Datenlöschungsbefehl eingeschleust:
Amazon KI-Coding Agent gehackt

Amazon hat eine schwerwiegende Sicherheitslücke in seiner KI-gestützten Entwicklerhilfe Q Developer Extension für Visual Studio Code geschlossen. Ein Unbekannter hatte über ein manipuliertes GitHub-Commit bösartigen Code in das Open-Source-Projekt eingeschleust.

Amazon Q Developer Extension betroffen

Betroffen war Version 1.84.0 der kostenlosen Erweiterung, die unter anderem beim Coden, Debuggen und Dokumentieren unterstützen soll. Das Tool zählt knapp eine Million Installationen über den Marketplace von Visual Studio Code, ist also recht beliebt.

Hacker schleust Löschbefehl in KI-Coding-Tool ein

Laut dem Bericht von 404 Media hatte der Angreifer, der unter dem Pseudonym lkmanka58 auftrat, am 13. Juli Code eingefügt, der eine Art "Wiper"-Anweisung enthielt - also ein Befehl, der Systeme in einen Werkszustand zurücksetzen und Dateien sowie Cloud-Ressourcen löschen sollte.


In diesem Fall war der Befehl zwar absichtlich fehlerhaft formatiert und funktionierte nicht korrekt. Es zeigt aber ein Problem mit solchen Projekten.

Die manipulierte Version wurde dann von Amazon unwissentlich am 17. Juli freigegeben. Erst am 23. Juli schlugen erste Sicherheitsexperten Alarm. Amazon reagierte schnell, entfernte den kompromittierten Code aus dem Projekt und veröffentlichte einen Tag später die bereinigte Version 1.85.0. In einer Stellungnahme erklärte Amazon:

Die Sicherheitslücke wurde identifiziert und vollständig behoben. Es gab keine Hinweise auf einen tatsächlichen Schaden bei Kundendaten.

Trotz dieser Versicherung berichten einige Nutzer, dass der schädliche Code tatsächlich ausgeführt wurde, wenn auch ohne erkennbare Folgen. Experten werten den Vorfall als ernst zu nehmenden Weckruf für die Absicherung von Open-Source-Projekten und KI-gestützten Entwickler-Tools.

Nutzer der Version 1.84.0 sollten dringend auf die aktuelle Version 1.85.0 umsteigen. Die fehlerhafte Version wurde inzwischen aus allen Verteilkanälen entfernt.

Nutzt ihr KI-Coding-Tools wie Amazon Q, GitHub Copilot oder ähnliche im Alltag? Wnn ja, wie schätzt ihr die Sicherheitslage bei Open-Source-Erweiterungen ein?


Siehe auch: