Ein einziges GitHub-Issue – tausende Repos kompromittierbarKritische Schwachstelle in Anthropics Claude Code GitHub Actions
Sicherheitsforscher von GMO Flatt Security deckten eine schwerwiegende Lücke in den GitHub-Workflows von Anthropic auf: Ein präpariertes Issue hätte gereicht, um komplette Repositories zu übernehmen – inklusive Anthropic-eigener Infrastruktur. Eine neue Klasse von Supply-Chain-Angriffen ist Realität.
Was ist Claude Code GitHub Actions?
Mit der GitHub-Integration von Claude Code können Entwickler KI-Agenten direkt in ihre CI/CD-Pipelines einbinden. Die KI analysiert Pull Requests, kommentiert Code, erstellt Änderungen automatisch oder verarbeitet Issues per @claude-Mention. Das System läuft direkt in GitHub Actions und erhält dafür weitreichende Rechte im Repository.
Standardmäßig besitzt der Workflow häufig:
- ▸ Schreibzugriff auf den Quellcode
- ▸ Zugriff auf Pull Requests und Issues
- ▸ Rechte zum Bearbeiten von Workflows
- ▸ Zugriff auf Diskussionen & Dateien
- ▸ Zugriff auf Secrets und Tokens
- ▸ OIDC-Identitäten gegenüber Cloud-Diensten
Wie weit reicht ein kompromittierter Workflow?
Der Angriff: Prompt Injection über ein GitHub-Issue
Der Forscher RyotaK von GMO Flatt Security entdeckte, dass Angreifer die Rechteprüfung der GitHub Action umgehen konnten. Das Problem lag in der Behandlung von Bot-Accounts.
Die Action vertraute standardmäßig jedem Benutzer, dessen Name auf [bot] endete. Die Annahme: GitHub-Apps seien vertrauenswürdig. Das Problem: Jeder Angreifer kann selbst eine GitHub-App registrieren und damit scheinbar legitime Bot-Accounts erzeugen.
Damit konnte ein Angreifer ein präpariertes GitHub-Issue erstellen, das anschließend automatisch von Claude verarbeitet wurde.
Vom Issue zur Repo-Übernahme
Von einer Textnachricht zur Repo-Übernahme
Besonders gefährlich war die sogenannte Indirect Prompt Injection. Dabei versteckt der Angreifer manipulierte Anweisungen innerhalb normal wirkender Inhalte. Die KI interpretiert diese Inhalte dann nicht mehr nur als Text – sondern als Handlungsanweisung.
Im konkreten Fall sah das Issue wie eine Fehlermeldung oder Recovery-Anweisung aus. Claude wurde dadurch gebracht:
- ▸ Shell-Kommandos auszuführen
- ▸ Umgebungsvariablen auszulesen
- ▸ Zugriffstokens offenzulegen
- ▸ Inhalte zurück in öffentliche Kommentare zu schreiben
Der entscheidende Punkt: In GitHub Actions liegen häufig OIDC-Credentials und temporäre Tokens in den Environment-Variablen. Genau diese Daten wurden exfiltriert.
Warum OIDC-Tokens so gefährlich sind
OIDC-Tokens gelten inzwischen als moderner Ersatz für statische API-Keys in CI/CD-Systemen. Sie bestätigen gegenüber Cloud-Diensten oder APIs: „Dieser Workflow läuft gerade legitim innerhalb dieses Repositories."
Wird ein solches Token gestohlen, kann sich ein Angreifer gegenüber GitHub oder anderen Diensten als offizieller Workflow ausgeben. Im schlimmsten Fall:
- ▸ Schadcode in Repositories pushen
- ▸ Workflows manipulieren
- ▸ Secrets austauschen
- ▸ Releases kompromittieren
- ▸ Backdoors verteilen
- ▸ Cloud-Ressourcen übernehmen
Ein Repo. Tausende abhängige Projekte.
Die Action anthropics/claude-code-action wird in tausenden GitHub-Workflows referenziert – inklusive bei Anthropic selbst. Eine erfolgreiche Kompromittierung würde sich kaskadenartig über die gesamte Lieferkette ausbreiten.
Das Problem ist größer als nur Anthropic
Sicherheitsforscher betonen, dass dieses Muster bei vielen KI-Agenten auftaucht. Betroffen sind nicht nur Claude-basierte Systeme, sondern auch andere agentische GitHub-Workflows.
- ▸ KI-Agenten mit Shell-Zugriff
- ▸ Automatische PR-/Issue-Verarbeitung
- ▸ Zugriff auf Secrets
- ▸ Keine Trennung externer Eingaben
- ▸ Automatische Tool-Nutzung
Forscher identifizieren hunderte reale „Agentic Workflow Injection"-Schwachstellen in produktiven GitHub-Repositories – und tausende potenziell kompromittierbare Workflows.
Bereits echte Supply-Chain-Angriffe beobachtet
Die Gefahr ist längst nicht mehr theoretisch. Laut mehreren Berichten kam es bereits zu realen Angriffen gegen KI-gestützte GitHub-Workflows. Unter anderem wurde über kompromittierte npm-Pakete berichtet, nachdem Angreifer Prompt-Injection-Techniken gegen automatisierte Review-Systeme eingesetzt hatten.
Anthropic reagiert schnell
Anthropic reagierte laut Berichten innerhalb weniger Tage nach der Meldung und veröffentlichte mehrere Sicherheitsupdates:
- ✓ Bot-Accounts triggern Workflows nicht mehr automatisch
- ✓ Zusätzliche Validierungen bei GitHub-Apps
- ✓ Härtere Rechtekontrollen
- ✓ Schutzmaßnahmen gegen Prompt Injection
Die Fixes wurden ab Version claude-code-action v1.0.94 integriert.
Empfehlungen für Unternehmen
LLMs interpretieren Kontext probabilistisch. Sie unterscheiden nicht zuverlässig zwischen echten Arbeitsanweisungen, manipulierten Kommentaren, eingebetteten Angriffsanweisungen und „harmlos" wirkenden Texten. Sobald eine KI Zugriff auf Tools, Shells oder Tokens besitzt, wird jede Prompt Injection potenziell zu Remote Code Execution.
8-Punkte-Briefing für KI-Workflows
GITHUB_TOKEN-Permissions pro Job auf das Nötigste reduzieren (read-only wo möglich).
PRs und Issues externer Accounts in eine separate, sandboxed Pipeline routen.
Agentic-Workflows niemals direkten Zugriff auf produktive Secrets gewähren.
Vorschläge der KI vor Merge/Deploy menschlich review-pflichtig machen.
audience, sub und permitted_repositories streng begrenzen – keine *-Scopes.
Required Reviews, signierte Commits, geschützte Tags – auch für Bot-Accounts.
GitHub Actions regelmäßig auditieren, Pin auf SHA statt @v1.
Automatisches Vertrauen für *[bot]-Accounts abschalten – jeder Trigger explizit freigeben.
Fazit
Der Vorfall rund um Claude Code zeigt deutlich, wie gefährlich die Kombination aus KI-Agenten, GitHub-Automatisierung und weitreichenden Berechtigungen geworden ist. Ein einzelnes manipuliertes GitHub-Issue hätte theoretisch ausgereicht, um ganze Software-Lieferketten zu kompromittieren.
Während Unternehmen KI immer tiefer in Entwicklungsprozesse integrieren, entsteht eine völlig neue Angriffsklasse: Nicht mehr der Entwickler wird direkt angegriffen – sondern die KI, die für ihn arbeitet.
KI-Workflows sicher betreiben?
Wasacon prüft Ihre GitHub-Actions und KI-Pipelines, härtet Token-Scopes, OIDC und Branch-Protection – und richtet ein Monitoring ein, das Prompt-Injection-Versuche sichtbar macht.
Häufige Fragen
Wasacon in deiner Region
Mehr aus dem Supply-Chain-Cluster
Vertiefende Wasacon-Analysen zu Supply-Chain-Angriffen, kompromittierten Paketen und KI-Risiken in der Lieferkette.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
