Beobachtetes Signal · 11. Aug. 2026 · Security Research / Proof-of-Concept · Quelle: DEV Community · Relevanz: 3/5 · Sentiment: Negativ
Ghostjacking: Logs und Alerts werden zu Steuerungsbefehlen für KI-Agenten
Sicherheitsforscher haben einen Proof-of-Concept namens "Ghostjacking" vorgestellt, der zeigt, wie Angreifer natürlichsprachliche Befehle in Logs, Alerts und Ticketing-Systeme einbetten können. Dadurch führen KI-Agenten mit Lese- und Schreibrechten diese Befehle ungewollt aus. Die Methode nutzt Zielsysteme wie Cloudflare WAF-Logs, Datadog-Alerts und Sentry-Reports, um DNS-Änderungen herbeizuführen, Shell-Befehle auszuführen, Cloud-Anmeldedaten zu stehlen, Befehle auf andere Agenten zu übertragen und Backdoors in Agentenspeichern oder Konfigurationen zu hinterlassen. Die Tests erfolgten über kontrollierte Konten und öffentliche APIs; es wurde keine CVE veröffentlicht. Eine Sandbox-Schwachstelle von Claude Desktop wurde an Anthropic gemeldet und behoben. Der Bericht beschreibt Erfolgsfaktoren, Erkennungssignale, MITRE-Zuordnungen sowie ein Untersuchungs- und Eindämmungs-Playbook für SOCs und Administratoren, um Organisationen bei der Absicherung ihrer agentischen Infrastrukturen zu unterstützen.
Der Proof-of-Concept offenbart einen neuartigen Angriffsvektor für KI-Agenten, der jede Organisation betreffen kann, die agentische Tools in operative Systeme wie CDNs, APMs oder Ticketsysteme integriert. Die Branchenrelevanz ist moderat bis hoch, da sie entsprechende Agenten-Integrationen und Berechtigungen voraussetzt.
Marktsignale zu Cloudflare in Echtzeit verfolgen
Polaris7 erfasst behördliche Registrierungen, Primärquellen, Führungswechsel und Deal-Aktivitäten rund um die Uhr. Erstellen Sie Ihren kostenlosen Explorer-Workspace, um automatisierte Executive Briefings zu erhalten.
Wichtigste Kernpunkte & Evidenz
- Tenet Security Threat Labs veröffentlichte PoC-Forschung zu "Ghostjacking"-Angriffen, die Befehle in von KI-Agenten gelesene Logs und Alerts injizieren.
- PoC-Ketten demonstrierten Angriffe über Cloudflare WAF-Logs, Datadog-Alerts und Sentry-Issues und ermöglichen DNS-Mutationen, Befehlsausführung, Datendiebstahl sowie Agent-zu-Agent-Propagation.
- Ein Netzwerk-Sandbox-Bypass von Claude Desktop wurde an Anthropic gemeldet und behoben; es wurde keine öffentliche CVE veröffentlicht.
- Cloudflare-PoCs erzielten in Forschertests Berichten zufolge eine Erfolgsquote von 90 Prozent (neun von zehn Versuchen).
- Die Tests nutzten eigene Testkonten und öffentliche APIs der Forscher; ein bestätigter Diebstahl von Kundendaten fand im Rahmen des PoC nicht statt.
Verknüpfte Unternehmen
4 verknüpfte Unternehmen“Chain A: DNS Hijacking from Cloudflare WAF Logs...”
“Chain B: Command Execution and Credential Theft from Datadog Alerts...”
“Chain C: Propagation from Sentry / Seer to Other AIs...”
“Claude Desktop's network sandbox bypass was reported to Anthropic and fixed....”
Ontologie & Marktkonzepte
Verwandte Marktsignale & Trends
Aktuelle verifizierte Unternehmensentwicklungen und Deal-Aktivitäten in diesem Marktsegment.
Agentjacking: Manipulierte Fehlerberichte kapern KI-Agenten über Tracking-Tools
Das Sicherheitsunternehmen Tenet Security hat eine neue Angriffsklasse namens „Agentjacking“ aufgedeckt, bei der manipulierte Absturz- und Fehlerberichte über Tracking-Tools wie Sentry genutzt werden, um KI-Coding-Assistenten unbemerkt zu kapern. Angreifer senden präparierte Fehlermeldungen an öffentlich zugängliche Endpunkte, die versteckte Markdown-Anweisungen enthalten. Da aktuelle KI-Agenten und Modellintegrationen passive Textdaten beim Datenimport über Protokolle wie das Model Context Protocol (MCP) nicht zuverlässig von ausführbaren Befehlen unterscheiden, können die Assistenten eingebetteten Code auf Entwicklerrechnern abrufen und ausführen. Tenet verzeichnete bei Tests mit über 100 Organisationen eine Erfolgsquote von 85 Prozent. Sentry hat das Problem zwar eingeräumt, erklärte jedoch, dass eine plattformseitige Ursachenbehebung nicht umsetzbar sei. Tenet empfiehlt daher dringend, die Ausführungsrechte von KI-Assistenten massiv einzuschränken und für kritische Befehle eine manuelle menschliche Freigabe zu fordern.
KI-Agenten ermöglichen vollautonome Cyberangriffe und automatisierte Exploitation
Eine OSINT-basierte Cyber-Bedrohungsanalyse dokumentiert fünf Vorfälle aus Ende Mai 2026, die einen Paradigmenwechsel markieren: KI wandelt sich vom reinen Assistenzwerkzeug zum autonomen Angriffsakteur und zur neuen Angriffsfläche. Sysdig belegte eine Kompromittierung von Marimo-Notebooks (CVE-2026-39987, CVSS 9.3), bei der ein LLM-Agent eigenständig mehrstufige Pivots durchführte und interne PostgreSQL-Datenbanken extrahierte. Zudem deckte Permiso Security mit 'ChatGPhish' eine Indirect-Prompt-Injection gegen ChatGPT-Renderer auf. Wiz identifizierte unter 'JINX-0164' Supply-Chain-Angriffe auf Krypto-Entwickler via manipulierte npm-Pakete (@velora-dex/sdk) und macOS-RATs. Flankiert wird dies durch eine unauthentifizierte RCE-Kette in Gogs (CVSS 9.4) laut Rapid7 sowie einen KelpDAO/LayerZero-Bridge-Vorfall, der Risiken bei Off-Chain-Verifiern offenlegt. Sicherheitsexperten raten dringend zur Isolierung von Zugangsdaten, Runtime-Verhaltensanalysen sowie dem Abbau ungeprüfter Abhängigkeiten.
KI-Code-Reviewer durch Context Poisoning für Malware-Ausführung missbraucht
Sicherheitsforscher haben mehrere Proof-of-Concept-Angriffe veröffentlicht, die zeigen, dass autonome Coding-Agenten vom Angreifer bereitgestellte Instruktionen in nicht vertrauenswürdigem Text ausführen. Das AI Now Institute enthüllte „Friendly Fire“, bei dem eine README-Datei einen Agenten zur Ausführung eines schädlichen Skripts anweist. Tenet demonstrierte „Agentjacking“ mittels gefälschter Sentry-Fehlerberichte mit einer Erfolgsquote von 85 %, während Noma Security mit „GitLost“ zeigte, wie GitHub Agentic Workflows private Repositories kompromittieren. Getestete Agenten wie Claude Code und OpenAI Codex führten diese Angriffe im autonomen Modus aus. Zwar mindern Dateisystem-Isolierung und Zugriffsbeschränkungen das Risiko, doch existiert kein vollständiger Fix, da die Grundursache in der Architektur liegt, die Textanweisungen unkritisch befolgt.
Marktsignale & Strategische Shifts in Echtzeit verfolgen
Erstellen Sie benutzerdefinierte Watchlists, um automatisierte, evidenzbasierte Executive Briefings zu erhalten, sobald wesentliche Signale oder Marktverschiebungen auftreten.