Forschungsfeld · Softwareentwicklung Agentic
Wenn Coding-Agenten mitschreiben: Code und Werkzeugkette prüfbar absichern
Coding-Agenten schreiben Code, führen Befehle im Terminal aus und binden MCP-Server und Skills ein. Die Angriffsfläche reicht damit vom generierten Code über den Harness bis zu Erweiterungen und Pipelines. Wir untersuchen, wo KI-gestützte Codeanalyse belegt hilft und wo sie selbst angreifbar wird, und übersetzen das in einen Secure SDLC, in dem das Sprachmodell berät, nicht steuert.
- Coding-Agenten & Harness
- Slopsquatting
- AI-SAST
- Exploit-Validierung
- DAST mit begrenztem LLM
- Secure SDLC
- CI/CD-Pipeline-Security
- Deep Dives
- 8
- Whitepaper
- 5
- Lösungen
- 2
Vom Assistenten zum Agenten: Die Werkzeugkette wird zur Angriffsfläche
KI erzeugt heute einen Großteil des neuen Codes – Google gibt 75 % an –, und dieser Code führt messbar häufiger Schwachstellen ein: Laut Veracode fallen 45 % der KI-Samples im Sicherheitstest durch. Zugleich wird aus dem Assistenten, der vorschlägt, ein Agent, der im Terminal installiert, MCP-Server aufruft und Skills lädt. Sprachmodelle erfinden dabei auch Paketnamen, die es nicht gibt und die Angreifer registrieren können; seit 2025 heißt das Slopsquatting.
Wie angreifbar die Werkzeugkette ist, zeigte der 29. Oktober 2026: Über den Marktplatz des Code-Editors Cursor wurde eine manipulierte Fassung der Claude-Code-Erweiterung mit SSH-Hintertür verteilt – unter der echten Kennung anthropic.claude-code. Unsere Analyse vom 31. Oktober 2026 nennt Prüfschritte und Maßnahmen. Erweiterungen laufen mit den Rechten des angemeldeten Benutzers und erreichen Quellcode, Zugangsdaten und Terminals; diese Lieferkette auf Entwicklerrechnern wird selten so streng kontrolliert wie Server oder Build-Pipelines.
Auf der Analyseseite wird das Finden zur Commodity: Google Big Sleep meldete 2025 zwanzig reale Zero-Days, die Finalisten der DARPA AI Cyber Challenge fanden im August 2025 vollautonom 86 % der eingebauten Schwachstellen. Auf wirklich ungesehenen Zero-Days scheitern selbst Frontier-Modelle aber noch, und naive LLM-Klassifikation ohne Kontext liegt kaum über dem Münzwurf. KI ergänzt die Prüfschichten, sie ersetzt sie nicht – nach diesem Grundsatz arbeiten VamiAppSec und VamiDAST.
Offene Fragen der Praxis
- 01
Wie prüft man Code, den KI-Assistenten und Coding-Agenten geschrieben haben?
Unser Ansatz
Wie menschlichen Code – mit Review, SAST, Tests und Abhängigkeitsprüfung –, aber mit Fokus auf die Klassen, in denen Assistenzcode vorhersagbar durchfällt: Autorisierung, Mandantentrennung, Fehlerbehandlung. Code-Owner erhalten dafür einen Leitfaden. Mitgeprüft werden Agenten- und Prompt-Risiken im Repository, etwa Regeldateien mit unsichtbaren Zeichen, die Menschen im Review nicht sehen, das Modell aber befolgt.
- 02
Kann ein Sprachmodell regelbasiertes SAST ersetzen?
Unser Ansatz
Nein. Regelbasiertes SAST bleibt die reproduzierbare Grundhygiene auf jedem Commit und die einzige Schicht, die als Gate im Build taugt. AI-SAST mit semantischem Reasoning setzen wir gezielt auf hochwertigen Repositories ein, etwa gegen gebrochene Autorisierung und Fehler in der Geschäftslogik. KI-Findings bekommen einen Audit-Trail und menschliche Stichproben, weil LLM-Urteile zwischen Läufen schwanken.
- 03
Wie wird aus einem Code-Befund eine belastbare Priorität?
Unser Ansatz
Über eine Beweiskette: Eine Regel oder ein Modell markiert eine Stelle, dann werden Erreichbarkeit, tatsächliche Exposition und Ausnutzbarkeit am laufenden System geprüft. Was hinter dem Pfad liegt, entscheidet über die Reihenfolge der Behebung. Deshalb vereinbaren wir SLAs nach Ausnutzbarkeit statt nach CVSS allein und übergeben bestätigte Pfade mit Reproduktionsschritten an die Code-Owner.
- 04
Wie viel Sprachmodell verträgt ein dynamischer Sicherheitstest?
Unser Ansatz
So wenig wie nötig, und nie am Steuer. In VamiDAST steuert eine deterministische Engine jeden Scan; ein LLM berät nur an genau drei begrenzten Stellen, ohne LLM arbeiten die deterministischen Detektoren weiter. Jeder Befund ist mit Payload und Antwort-Beleg belegt, Produktivsysteme werden nur im Modus Passiv oder Sicher und nur mit Autorisierung geprüft.
Was wir festhalten
- 01
Angegriffen wird der Harness, nicht das Modell
Ein Coding-Agent besteht aus Modell und Harness, von Regeldateien über Terminal und MCP-Server bis zu Skills, Geheimnissen und Netzwerk. Dokumentierte Angriffe treffen fast immer diesen Harness; die Forschungsreihe IDEsaster fand mehr als 30 Schwachstellen mit 24 CVEs in KI-IDEs. Wo Hersteller nachbesserten, geschah das nicht am Modell, sondern im Harness.
- 02
Wer den Build kompromittiert, trifft jedes ausgelieferte Artefakt
CI/CD-Pipelines bündeln Berechtigungen auf Repositories, Paket-Registries und Cloud-Umgebungen. Bei Poisoned Pipeline Execution genügt Zugriff auf das Quellcode-System, um den Build zu manipulieren. Wirksam sind isolierte Runner ohne Secrets für ungeprüften Code, CI-Konfigurationen aus geschützten Branches und kurzlebige OIDC-Credentials statt statischer Secrets.
Beleg: CI/CD-Pipeline-Security
- 03
LLM-Triage ist belegt – der KI-Analyst wird aber selbst zum Ziel
Hinter einem deterministischen Scanner senkt ein LLM-Filter Fehlalarme konsistent, auf dem OWASP Benchmark um 88,6 % bei 3,1 % Recall-Verlust. Zugleich verarbeitet das Modell Kommentare, READMEs und Issues als Eingabe: Adversariale Kommentare täuschen LLM-Detektoren in über 90 % der Fälle. Wer KI in der Codeanalyse einsetzt, macht sie damit selbst zur Angriffsfläche.
Beleg: AI-SAST
- 04
Der Auslieferungszeitpunkt entscheidet über die Wirkung von SAST
Bei Meta lag die Fix-Rate nächtlicher Batch-Scans nahe null. Als dieselbe Analyse als Kommentar in den Code-Review des Diffs wanderte, stieg sie auf über 70 % – bei gleicher Engine und gleicher Fehlalarmquote. Google lässt nur Analysen in den Review, deren effektive Fehlalarmquote unter 10 % bleibt. Befunde wirken dort, wo Entwickler ohnehin arbeiten.
Beleg: SAST
Wie wir vorgehen
Wir trennen konsequent, was deterministisch prüfbar ist, wo ein Sprachmodell berät und wo Menschen entscheiden – vom Harness des Coding-Agenten über den Pull Request bis zur laufenden Anwendung.
Harness-Analyse für Coding-Agenten
Regeldateien, Eingaben, Terminal, MCP-Server, Skills, Paketmanager, Geheimnisse, Repository und Netzwerk als Vertrauensbeziehungen erfassen und außerhalb des Modells absichern.
Drei Schichten der Codeanalyse
Regelbasiertes SAST auf jedem Commit, AI-SAST mit semantischem Reasoning auf hochwertigen Repositories, Frontier-Modell-Analyse risikobasiert und periodisch.
Exploit-Validierung
Vom Finding über Erreichbarkeit und Exposition zur Ausnutzbarkeit: Befunde werden am laufenden System bestätigt, bevor sie Prioritäten setzen.
DAST mit eng begrenztem LLM
VamiDAST: deterministische Engine, ein LLM berät an genau drei begrenzten Stellen; Tests hinter dem Login, BOLA/IDOR mit zweiter Identität, jeder Befund mit Antwort-Beleg.
Pipeline-Härtung
OWASP Top 10 CI/CD Security Risks als Prüfraster: isolierte Runner ohne Secrets für ungeprüften Code, kurzlebige OIDC-Credentials, signierte Artefakte mit Provenance nach SLSA.
Standards und Security Champions
OWASP ASVS 5.0, CWE Top 25 und NIST SSDF als Messlatte, OWASP SAMM für den Reifegrad; Security Champions verankern Sicherheitswissen in jedem Entwicklungsteam.
So starten Sie
- 1Werkzeugkette inventarisierenCoding-Agenten, Erweiterungen, MCP-Server, Paketquellen und Pipelines erfassen und Repositories nach Exposition und Datenklasse einstufen.
- 2Schichten und Gates festlegenJe Repository bestimmen, welche Analyse in welcher Kadenz läuft; Quality Gates in GitLab, GitHub oder Azure DevOps blockieren kritische Befunde.
- 3Befunde belegen und nachweisenAusnutzbarkeit am System bestätigen, Korrekturen an die Code-Owner übergeben und pro Release Nachweise für CRA, NIS2 und Kundenaudits erzeugen.
Deep Dives, Whitepaper und Analysen
Deep Dives 8
Whitepaper 5
Slopsquatting & Coding-Agenten für CISOs — die KI-Software-Lieferkette absichern
KI-gestützte Security in der CI/CD-Pipeline
CI/CD Pipeline Security: Wie Angreifer Ihre Pipeline übernehmen — und wie Sie sie zurückerobern
OWASP Top 10 CI/CD Security Risks — Praxisleitfaden mit Compliance-Crosswalk
Secure Coding in der KI-Ära: Die CWE Top 25 (2025) und Secure-by-DesignVom Feld in die Umsetzung
Verwandte Forschungsfelder
Coding-Agenten im Team – ist die Werkzeugkette abgesichert?
Wir prüfen Agenten-Rechte, Erweiterungen, Pipeline-Gates und Ihre Codeanalyse und zeigen, wo KI-gestützte Prüfung bei Ihnen den größten Hebel hat – mit nachvollziehbaren Belegen.