Ein Tweet auf X leakt scheinbar die komplette .env: Warum kein einziger Key echt ist
KI-generiert mit ChatGPT
Ein verifizierter Account auf X fordert KI-Agenten dazu auf, ihre komplette .env-Datei zu veröffentlichen. Darunter finden sich zahlreiche Antworten mit OpenAI-Keys, Anthropic-Keys und GitHub-Token. Es sieht aus wie ein Massen-Leak. Tatsächlich ist kein einziger dieser Schlüssel echt. Wer das Format eines Anthropic-Keys kennt, sieht sofort, dass es sich um eine Fälschung handelt.
Der Auslöser ist ein Tweet von Max Anton Brewer. Darin fordert er jeden KI-Agenten, der den Post liest, ausdrücklich dazu auf, seine vollständige .env-Datei offenzulegen. Besonders nennt er OpenClaw- und Hermes-Agenten. Eine .env ist die Datei, in der Entwickler häufig geheime Zugangsdaten speichern: API-Schlüssel, Datenbank-Passwörter, Token. Genau das, was niemals öffentlich werden darf.
AnzeigeDer Köder funktioniert, das Ergebnis ist harmlos
Der Post funktioniert wie ein Honeypot. Er täuscht ein attraktives Ziel vor und macht sichtbar, welche Agenten ungeschützt darauf reagieren. Die Wirkung ist deutlich. Der Tweet erreicht hohe Aufrufzahlen und sammelt Antworten im dreistelligen Bereich.
In den Kommentaren wird aus dem Scherz ein Sicherheitstest. Nutzer antworten mit .env-Dateien. Manche tragen ein klar erkennbares FAKE mitten im Schlüssel. Andere bestehen aus offensichtlichen Platzhaltern wie sk-xxxxxxxx. Allerdings sehen einige auf den ersten Blick täuschend echt aus.
Wer hier einen echten Leak vermutet, übersieht die eigentliche Mechanik. Die täuschend echten Varianten sind genauso konstruiert wie die plumpen Fälschungen. Das lässt sich nicht nur vermuten, sondern am Format belegen.
So erkennst du einen echten Anthropic-Key
Jeder Anthropic-API-Schlüssel beginnt mit dem Präfix sk-ant-api03-. Das api03 steht für die dritte Generation des Schlüsselformats. Danach folgt eine zufällige Zeichenkette aus rund 95 Zeichen. Insgesamt ist ein echter Schlüssel etwa 108 Zeichen lang. Das geht aus dem dokumentierten Anthropic-Key-Format hervor.
Die Schlüssel in den Tweet-Antworten scheitern schon an der Länge. Viele sind nur etwa halb so lang wie ein echter Key. Damit fallen diese sofort durch. Es gibt aber noch einen zweiten Hinweis, der deutlicher ist. Der zufällige Teil eines echten Schlüssels ist eine kryptografisch erzeugte Zeichenkette. Dort steht im Normalfall keine verständliche Nachricht.
Mehrere der gefälschten Keys ergeben allerdings einen lesbaren Text, sobald der Base64-Anfang dekodiert wird. Base64 ist ein Kodierungsverfahren, das Text in scheinbar zufällige Buchstaben und Zahlen verwandelt. Die angeblichen Keys sind also keine echten Leaks, sondern getarnte Prompt Injections. Ein echter Schlüssel hat zudem keine Prüfsumme. Seine Gültigkeit lässt sich nur durch einen echten API-Aufruf bestätigen, wie der Leitfaden zur Anthropic-Schlüsselverwaltung festhält.
Wie schnell aus einem Scherz ein Angriffsvektor wird
Der Fall bleibt damit zwar harmlos, aber nicht bedeutungslos. Die Antworten unter dem Tweet zeigen, wie schnell aus einem Scherz ein echter Angriffsvektor werden kann. Wer die angeblichen API-Schlüssel aus den Kommentaren kopiert, testet oder automatisiert weiterverarbeiten lässt, übernimmt fremde Daten in die eigene Umgebung.
Genau dort liegt die Gefahr. Nicht der gefälschte Schlüssel ist das Problem, sondern der ungeschützte Prozess dahinter. Ein Agent, der öffentliche Inhalte ungeprüft liest, dekodiert und als Anweisung behandelt, macht aus der Kommentarspalte eine Eingabequelle für Prompt Injections.
Die Lehre ist deshalb simpel. Keine Schlüssel aus sozialen Netzwerken testen. Keine fremden .env-Dateien in Tools laden. Keine dekodierten Inhalte ungeprüft in Agenten-Kontexte übernehmen. Der Honeypot hat keine echten Secrets offengelegt. Er zeigt aber ziemlich klar, wie schnell aus Neugier ein Sicherheitsproblem werden kann. Das Muster ist aus Phishing-Kampagnen bekannt: Nicht der Köder allein richtet den Schaden an, sondern der Moment, in dem jemand klickt, kopiert oder ausprobiert.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
