Agentjacking: Wie eine gefälschte Fehlermeldung KI-Agenten übernimmt

KI-Agenten lesen Fehlermeldungen, Webseiten, E-Mails und Tickets. Und sie können handeln: Befehle ausführen, Pakete installieren, Code ändern. Sobald beides zusammenkommt, wird jeder gelesene Text zu einem möglichen Befehl. 2026 haben Sicherheitsforscher mehrere Angriffe gezeigt, die genau das ausnutzen. Drei davon sind besonders lehrreich.

Agentjacking über Sentry

Sentry ist ein verbreiteter Dienst, der Fehler aus Websites und Apps sammelt. Damit eine Website Fehler melden kann, steht ein Schlüssel im öffentlichen JavaScript, der sogenannte DSN. Mit ihm kann jeder Fehlermeldungen einliefern. Das war lange harmlos.

Im Juni 2026 hat Tenet Security gezeigt, warum es das nicht mehr ist. Der Ablauf:

1. Der Angreifer liest den DSN aus dem öffentlichen Code einer Website.
2. Er schickt eine gefälschte Fehlermeldung. Sie sieht aus wie eine echte Diagnose, mit Überschriften, Codeblöcken und einem Abschnitt „So behebst du den Fehler“. Darin steht ein npm-Befehl.
3. Ein Entwickler bittet seinen Coding-Agenten, die offenen Fehler anzusehen. Der Agent liest sie über den Sentry-MCP-Server.
4. Der Agent hält den Befehl für die Lösung und führt ihn aus. Das Paket sucht nach Umgebungsvariablen, Cloud-Zugängen, Git-Zugangsdaten und privaten Repositories.

Laut einer Analyse der Cloud Security Alliance haben Claude Code, Cursor und Codex im Test die gefälschten Meldungen nicht von echten unterschieden. Der Angriff lief in 85 Prozent der Fälle durch. Mindestens 2.388 Organisationen hatten DSNs, die sich so missbrauchen ließen, öffentlich in JavaScript oder auf GitHub. Es handelt sich um Forschung unter kontrollierten Bedingungen. Breite Angriffe in freier Wildbahn sind bisher nicht bestätigt.

Anweisungen in HTTP-Headern

Im Oktober 2026 hat die Sicherheitsfirma Signals Corps 217 Millionen Seitenabrufe aus dem Common Crawl ausgewertet. 30 Websites versteckten in ihren HTTP-Headern Anweisungen an KI-Agenten. Diese Header sieht kein Besucher, sie gehören zur technischen Antwort des Servers. Die meisten Versuche waren Scherze. Einer richtete sich gezielt an KI-Systeme, die Bewerbungen vorsortieren, und meldete eine „94 % Übereinstimmung“.

Getroffen wird nur ein Agent, der die Header überhaupt liest. Das hängt vom Werkzeug ab. Manche Browser-Werkzeuge für Agenten geben die vollständigen Header standardmäßig zurück. Die Lehre: Prompt Injection steckt nicht nur im sichtbaren Text.

Mini Shai-Hulud: Schadcode in der Agenten-Konfiguration

Shai-Hulud ist eine Familie von Würmern im npm-Ökosystem. Sie stehlen Zugangsdaten von Entwicklern und veröffentlichen damit verseuchte Versionen weiterer Pakete. Die Variante Mini Shai-Hulud vom Mai 2026 ging einen Schritt weiter. Laut Cloud Security Alliance war sie der erste bekannte Angriff, der Konfigurationsdateien von KI-Coding-Agenten nutzte, um sich festzusetzen. Der Wurm schrieb Hooks in die Einstellungen von Claude Code und VS Code. Diese Hooks laufen bei jeder Aktion des Agenten mit. Betroffen waren unter anderem Pakete aus dem TanStack-Namensraum, von UiPath und von Mistral AI.

Die Konfiguration eines Agenten ist damit Angriffsfläche. Wer viele Hooks und Skills hat, die niemand mehr ansieht, merkt einen zusätzlichen nicht. Auch deshalb räumen wir das Setup bei jedem Modellwechsel auf. Mehr dazu im Beitrag Neues KI-Modell? Erst alles löschen.

Das gemeinsame Muster

Alle drei Angriffe funktionieren gleich. Ein Agent liest Inhalte, die ein Fremder kontrolliert. Er kann sie nicht zuverlässig von Anweisungen seines Nutzers unterscheiden. Und er hat die Rechte, etwas Gefährliches zu tun. Fehlt eine dieser drei Bedingungen, scheitert der Angriff. Genau dort setzen die Leitplanken an.

Leitplanken gegen Agentjacking

1. Inhalte von außen sind Daten. Fehlermeldungen, Tickets, Webseiten und Header können von Fremden stammen. Der Agent darf daraus Informationen ziehen, aber keine Befehle.
2. Befehle und Installationen freigeben. Shell-Befehle, neue Pakete und Netzwerkzugriffe laufen nur nach Bestätigung durch einen Menschen. Das kostet Sekunden und verhindert den Kern dieser Angriffe.
3. Agenten ohne Zugangsdaten arbeiten lassen. Der Agent läuft in einer Sandbox ohne Cloud-Schlüssel, ohne Produktivdaten und ohne Zugriff auf private Repositories, die er nicht braucht.
4. MCP-Server bewusst freigeben. Jeder Server ist eine Tür nach außen. Nur Server aus einer festen Liste, mit möglichst wenigen Rechten.
5. Konfiguration im Review prüfen. Änderungen an Agenten-Einstellungen, Hooks und Skills gehören in denselben Review wie Code. Eine neue Zeile in einer Einstellungsdatei ist kein Detail.
6. Öffentliche Schlüssel begrenzen. Sentry-DSNs rotieren, wenn sie missbraucht werden, und eingehende Meldungen filtern.

Häufige Fragen