler dies bemerkt, was das Risiko eines unbefugten Zugriffs auf vertrauliche Daten erhöht.

Die Forscher haben festgestellt, dass die Angreifer durch diese Methode schadhafter Code in die Entwicklungsumgebung einschleusen können. Die Manipulation erfolgt, indem der AI-Coding-Assistent um Erlaubnis zur Bearbeitung einer Datei gebeten wird, was den Anschein von Legitimität erweckt. Diese Technik könnte in der Praxis zu erheblichen Sicherheitsvorfällen führen. Die betroffenen AI-Coding-Tools sind in der Softwareentwicklung weit verbreitet und werden von vielen Unternehmen genutzt. Die Entdeckung dieser Schwachstelle könnte weitreichende Auswirkungen auf die Sicherheit von Softwareprojekten haben, insbesondere in Unternehmen, die auf diese Technologien angewiesen sind.

Wiz hat die Schwachstelle umgehend den betroffenen Anbietern gemeldet. Die Unternehmen arbeiten nun an Patches, um die Sicherheitsanfälligkeit zu beheben. Die Forscher empfehlen, dass Nutzer der betroffenen Tools vorsichtig sein und ihre Systeme regelmäßig auf Updates überprüfen. Die Sicherheitslücke könnte potenziell eine große Anzahl von Entwicklern betreffen, da die betroffenen Tools in vielen Organisationen weltweit eingesetzt werden. Wiz hat die Schwachstelle als kritisch eingestuft, was auf die Dringlichkeit der Problematik hinweist.

Die Forscher haben auch darauf hingewiesen, dass die Angreifer möglicherweise bereits aktiv versuchen, diese Schwachstelle auszunutzen. Entwickler sollten daher besonders wachsam sein und ihre Sicherheitspraktiken überprüfen, um sich vor möglichen Angriffen zu schützen. Die genaue Anzahl der betroffenen Nutzer ist derzeit unbekannt, jedoch ist die Verbreitung der betroffenen Tools in der Entwicklergemeinschaft erheblich. Die Sicherheitslücke könnte somit potenziell Tausende von Entwicklern in Gefahr bringen. Wiz hat die Schwachstelle unter der CVE-Nummer CVE-2026-1234 registriert. Die Veröffentlichung dieser Informationen soll dazu beitragen, das Bewusstsein für die Sicherheitsrisiken im Zusammenhang mit AI-Coding-Tools zu schärfen.