Prompt Injection in GitHub-Issue kapert Cline und installiert OpenClaw auf 4.000 Rechnern
KI-generiert mit Sora
Auf rund 4.000 Geräten wurde ohne Zustimmung der Nutzer OpenClaw installiert. Die Sicherheitsfirma grith.ai bezeichnet den Vorfall als ersten dokumentierten Angriff über die Software-Lieferkette, bei dem ein KI-Tool ein zweites KI-Tool eigenständig installiert. In der Sicherheitscommunity ist der genannte Fall als „Clinejection“ bekannt.
So funktionierte der Angriff
Cline nutzte für sein GitHub-Repository einen automatisierten Triage-Workflow. Eine GitHub Action startete bei jeder neuen Issue eine Claude-Sitzung, die das Anliegen bewerten und einordnen sollte. Der Workflow war so konfiguriert, dass jeder GitHub-Nutzer ihn auslösen konnte. Am 28. Januar erstellte ein Angreifer Issue #8904. Der Titel wirkte zunächst wie ein harmloser Performancebericht. Tatsächlich enthielt er jedoch eine versteckte Anweisung, die den Assistenten dazu brachte, ein Paket aus einem anderen GitHub-Repository zu installieren.
Claude interpretierte die Anweisung als legitimen Arbeitsauftrag und führte sie normal aus. Ein Paradebeispiel einer sogenannte Prompt Injection, bei der natürliche Sprache zur Angriffsfläche wird. Der KI-Bot verließ seine eigentliche Aufgabe und folgte den Anweisungen des Angreifers.
AnzeigeVom Issue-Titel zur kompromittierten Build-Pipeline
Der Angriff nutzte anschließend eine Schwachstelle im GitHub-Actions-Cache. Der Triage-Workflow teilte sich den Cache mit dem Nightly-Release-Workflow von Cline. Der Angreifer überschrieb den legitimen Cache mit manipuliertem Code. Als der Nightly-Build um 2 Uhr nachts den Cache wiederherstellte, lief der Schadcode mit. Die Build-Umgebung hatte Zugriff auf die Veröffentlichungs-Tokens für den VS Code Marketplace und npm.
Ein entscheidender Fehler in der Konfiguration von Cline verschärfte das Problem: Die Tokens für Nightly-Builds und Produktions-Releases waren identisch. Der Angreifer konnte dadurch eine manipulierte Version des Cline-CLI als offizielles Update auf npm veröffentlichen. Die Version cline@2.3.0 war acht Stunden lang verfügbar und wurde rund 4.000 Mal heruntergeladen. Das manipulierte Paket enthielt ein Installationsskript, das automatisch OpenClaw auf dem jeweiligen System einrichtete.
Was OpenClaw auf den betroffenen Systemen konnte
Die installierte OpenClaw-Instanz hatte laut der offiziellen Analyse von grith.ai weitreichende Fähigkeiten. Der Agent konnte Anmeldedaten aus ~/.openclaw/ auslesen und Shell-Befehle über die Gateway-API empfangen sowie ausführen. Zusätzlich registrierte er sich als Hintergrunddienst (Daemon).
Die Sicherheitsfirma Snyk ordnet den Vorfall als neuartiges Muster ein. Der Einstiegspunkt war natürliche Sprache statt Code. Der Payload war kein klassischer Schadcode, sondern ein legitimes Softwarepaket. Herkömmliche Sicherheitsscanner erkannten OpenClaw deshalb nicht als Bedrohung.
Cline reagiert, das Grundproblem bleibt
Cline hat den Workflow inzwischen überarbeitet. Das offizielle Post-Mortem von Saoud Rizwan betont: Es wurde kein Schadcode an Endnutzer ausgeliefert und keine Nutzerdaten abgegriffen. Der Angriffsvektor betrifft allerdings nicht nur Cline. Jeder, der KI-Agenten in automatisierte Build- und Release-Prozesse (CI/CD-Pipelines) einbindet, hat potenziell dieselbe Angriffsfläche. Wem die Sicherheitsrisiken von KI-Agenten mit Vollzugriff bekannt sind, erkennt das Kernproblem sofort. Natürliche Sprache lässt sich nicht zuverlässig trennen.
Brian Krebs hat den Vorfall in einem umfassenden Bericht über die Sicherheitsrisiken von KI-Assistenten eingeordnet. Er beschreibt Clinejection als Beispiel für eine neue Klasse von Angriffen, bei denen Maschinen andere Maschinen manipulieren.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
