Snowflake Cortex bricht aus der Sandbox aus und installiert Malware
KI-generiert mit Sora
Snowflake Cortex Code ließ sich per Prompt Injection dazu bringen, Malware herunterzuladen und die Sandbox zu umgehen. Der KI-Coding-Agent der Cloud-Datenplattform führte Schadcode ohne Zustimmung des Nutzers aus. PromptArmor meldete die Schwachstelle am 5. Februar 2026, drei Tage nach dem Release. Snowflake hat die Lücke inzwischen mit der Version 1.0.25 behoben.
Was ist passiert?
Cortex Code ist ein Kommandozeilen-Agent von Snowflake, vergleichbar mit Claude Code oder OpenAI Codex. Er hilft Entwicklern beim Schreiben von SQL und Python, hat direkten Zugriff auf Snowflake-Datenbanken und arbeitet mit einem eingebauten Sandbox-Modus. Die Sandbox ist ein abgeschirmter Bereich, der verhindern soll, dass der Agent Befehle auf dem restlichen System ausführen kann. Die Sicherheitsforscher von PromptArmor haben am 5. Februar 2026 eine Schwachstelle im Befehlsvalidierungssystem von Cortex gemeldet. Den Forschern gelang es, den Agenten über eine versteckte Anweisung in einer fremden Codebasis zu manipulieren.
Wie funktioniert der Angriff?
Der Angriff beginnt mit einer manipulierten README-Datei in einem öffentlichen Repository. Sobald Cortex Code besagte Datei öffnet, findet der Agent die versteckte Anweisung und führt diese aus. In der Praxis könnten solche versteckten Befehle auch in einem Websuchergebnis, einem Datenbank-Eintrag oder in der Antwort eines MCP-Servers stecken. MCP (Model Context Protocol) ist ein Standard, über den KI-Agenten externe Dienste und Datenquellen anbinden.
Cortex Code nutzt ein Validierungssystem, das jeden Befehl in Einzelteile zerlegt und gegen eine Liste sicherer Kommandos abgleicht. Befehle, die per Process Substitution eingebettet waren, hat das System allerdings nicht erfasst. Process Substitution ist eine Funktion der Bash-Shell. Dabei wird die Ausgabe eines Befehls als Datei an einen anderen Befehl übergeben. Ein Angreifer konnte dadurch gefährliche Kommandos wie wget oder sh in einen scheinbar harmlosen Befehl einschleusen. Die Sicherheitsprüfung zeigte keine Wirkung.
Zusätzlich konnte der Agent selbst eine Flag setzen, dass die Ausführung auch außerhalb der Sandbox erlaubt ist. Besagte Markierung ist eigentlich dafür gedacht, dass Nutzer legitime Befehle mit Netzwerkzugriff manuell freigeben. In Kombination mit der fehlenden Validierung lief der Schadcode jedoch sofort und ohne Rückfrage auf dem Rechner des Opfers.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
