Ein getarnter .git-Ordner kann Code in Claude Code, Codex und Cursor ausführen

The Hacker News dokumentiert eine neue Angriffsklasse: bösartige .git-Konfigurationen, die von KI-Coding-Agenten gelesen werden und Angreifer-Code ausführen. Die Tools, die Sicherheit bieten sollten, werden zu Vektoren.

Die Fakten

The Hacker News berichtet am 2. September 2026 über eine neue dokumentierte Angriffstechnik: Git-Konfigurationsdateien – die klassische .git/config, die jedes Repository enthält – können so gestaltet werden, dass sie willkürlichen Code in KI-Coding-Agenten ausführen, wenn diese das Repository öffnen oder analysieren.

Betroffene Agenten umfassen:

• Claude Code (Anthropic)
• Codex (OpenAI)
• Cursor (die agentische IDE)
• sowie weitere Tools, die sich auf Git-Befehle im Hintergrund stützen, um ein Repository zu indizieren, zu analysieren oder zu modifizieren.

Der Vektor: Git erlaubt in seiner Konfiguration bestimmte Direktiven (Hooks, Aliase, Filter), die die Ausführung von Shell-Befehlen auslösen. Ein KI-Agent, der ein geklontes Repository „übernimmt“ – um es zu analysieren, Commits zu erstellen oder Tests auszuführen – löst diese Befehle mit den Rechten des Benutzers aus, der den Agenten gestartet hat.

Wer ist betroffen

• Entwickler, die Claude Code, Codex, Cursor oder einen anderen Agenten nutzen, der ein lokales Git-Repository manipuliert.
• Teams, die ihren KI-Agenten erlauben, öffentliche Repositories zu klonen oder zu analysieren (externe PR-Reviews, Open-Source-Erkundung, Issue-Sortierung).
• CI/CD-Pipelines, die Schritte an KI-Agenten auf nicht vertrauenswürdigen Repositories delegieren.

Das gefährlichste Szenario: Ein Angreifer veröffentlicht ein präpariertes Repository auf GitHub, ein Entwickler bittet seinen Agenten „Analysiere dieses Projekt“, und der Agent führt stillschweigend die im .git/config eingebettete Payload aus – mit Zugriff auf alles, was der Entwickler lesen kann (SSH-Schlüssel, Tokens, private Dateien).

Warum das bedeutend ist

Diese Angriffsfamilie dreht die übliche Erzählung um. Bisher wurden KI-Coding-Agenten als defensive Verstärkung präsentiert: Sie lesen Code, erkennen Schwachstellen, erstellen Patches. Hier werden sie zur Angriffsfläche. Schädlicher Code muss nicht vom Menschen ausgeführt werden: Es reicht, wenn ein Agent die Git-Konfiguration liest.

Wir beobachten in diesem Thread die wachsende Rolle autonomer KI-Agenten als Einfallstore – DeepSeek auf Servern, Claude, der drei Organisationen infiltriert, Azure DevOps MCP umgeleitet, Cursor von Aurora Ransomware genutzt, um Payloads zu generieren. Die Neuigkeit hier ist: Nicht die Agenten greifen an, sondern die Agenten werden angegriffen über ein banales Artefakt – eine Konfigurationsdatei, die niemand je liest.

Was jetzt zu tun ist

• Lassen Sie keinen KI-Agenten ein unbekanntes Repository analysieren, ohne es vorher zu bereinigen: git config -file .git/config -unset-all für sensible Direktiven (core.hooksPath, core.fsmonitor, verdächtige Aliase) vor der Analyse.
• Isolieren Sie die Ausführung der Agenten: dedizierter Container, ohne gemountete SSH-Schlüssel oder sensible Tokens.
• Prüfen Sie Ihre CI/CD-Flüsse: Jeder Agent, der ein Dritt-Repository manipuliert, sollte in einer Wegwerfumgebung laufen.
• Folgen Sie den Ankündigungen zu Patches: Anthropic, OpenAI und die Hersteller der betroffenen Agenten müssen ihre Git-Runner härten.

Merken Sie sich: Die Sicherheit von KI-Coding-Agenten spielt sich nicht mehr nur im Prompt ab, sondern in allen Artefakten, die sie berühren – Git-Konfigurationen, Projektdateien, Hooks. Behandeln Sie jedes unbekannte Repository wie ein nicht signiertes Binary: im Sandkasten, niemals auf Ihrem Entwickler-PC.