Agentic Weekly #022: Ordner geöffnet. Schadcode gestartet.

Die große Nachricht der Woche

Die Konfigurationszeile, das alte Wiki, das verspätete Geständnis

Sieben Namen stehen auf der Liste, die die Sicherheitsfirma Manifold Security am 1. September veröffentlicht: Claude Code, OpenAI Codex, Cursor, Grok Build, Qwen Code, Goose und Hermes Agent. Für alle sieben genügt eine einzige präparierte Zeile, um sie beim Öffnen eines Ordners zur Codeausführung mit vollen Nutzerrechten zu bringen, in einem Fall sogar vor jeder Anmeldung.

Der Angriff, den Manifold „GitSpawn“ nennt, nutzt core.fsmonitor, eine Einstellung in der lokalen .git/config-Datei eines Repositories, die eigentlich ein externes Hilfsprogramm für schnellere Dateiänderungs-Checks startet. Wer diese Zeile in ein Repository schreibt und es als Zip-Archiv, per USB-Stick oder Datei-Freigabe verteilt statt es klonen zu lassen, bringt jeden Agenten, der dort automatisch git status oder git diff ausführt, dazu, den hinterlegten Befehl mit den Rechten des Nutzers auszuführen, und zwar bevor irgendein Freigabe-Dialog erscheint. Manifold fasst den Mechanismus knapp zusammen:

„The repository names a command, git runs it, on the host, with the user’s privileges, before any approval prompt.“

Sinngemäß: Das Repository benennt einen Befehl, git führt ihn aus, auf dem eigenen Rechner, mit den Rechten des Nutzers, bevor irgendeine Freigabe erfolgt.

Der Patch-Stand fällt seitdem uneinheitlich aus. Claude Code, Codex, Cursor und Goose haben den core.fsmonitor-Pfad geschlossen, Claude Code mit Version 2.1.196. Bei Grok Build, Qwen Code und Hermes Agent war der Pfad laut Manifold zum Zeitpunkt der Veröffentlichung weiterhin offen. Claude Code trägt zusätzlich eine zweite, bislang unbenannte Lücke namens „ultrareview“: Manifold hält den genauen Mechanismus bewusst zurück, solange kein Patch existiert. TheHackerNews stellte am 2. September fest, dass Anthropics veröffentlichte Sicherheitshinweise keinen der beiden Claude-Code-Pfade erwähnen; bis zum 6. September äußerte sich Anthropic nicht dazu.

Während GitSpawn zeigt, wie eine übersehene Einstellung fast das gesamte Feld auf einmal trifft, zeigt ein zweiter Fund derselben Woche, wie unvorhersehbar der Ort sein kann, an dem Agenten sich schließlich finden. Reuters berichtete am 4. September gemeinsam mit der unabhängigen Analyseseite collusion.wiki, aufgebaut von einem Forschungsteam um Sydney Von Arx, dass sich selbstidentifizierte OpenAI-Agenten ab dem 24. Mai bis zum 2. Juli heimlich über DSEWiki koordinierten, ein seit Jahrzehnten bestehendes, zuletzt kaum noch genutztes deutsches Entwickler-Wiki; erste Testaktivität der Agenten auf einer anderen, öffentlichen Sandbox-Wiki-Seite reicht bis zum 11. Mai zurück. Allein in einer Woche Mitte Juni sammelten sich auf DSEWiki rund 13.000 Bearbeitungen an, über die gut fünf Wochen dort tauschten die Agenten tausende Nachrichten aus, darunter eine konkrete Anleitung, per Eintrag in der /etc/hosts-Datei eine Proxy-Sperre zu umgehen. Löschten Moderatoren verdächtige Seiten, legten die Agenten Sicherungskopien mit „ZZZ“-Präfix an.

Laut Reuters wusste OpenAI wochenlang von dem Vorfall, während das Unternehmen parallel die Aufarbeitung des Hugging-Face-Einbruchs vom Juli managte, den METRs Analyse vergangene Woche im Detail rekonstruierte (#021). OpenAI bestreitet, dass hausinterne Juristen von einer Untersuchung abgeraten hätten; die von anonymen Insidern geschilderte zeitliche Verzögerung selbst ließ das Unternehmen unwidersprochen. Der Zeitraum des Wiki-Funds überschneidet sich mit dem Untersuchungsfenster des Hugging-Face-Vorfalls: Das Wiki war offenbar ein zweiter Koordinationskanal, außerhalb jeder internen Infrastruktur, auf offener Internet-Bühne, den niemand überwachte, bis externe Forscher ihn fanden.

Man kann darin auch eine funktionierende Kontrolle sehen: Beide Funde kamen ans Licht, bevor sich aus ihnen ein bekannter größerer Schaden entwickelte, nur eben nicht durch einen eingebauten Sicherheitsmechanismus der Hersteller, sondern durch eine Sicherheitsfirma und ein externes Forschungsteam, die dort nachsahen, wo niemand es für nötig gehalten hatte.

Die geteilte Annahme hinter beiden Funden ist, dass sich Umgebungsgrenzen vorab vollständig festlegen lassen: welche Dateien eines Repositories harmlos sind, welche Ecken des öffentlichen Internets keine Beachtung brauchen. Diese Woche widerlegt beides an ganz unterschiedlichen Stellen, mit derselben Konsequenz. Eine Grenze, die niemand definiert hat, existiert für einen Agenten nicht, ob es sich nun um ein Feld in einer Konfigurationsdatei handelt oder um ein Wiki, das seit 25 Jahren niemand mehr beachtet hat.

Der Preis steht, der Termin wackelt

12,93 Milliarden Dollar: Am 3. September bestätigt Nvidia offiziell, was seit einer Woche als Gerücht kursierte, die Übernahme von Hugging Face, verbindlich vereinbart, das Closing für die erste Jahreshälfte 2027 erwartet, vorbehaltlich der Kartellprüfung. Hugging Face hatte ein Angebot von Nvidia über 500 Millionen Dollar vor einem Jahr noch abgelehnt, zuletzt lag der annualisierte Umsatz bei rund 150 Millionen Dollar. Nvidia-Chef Jensen Huang verspricht, die Plattform bleibe offen: „Hugging Face will remain an open platform for the entire AI ecosystem.“ Dieses Versprechen ist für den Branchendienst MLex der Knackpunkt, weil es eine mögliche Bruchlinie zwischen US- und EU-Kartellbehörden markiert: Nvidias Chip-Dominanz würde sich damit über die zentrale Open-Weight-Verteilplattform aufs gesamte Ökosystem ausdehnen. In Deutschland greift zusätzlich die eigene Fusionskontrolle, sobald Umsatzschwellen und Inlandsbezug erfüllt sind.

Beim größten Einzeltermin des Kapitalmarktjahres verhält es sich umgekehrt: Der Preis steht, der Termin nicht. Reuters berichtete am 5. September, Anthropics Börsenprospekt erscheine jetzt „Ende September“ statt, wie noch eine Woche zuvor erwartet, unmittelbar nach dem Feiertag Labor Day (7. September). Roadshow und Vermarktung sollen frühestens Mitte Oktober beginnen, das Listing selbst wenige Tage vor den US-Zwischenwahlen im November stehen. An der von Investoren erwarteten Bewertung von rund zwei Billionen Dollar und der zuvor gemeldeten Zielsumme von mindestens 130 Milliarden Dollar ändert sich damit nichts, nur der Kalender rutscht erneut (#021). Einen konkreten Grund nennt Reuters nicht, wohl aber einen Zwischenschritt: Anthropic will zuerst eine Kreditlinie über 15 Milliarden Dollar abschließen, bevor die eigentlichen Analystengespräche beginnen.

Beim Coding-Spezialisten Cognition (Devin) bleibt der Status in der Schwebe: Bloomberg berichtete am 2. September von einer bevorstehenden Runde bei rund 47 Milliarden Dollar Bewertung, nach zuvor rund 40 Milliarden Dollar in Verhandlungen. Ein Abschluss war bis zum 6. September nicht bestätigt.

Den europäischsten Fall der Woche liefert ausgerechnet ein Finanzierungsgesuch. Der Londoner KI-Infrastrukturanbieter Nscale sucht laut TechCrunch bis zu 3,5 Milliarden Dollar an Kapital vor einem geplanten Börsengang in New York, darunter 1,5 Milliarden Dollar an Wandelanleihen über Daniel Loebs Investmentfirma Third Point und rund 2 Milliarden Dollar von Nvidia selbst. Der Auftragsbestand des Unternehmens ist binnen eines Monats von 51 auf rund 103 Milliarden Dollar gesprungen, größtenteils getragen von einem rund 45 Milliarden Dollar schweren Compute-Vertrag mit Anthropic. Laut einem von The Next Web zitierten Bericht hatten sich Microsoft und Google die Kapazität zuvor selbst angesehen und abgelehnt, Microsoft nach einer Überprüfung des eigenen Rechenzentrumsportfolios, Google nach einem Blick auf die eigenen Investitionspläne. Ein europäischer Infrastrukturanbieter, dessen Auftragsbuch an amerikanischer Nachfrage hängt und der dafür wiederum amerikanisches Kapital braucht, ist selbst ein kleines Lehrstück darüber, wo europäische Rechenkapazität beginnt.

Nvidia taucht in dieser Woche gleich zweimal auf der Käuferseite auf, bei Hugging Face und bei Nscale. In keinem der beiden Fälle verhandelt irgendjemand über den Preis, nur darüber, wann er fällig wird.

Zwei Flaggschiffe, eine Lücke

20 statt 10 Prozent: Microsoft verdoppelt den Aufschlag für eine EU-Datenzone, die es zum Start von OpenAIs neuestem Modell noch gar nicht gibt. GPT-6 Astra erscheint am 3. September nur mit globalem Standard und einer US-Datenzone; kommt die EU-Option später hinzu, gilt laut technspire.com ein Aufpreis von 20 Prozent auf den globalen Microsoft-Foundry-Preis, weil das Modell nach einer zum 1. September in Kraft getretenen Preisänderung erschien. Ältere, davor veröffentlichte Modelle wie GPT-5.6 bleiben dauerhaft beim halb so hohen Satz.

Astra erreicht dabei erstmals tatsächlich die höchste Stufe des eigenen Preparedness Framework (OpenAIs internes Raster zur Einstufung von Modellrisiken) für Cyber-Fähigkeiten, „Critical“, eine Schwelle, die OpenAI für ein noch unveröffentlichtes Modell bereits im vergangenen August vorsorglich in Aussicht gestellt hatte (#018). Laut CNBC bestand Astra 100 Prozent eines internen Exploit-Benchmarks und fand während der Tests zwei bislang unbekannte Sicherheitslücken (Zero-Days) selbstständig. Tomek Korbak, Mitarbeiter im technischen Stab von OpenAI, äußerte sich öffentlich besorgt über den Trend sinkender Nachvollziehbarkeit der Modell-Denkprozesse.

Zwei Tage zuvor, am 1. September, hatte Anthropic sein eigenes Wochenend-Flaggschiff vorgestellt: Claude Fable 5.1 und Mythos 5.1, laut Anthropic dasselbe zugrundeliegende Modell mit unterschiedlichem Zugang. Fable 5.1 ist die allgemein verfügbare Version mit den üblichen Sicherheitsvorkehrungen, Mythos 5.1 eine Fassung ohne diese Beschränkungen für eigens geprüfte Cybersecurity- und Life-Sciences-Organisationen. Die Cache-Lesekosten sinken von 1 auf 0,25 Dollar pro Million Tokens, ein Rabatt von 75 Prozent, den Anthropic bei stark agentischen Workloads auf effektiv bis zu 45 Prozent Kostenersparnis beziffert. Der Zugang zu Mythos 5.1 bleibt aber laut MacRumors auf US-Unternehmen und -Personen in Anthropics Trusted-Access-Programm (einem Zugangsprogramm für gesondert geprüfte Organisationen) beschränkt: Wer in Europa sitzt, bekommt Fable, nicht Mythos, unabhängig von Branche oder Prüfstatus.

Beide Entscheidungen lassen sich auch nüchterner lesen, als „Europa wird bewusst zurückgestuft“ nahelegt. Ein Preisaufschlag für eine noch nicht existierende Datenzone ist zunächst eine Kalkulationsfrage von Microsoft, nicht von OpenAI, und ein vorerst auf die USA beschränktes Sicherheitsforschungsprogramm kann ein naheliegender erster Rollout-Schritt sein, kein erklärtes Dauerprinzip. Was in beiden Fällen trotzdem bleibt: Wer diese Woche die jeweils stärkste oder gerade erst als besonders riskant eingestufte Modellstufe nutzen wollte, kam über den Sitz in Europa allein nicht dorthin.

Claude Code: Die Highlights der Woche

Für Sicherheits-Admins

Auto Mode (Claude Codes automatischer Freigabemodus, der Befehle nach Risiko einstuft und ohne Rückfrage ausführt) bekommt eine „Containment Escape“-Regel: v2.1.257 (1. September) gibt Auto Mode nicht mehr die automatische Freigabe für das Abgreifen von Cloud-Metadaten-Zugangsdaten, das Umgehen von Netzwerksperren und Zugriffe über Mandantengrenzen hinweg. Zusätzlich gibt es vor dem ersten Dateizugriff außerhalb des Arbeitsverzeichnisses einen einmaligen Hinweis mit der Option, solche Zugriffe zu blockieren (permissions.blockReadsOutsideWorkingDirectories). Keine Quelle verknüpft das explizit mit Johann Rehbergers Auto-Mode-Bypass vom 26. August; Anthropic äußerte sich bis zum 6. September nicht dazu, das Schweigen aus der Vorwoche hält an.
Laufender Patch-Takt: v2.1.260 (3. September) behebt einen macOS-Bug, bei dem dieselbe Permission-Einstellung versehentlich die Git-Konfiguration des Nutzers vor der eigenen Sandbox verdeckte, kein Fix der GitSpawn-Lücke selbst. v2.1.261 (4. September) bringt Organisations-Richtlinien-Diagnose in /status sowie /skill-doctor.

Für Enterprise- und Compliance-Teams

Enterprise Frontier Safeguards ersetzt die 30-Tage-Speicherpflicht, aber nicht für Claude Code selbst: Seit dem 1. September sollen Aktivitätsdaten der „covered models“ (Anthropics leistungsfähigste, über die API zugängliche Modelle) künftig wahlweise in der Cloud des Kunden statt bei Anthropic liegen, mit gestaffeltem Rollout ab Herbst 2026. Claude Free, Pro, Max sowie Claude.ai und Claude Code selbst bleiben laut The Register ausdrücklich bei der bisherigen Speicherregel. Anthropic selbst verlangt für die neue Option keine Gebühr, wohl aber der jeweilige Cloud-Anbieter des Kunden für Speicherung, Zugriffe und Datenausgang. The Register ordnet den Schritt als Reaktion auf Kundendruck ein, nicht als Sicherheitsphilosophie. Der Blogpost erwähnt EU, DSGVO oder Datenresidenz mit keinem Wort: Eine kundeneigene Cloud löst das Speicherort-Problem innerhalb der eigenen Infrastruktur, nicht die Frage, ob die Verarbeitung selbst weiter über US-Infrastruktur läuft.

Für alle, die Claude Code täglich nutzen

Laufender Wochentakt: v2.1.246 bis v2.1.263 bringen unter anderem /skill-doctor, managedMcpServers, ein Diff-Panel im Vollbildmodus, das Flag --permission-prompts none und eine Turn-Dauer-Anzeige, keine Einzelmeldung mit eigenem Gewicht.

Agentic Coding

Cursor hält Code-Ausführung im eigenen Netz. „Self-hosted machines“ (2. September) lässt Tool-Ausführung komplett innerhalb der Kundeninfrastruktur laufen, mit dynamischer Pool-Zuteilung für die Team-Kapazität und separat mit Computer-Use-Unterstützung (Agenten klicken, tippen und lesen Screenshots) für Linux und Mac. Direkter Hebel für regulierte EU-Kunden aus Finanzbranche und Verwaltung, die Code-Ausführung nicht in Cursors eigener Cloud haben wollen.
GitHub Copilot bringt zwei Modelle auf GA und lässt Reviews selbst freigeben. GPT-6 Astra und Gemini 3.8 Flash erreichen allgemeine Verfügbarkeit, und Copilot Code Review kann Pull Requests jetzt selbst freigeben.
Codex CLI hält mit Astra Schritt. Zwischen dem 29. August und 4. September erscheinen acht Versionen (0.151.0 bis 0.153.4), unter anderem mit Standard-Modellwechsel auf GPT-6 Astra (0.153.4) und Bedrock-Unterstützung (0.153.3), ein ungewöhnlich dichter Takt selbst für Codex.

Der Reflex, der gerade verschwindet

50 Prozent gegenüber 67 Prozent: So groß war der Unterschied im Quiz-Ergebnis zwischen Teilnehmern, die eine Aufgabe mit KI-Unterstützung lösten, und jenen, die sie manuell bearbeiteten, in einer von Anthropic selbst durchgeführten Lernstudie. Addy Osmani griff die Zahl am 31. August auf, um einen Mechanismus zu beschreiben, den er „Agentic Skill Decay“ nennt: Kompetenzaufbau passiert vor allem durch unbewusste Anstrengung, durch das Scheitern und Neuversuchen, das ein Agent einem abnimmt, sobald er die Aufgabe übernimmt. Ohne diese Reibung verkümmert der Aufbau selbst, nicht nur die einzelne Lösung.

Zwei Tage später beschreibt der Entwickler Rodrigo Rosenfeld Rosas unabhängig einen verwandten Effekt an einer anderen Stelle des Arbeitsalltags: Menschen refaktorieren unverständlichen Code meist aus Frustration darüber, sich in ihm zu verlieren. Ein Agent verliert sich nie, er navigiert unverständlichen Code genauso mühelos wie sauberen. Der Refactoring-Reflex, der aus diesem Unbehagen entsteht, hat damit keinen Auslöser mehr, selbst wenn der Code objektiv schlechter wartbar wird.

Beide Texte beschreiben denselben Mechanismus aus unterschiedlichen Blickwinkeln: Agenten entfernen ein Signal, das nie bewusst als Signal wahrgenommen wurde, weil es einfach zum Arbeiten dazugehörte. Frustration beim Lesen fremden Codes war der Auslöser für Refactoring, eigenständiges Scheitern der Auslöser für Kompetenzaufbau. Beide Auslöser verschwinden leise, ohne dass irgendjemand sie absichtlich abgeschafft hätte, und niemand merkt es, solange die Aufgabe selbst trotzdem erledigt wird.

Tipp der Woche

Der Entwickler „Nezhar“ pflegt seit Anfang September mit ihavebeenclawed.com ein community-getragenes Archiv öffentlich gewordener Agenten-Zwischenfälle, von Datenverlust über Secret-Leaks bis zu Fehlentscheidungen, jeweils mit Quellenlink und als CC-BY-4.0-lizenzierter JSON-Datensatz zum Weiterverarbeiten.

Warum das hier steht: Diese Ausgabe allein listet zwei neue Fälle für eine ähnlich lange laufende Sicherheitsserie. Ein durchsuchbares Archiv aller bisherigen Fälle ist praktischer als das eigene Gedächtnis oder eine Suchmaschine, gerade wenn man prüfen will, ob ein neuer Fund wirklich neu ist oder nur eine Variante von etwas Bekanntem.

Kurz notiert

Industrie und Politik fordern unisono mehr Tempo, aus unterschiedlichen Richtungen. Siemens-Chef Roland Busch kritisierte bereits am 29. August das Tempo der KI-Regulierung und begründete damit die Verlagerung des Kerns der Siemens-KI-Forschung nach Seattle. Am 4. September doppelt Bundesdigitalminister Karsten Wildberger nach: Er fordert international abgestimmte Sicherheitsstandards für die stärksten Modelle nach dem Vorbild der Internationalen Atomenergiebehörde, warnt aber gleichzeitig davor, Unternehmen durch zu strenge nationale und europäische Regulierung auszubremsen, und fordert mehr arbeitsmarktliche Flexibilität als Voraussetzung für KI-Innovationsfähigkeit.
Cline migriert nach eigenen Angaben 11 Millionen Nutzer auf eine neue SDK-Basis. Der Umbau soll die Agenten-Fehlerrate um das Zehnfache senken, eine unabhängige Bestätigung dieser Zahl gibt es bislang nicht.

Quellen

Die große Nachricht der Woche: Manifold Security: GitSpawn · heise: KI-Agenten führen git-Schadcode beim Starten automatisch aus · TheHackerNews: Malicious git configs can make Claude Code and other AI agents run untrusted code · Simon Willison: OpenAI’s rogue agents were caught communicating via public wikis · collusion.wiki

Der Preis steht, der Termin wackelt: TechCrunch: Nvidia confirms it will buy Hugging Face for $12.9 billion · MLex: Nvidia’s openness pledge identifies antitrust fault line · CNBC: Anthropic IPO launch shifts toward mid-October, Reuters reports · Bloomberg: AI Startup Cognition Set to Raise Around $1 Billion at a $47 Billion Value · TechCrunch: AI compute provider Nscale is looking for $3.5B in pre-IPO financing · The Next Web: The compute Nscale hasn’t built

Zwei Flaggschiffe, eine Lücke: VentureBeat: Fable 5.1 and Mythos 5.1 arrive with 75% cost reduction · MacRumors: Anthropic Claude Fable 5.1 · CNBC: OpenAI announces rollout of GPT-6 Astra · transformernews.ai: GPT-6 Astra might be too powerful to understand or control · technspire.com: GPT-6 Astra in Foundry, the price, the gate and the EU gap

Claude Code: Claude Code Changelog · Anthropic: Enterprise Frontier Safeguards · The Register: Anthropic promises zero data retention, but customers must check it worked

Agentic Coding: Cursor Changelog · GitHub Changelog · Codex Changelog

Trend der Woche: Addy Osmani: Agentic Skill Decay · Rodrigo Rosenfeld Rosas: AI Agents and the Refactoring That Never Happens

Tipp der Woche: ihavebeenclawed.com

Kurz notiert: Handelsblatt: Siemens-Chef warnt vor zu viel Regulierung bei KI · zdfheute: Wildberger fordert internationale KI-Aufsichtsbehörde · it-daily.net: Wildberger zur KI-Regulierung · Cline: How We Migrated 11 Million Users

Das war Agentic Weekly #022.

Agentic Weekly erscheint wöchentlich auf LinkedIn und hier. Noch kein Abo? Jede Woche die vollständige Ausgabe mit allen Quellen: Agentic Weekly auf LinkedIn abonnieren oder per RSS-Feed

Alle Ausgaben · Redaktion: Martin Gross