KI-Coding-Assistent entführt: Shai-Hulud verbreitet sich auf 100 Repos

Mandiant hat Details zu einem Angriff veröffentlicht, bei dem ein Eindringling eine aktive KI-Coding-Assistenten-Sitzung bei einem ungenannten Software-as-a-Service-Anbieter übernommen und später einen selbstverbreitenden Wurm namens Shai-Hulud über etwa 100 interne Code-Repositories verbreitet hat. Ein Code-Repository ist ein Speicherort, an dem Entwickler den Quellcode eines Projekts aufbewahren und verwalten. Bevor sich der Wurm verbreitete, hatte der Coding-Assistent Software empfohlen, die der Angreifer zuvor vergiftet hatte, und ein Entwickler akzeptierte diese Empfehlung. Laut Mandiant stahl der Wurm dann Repository-Geheimnisse und Quellcode für die Produkte des Unternehmens.

Die öffentliche Fallstudie, die in Mandiants Bericht vom September 2026 enthalten ist, gibt nicht an, wann der Eindringling stattfand oder wie der Angreifer zunächst die Kontrolle über die aktive Coding-Assistenten-Sitzung erlangte. Sie beschreibt jedoch die Ereigniskette nach der Annahme der bösartigen Empfehlung. Der Angreifer nutzte die bereits aktive Entwicklersitzung, um einen Infostealer zu installieren – eine Art von Malware, die sensible Daten wie Anmeldedaten sammelt –, und zwar über ein vergiftetes Paket auf PyPI, dem Python Package Index, wo Entwickler Open-Source-Python-Software herunterladen. Der Angreifer stahl auch GitHub OAuth-Token, bei denen es sich um langlebige Zugangsdaten handelt, mit denen Anwendungen im Namen eines GitHub-Kontos agieren können, ohne jedes Mal ein Passwort abzufragen.

Mit diesen gestohlenen Zugangsdaten setzte der Angreifer den Shai-Hulud-Wurm über etwa 100 interne Code-Repositories ein. Der Wurm wird als selbstverbreitend beschrieben, was bedeutet, dass er sich von einem Repository zum anderen bewegt, sobald er Zugriff hat. Darüber hinaus vergiftete der Angreifer ein Paket im offiziellen Paket-Namensraum des Unternehmens, dem Namensbereich, den die Organisation für ihre eigenen Softwareveröffentlichungen kontrolliert. Als ein anderer Mitarbeiter die kompromittierte Version abrief, verursachte diese Aktion eine zweite Infektion.

Der Vorfall passt zu einem breiteren Muster, das Mandiant dokumentiert hat. In einem Bericht vom März 2026 erklärte Mandiant, dass Angreifer im Jahr 2025 dazu übergegangen seien, generative KI hauptsächlich zur Beschleunigung routinemäßiger Arbeit zu nutzen, hin zur direkten Verwendung großer Sprachmodelle in Malware und aktiven Angriffen. Dieser neueste Fall ist ein konkretes Beispiel: Der KI-Coding-Assistent selbst wurde zum Weg, über den eine vergiftete Empfehlung in eine Entwicklungsumgebung gelangte. Ein KI-Coding-Assistent ist ein Werkzeug, das Entwicklern während der Arbeit Codeausschnitte, Bibliotheken und Korrekturen vorschlägt, oft indem es den umgebenden Code liest und Vervollständigungen oder Paketvorschläge anbietet.

Um Verteidigern zu helfen, listet Mandiant drei Kontrollen für KI-gestützte Entwicklung auf. Erstens: Überprüfen Sie jede von KI empfohlene Drittanbieter-Abhängigkeit anhand einer kryptografischen Prüfsumme, einem eindeutigen digitalen Fingerabdruck für eine Datei, und anhand einer genehmigten Allowlist vertrauenswürdiger Pakete. Zweitens: Halten Sie rohe API-Schlüssel, langlebige OAuth-Token und andere Geheimnisse aus der direkten Reichweite von Erweiterungen heraus, da Erweiterungen und Coding-Tools Dateien lesen können, die diese Zugangsdaten enthalten. Drittens: Leiten Sie den gesamten Abhängigkeitsverkehr über kontrollierte interne Repositories, anstatt jeden Entwickler Pakete direkt aus öffentlichen Quellen herunterladen zu lassen. Diese Schritte verringern die Wahrscheinlichkeit, dass ein vergiftetes Paket aus einer öffentlichen Registry ohne Prüfung akzeptiert wird.

Die Shai-Hulud-Familie ist auch in anderen jüngsten Kampagnen aufgetreten, die auf Entwicklerwerkzeuge und Zugangsdaten abzielten, obwohl Mandiant sagt, dass die verfügbaren Beweise sie nicht mit diesem ungenannten Eindringling verbinden. Im August vergiftete ein Keyv-verbundener npm-Wurm Hunderte von Paketen und pflanzte Hooks für Claude Code und Visual Studio Code ein. npm ist die wichtigste Paketregistry für JavaScript, und ein Hook ist ein kleines Stück Code, das ausgeführt wird, wenn ein Entwickler ein Tool öffnet oder verwendet. Eine spätere Analyse fand eine Shai-Hulud-Variante, die 469 Orte auf Zugangsdaten in Entwicklersystemen, CI/CD-Tools, Cloud-Konfigurationen und KI-Tool-Dateien untersuchte. CI/CD steht für Continuous Integration und Continuous Delivery, die automatisierte Pipeline, die Software baut, testet und veröffentlicht. Diese Kampagnen waren getrennt, und die Quelle verbindet sie nicht mit dem Mandiant-Fall.

Für Website-Betreiber, Geschäftsteams und IT-Mitarbeiter ist der Fall eine Warnung zur Software-Lieferkette. Selbst eine einzige akzeptierte Paketempfehlung eines Coding-Assistenten kann Repository-Geheimnisse, Quellcode und langlebige Zugriffstoken offenlegen, die es einem Wurm später ermöglichen, sich durch interne Systeme zu bewegen. Die empfohlenen Kontrollen sind praktisch: Überprüfen Sie, was ein KI-Tool vorschlägt, bevor Sie es akzeptieren, halten Sie Zugangsdaten aus Dateien heraus, die Tools lesen können, und zentralisieren Sie Paketdownloads. Für Teams, die Hilfe bei der Überprüfung dieser Zugriffs- und Abhängigkeitspfade benötigen, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsdienste an, die bei der Bewertung und Härtung derselben in diesem Bericht beschriebenen Kontrollen helfen können.