Symlink-Attacken auf AI-Coding-Assistants
Die Sicherheitsexperten von Wiz haben eine kritische Sicherheitslücke in sechs weit verbreiteten AI-Coding-Assistants aufgedeckt, die als GhostApproval bekannt ist. Das Angriffsszenario ist elegant und gefährlich: Ein Angreifer kann ein Repository präparieren, das eine unschuldige Datei bearbeiten soll – die Schreiboperation wird jedoch durch Symlinks umgeleitet und modifiziert stattdessen sensitive Systemdateien.
Betroffene Tools
Follow der Forschung sind diese Assistants anfällig:
- Amazon Q Developer
- Anthropic's Claude Code
- Augment
- Cursor
- Google Antigravity
- Windsurf
Funktionsweise des Exploits
Das Prinzip basiert auf einer klassischen Symlink-Schwachstelle: Der AI-Agent fragt den Entwickler um Genehmigung, eine bestimmte Datei zu editieren. Diese Genehmigung wird gewährt – erscheint harmlos. Doch statt die angegebene Datei zu ändern, folgt der System dem Symlink und schreibt stattdessen an einen empfindlichen Ort im Dateisystem.
Damit wird Code-Execution mit den Privilegien des Entwicklers möglich. Ein gefährliches Szenario, zumal AI-Assistants beim Coden meist umfangreiche Systemzugriffe haben.
Warum ist das problematisch?
Die Vertrauenskette ist kompromittiert: Entwickler vertrauen darauf, dass ein AI-Assistent nur das tut, was sie explizit autorisieren. Symlink-Attacks unterbrechen diese Kette, indem sie Dateioperationen umlenkend. Zudem arbeiten Coding-Assistants typischerweise in Projekt-Verzeichnissen, die auch externe Dependencies enthalten können – ein idealer Ort für präparierte Repositories.
Implikationen für Entwickler
Das Risiko ist nicht rein theoretisch: Ein Angreifer muss nur dafür sorgen, dass ein Entwickler ein präpariertes Repository klont und dann der AI-Assistant zur Bearbeitung nutzt. Supply-Chain-Angriffe könnten auf diese Weise eine neue Dimension erreichen.
Was sollten Entwickler tun?
- Updates einspielen: Die betroffenen Anbieter sollten Patches bereitstellen
- Symlink-Validierung: AI-Assistants müssen prüfen, ob Zieldateien echte Dateien oder Symlinks sind
- Berechtigungen prüfen: Code-Execution sollte auf sichere Verzeichnisse beschränkt sein
- Repository-Vorsicht: Bei unbekannten oder neuen Repositories extra aufpassen
Die Entdeckung zeigt: Auch moderne AI-Tools sind nicht immun gegen klassische Unix-Sicherheitsprobleme.