Ein OpenClaw-Agent und ein altes Problem: Warum CI/CD-Pipelines zur größten Schwachstelle werden
KI-generiert mit Sora
Ein autonomer KI-Agent hat Ende Februar 2026 sieben große Open-Source-Projekte über Schwachstellen in deren CI/CD-Pipelines angegriffen. CI/CD-Pipelines sind automatisierte Abläufe, die Code nach jeder Änderung testen und auf den Server übertragen. Das ist vergleichbar mit einem Fließband in einer Fabrik. Der Agent mit dem Namen hackerbot-claw nutzte fünf Angriffstechniken und erbeutete einen digitalen Zugangscode mit Schreibrechten auf ein gesamtes Repository. Jamieson O’Reilly ist Gründer der Sicherheitsfirma Dvuln und Security-Lead bei OpenClaw, dem quelloffenen KI-Agenten des österreichischen Entwicklers Peter Steinberger. Er hat die Kampagne in seinem Newsletter HackedIN analysiert. Seine Kernbotschaft: Das Prinzip hinter den Angriffen ist seit Jahrzehnten bekannt. Neu ist die Geschwindigkeit, mit der ein autonomer Agent es ausnutzt.
Was passiert ist
Zwischen dem 21. und 28. Februar 2026 scannte ein GitHub-Account namens hackerbot-claw systematisch öffentliche Repositories nach fehlerhaft konfigurierten GitHub-Actions-Workflows. Der Account beschreibt sich selbst als autonomer Securityanalyst-Agent, der mit Claude Opus 4.5 arbeitet. Die Infrastruktur-Domain hackmoltrepeat*com und die Namensgebung „claw“ verweisen auf das OpenClaw-Ökosystem. Die Verantwortlichen wurden bisher nicht identifiziert.
Am härtesten traf es Trivy, den meistgenutzten Open-Source-Sicherheitsscanner mit über 33.000 GitHub-Sternen und mehr als 100 Millionen Downloads pro Jahr. Trivy gehört zu Aqua Security. Der Agent stahl laut der Sicherheitsmeldung der Trivy-Maintainer einen digitalen Zugangscode. Dann löschte er alle 178 GitHub-Releases, privatisierte das Repository und veröffentlichte eine manipulierte VSCode-Extension auf dem Open-VSIX-Marktplatz. Die Maintainer haben den Zugangscode widerrufen, die Extension entfernt und den betroffenen Workflow gepatcht.
Neben Trivy waren laut der technischen Analyse von StepSecurity sechs weitere Projekte betroffen: der ai-discovery-agent von Microsoft, der datadog-iac-scanner von DataDog, das Community-Repository awesome-go mit über 140.000 Sternen, das CNCF-Projekt akri, RustPython und ambient-code.
AnzeigeWie funktionierten die Angriffe?
O’Reilly erklärt die Mechanik über ein einfaches Prinzip aus der Anwendungssicherheit: Das sogenannte Source und Sink. Eine Source ist ein Punkt, an dem Daten von außen in ein System gelangen. Ein Sink ist jeder Punkt, an dem diese Daten verarbeitet werden. Vergleichbar mit einem Kontaktformular auf einer Website (Source) und der Datenbank, die den Inhalt speichert (Sink). Wenn niemand prüft, was über das Formular reinkommt, landet auch Schadcode in der Datenbank.
In CI/CD-Pipelines sind die Sources breiter als die meisten Entwickler annehmen. Schon ein Branchname genügt als Einfallstor. Dasselbe gilt für Pull-Request-Titel, Dateinamen in Commits oder Code aus Forks. Die Sinks sind Workflow-Schritte, die diese Werte in Shell-Befehlen ausführen, ohne sie vorher zu prüfen.
Der Agent nutzte fünf verschiedene Techniken, jeweils zugeschnitten auf die Konfiguration des Ziels:
| Ziel | Was der Agent kontrollierte | Wo es ausgeführt wurde | Ergebnis |
|---|---|---|---|
| Microsoft | Ein Branchname mit eingebettetem Shell-Befehl | Shell-Kommando auf dem CI-Runner | Fremder Code auf dem Build-Server ausgeführt |
| DataDog | Base64-kodierte Befehle in Dateinamen | Shell-Schleife auf dem CI-Runner | Fremder Code auf dem Build-Server ausgeführt |
| awesome-go | Manipulierter Code in einem Änderungsvorschlag | Kompiliert und ausgeführt mit Repository-Secrets | Zugangscode gestohlen, Schreibzugriff |
| akri (CNCF) | Ein Kommentar auf einen Änderungsvorschlag | Skript-Ausführung ohne Authentifizierungsprüfung | Fremder Code auf dem Build-Server ausgeführt |
| ambient-code | Manipulierte CLAUDE.md-Konfigurationsdatei | KI-Modell als Code-Reviewer | Blockiert: Claude erkannte den Angriff |
| Trivy | Manipulierter Code in einem Änderungsvorschlag | Kompiliert und ausgeführt mit Repository-Secrets | Zugangscode gestohlen, Repo gelöscht, 178 Releases gelöscht |
| RustPython | Ein Branchname mit eingebettetem Shell-Befehl | Git-Push-Befehl | Teilweise Ausführung (Encoding-Fehler) |
Bei Microsoft enthielt der Branchname einen Shell-Befehl, der beim Interpolieren in einem Workflow automatisch ausgeführt wurde. Bei awesome-go injizierte der Agent eine init()-Funktion in ein Qualitätsprüfungs-Skript. In der Programmiersprache Go wird init() automatisch vor der eigentlichen Hauptfunktion ausgeführt. Der Schadcode lief bereits, bevor die eigentlichen Prüfungen stattfanden. Der Agent versuchte es laut StepSecurity sechs Mal über 18 Stunden und optimierte seinen Ansatz bei jedem Versuch.
Der gravierendste Fall war Trivy. Der Agent öffnete einen Änderungsvorschlag mit einer manipulierten Go-Setup-Action. Der pull_request_target-Workflow lud den Code des Forks herunter und führte ihn mit den Repository-Secrets aus. In den Workflow-Logs ist der Payload sichtbar. Ein curl-Befehl, der ein Skript von hackmoltrepeat.com nachlud und ausführte. Der Setupschritt dauerte über fünf Minuten statt der üblichen Sekunden. Bereits 19 Minuten nach dem Leak nutzte jemand die gestohlenen Zugangsdaten. Damit wurde Code direkt ins Repository geschoben, am regulären Prüfprozess vorbei.
Besonders bemerkenswert ist der Angriff auf ambient-code. Dort ersetzte der Agent die CLAUDE.md-Datei durch Social-Engineering-Anweisungen. Claude sollte die README-Datei manipulieren und die Änderungen committen. Claude erkannte den Versuch als Prompt Injection und klassifizierte diesen als Supply-Chain-Angriff. Von sieben Angriffen war das der einzige, der erkannt und gestoppt wurde.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
