Die Schwachstelle
Sicherheitsforscher haben eine kritische Lücke in Coding-Agenten identifiziert, die deren Sandbox-Mechanismen umgeht. Das Problem: Agenten, die automatisiert Code in bereitgestellten Repositories analysieren oder ausführen, prüfen nicht ausreichend auf Symlinks (symbolische Verknüpfungen).
Angreifer können in einem böswilligen Repository Symlinks platzieren, die auf Dateien außerhalb der vorgesehenen Sandbox-Grenzen verweisen. Wenn der Agent diese Verknüpfungen auflöst, erhält der Angreifer Zugriff auf sensible Daten wie Konfigurationsdateien, private Keys oder andere vertrauliche Informationen des Host-Systems.
Praktische Auswirkungen
Das Szenario ist nicht hypothetisch: Entwickler laden täglich tausende Repositories herunter und lassen sie von KI-Tools analysieren. GitHub Copilot, ChatGPT Code Interpreter und ähnliche Dienste könnten potenziell betroffen sein – wenn sie ein beliebiges Repository eines Users verarbeiten, ohne Symlinks korrekt zu handhaben.
Die Sandbox-Isolation soll genau solche Szenarien verhindern. Sie begrenzt normalerweise den Dateisystem-Zugriff des Agenten. Aber Symlinks umgehen diese Beschränkungen elegant: Der Agent "sieht" formal nur Dateien innerhalb der erlaubten Grenzen, wird aber beim Öffnen automatisch umgeleitet.
Technischer Hintergrund
Das Problem wurzelt in einer klassischen Sicherheitsfalle: Viele Systeme prüfen Pfade auf Erlaubtheit, bevor sie sie auflösen – nicht danach. Eine robuste Implementierung müsste den tatsächlichen Zielort nach Symlink-Auflösung prüfen (Canonical Path). Dies ist nicht trivial, wenn Agenten mit verschiedenen Dateisystemen arbeiten.
Was sollte getan werden?
Entwickler von Coding-Agenten sollten:
- Symlinks vor Zugriff auflösen und den endgültigen Pfad gegen Whitelist-Regeln prüfen
- Repository-Sandboxes verschärfen und optimal
chrootoder containerbasierte Isolation nutzen - User warnen, wenn unbekannte Repositories verarbeitet werden sollen
Für User gilt: Vorsicht beim Hochladen von Third-Party-Code zu KI-Services. Manche Plattformen könnten noch anfällig sein.
Diese Lücke zeigt ein grundsätzliches Problem: Sandboxes sind nur so sicher wie ihre Details. Symlinks sind nur ein Beispiel – ähnliche Tricks können durch Hard Links, Mount Points oder OS-spezifische Mechanismen entstehen.