Die ASSET Research Group hat mit GhostSplice eine Angriffstechnik veröffentlicht, die KI-Coding-Assistenten über bösartige MCP-Server zum heimlichen Diebstahl von SSH-Schlüsseln und Quellcode bringt. Bei elf getesteten Sprachmodellen stieg die Erfolgsquote im Schnitt von 42 auf 82 Prozent, sobald Angreifer den schädlichen Befehl in mehrere harmlos wirkende Teile zerlegten.
MCP-Server verteilt den Befehl auf drei Kanäle
Der Angriff nutzt das Model Context Protocol (MCP), einen offenen Standard, über den KI-Assistenten wie Cursor, GitHub Copilot oder Claude Code externe Werkzeuge ansprechen. Ein präparierter MCP-Server verteilt die schädliche Anweisung auf mehrere Kanäle, die der Agent im selben Arbeitskontext ohnehin als vertrauenswürdig behandelt. In einem dokumentierten Beispiel bietet ein Werkzeug namens integrity_checker vier gleichförmige, leere Formularfelder an, ein zweites Werkzeug listet vorhandene Dateien auf, ein drittes weist den Agenten an, deren Inhalt in die Formularfelder einzutragen. Keines der drei Fragmente enthält für sich genommen eine erkennbare schädliche Aufforderung. Erst wenn der Agent sie im laufenden Gespräch zusammenfügt, entsteht die vollständige Anweisung, Dateien wie den privaten SSH-Schlüssel .ssh/id_rsa oder eine Kundendatei customers.csv preiszugeben. Die Forscher bezeichnen die Methode als Cross-Channel-Fragmentierung, weil sie gezielt die Grenze zwischen einzelnen Werkzeugaufrufen ausnutzt, die viele Sicherheitsfilter separat statt im Zusammenhang prüfen. Ein direkt formulierter Diebstahlbefehl an denselben Agenten schlägt in aller Regel fehl, weil Sicherheitsfilter ihn als Ganzes erkennen und blockieren. Den Programmcode zur Angriffssimulation hat die Gruppe als Open-Source-Repository veröffentlicht.
Elf Modelle zeigen sehr unterschiedliche Anfälligkeit
Die ASSET Research Group testete den Angriff über die Programmierschnittstellen von elf Sprachmodellen und zusätzlich in echten Coding-Umgebungen wie Cursor. GPT-4o, Google Gemini 2.0 Flash und Metas Llama 3.3 70B verweigerten den direkten Befehl vollständig, folgten der aufgeteilten Version jedoch in praktisch jedem Test. Anthropics Claude Sonnet 4.6 und Opus 4.6 blieben in allen zwanzig geprüften Varianten bei null Prozent Befolgung und erwiesen sich damit als widerstandsfähiger gegen die schrittweise Zusammensetzung. Das kleinere Modell Claude Haiku 4.5 folgte der Anweisung über die reine API zwar nie, gab die Daten jedoch in jedem Test preis, sobald es innerhalb von Cursor lief. Auch OpenAIs GPT-5.4 zeigte diesen Unterschied: Unter Cursor erreichte der Angriff eine Erfolgsquote von 90 Prozent, hinter der Sicherheitsschicht von Claude Code hingegen 0 Prozent. Die Angaben stammen ausschließlich aus dem Disclosure der Forschungsgruppe selbst und sind unabhängig nicht verifiziert. Die Ergebnisse legen nahe, dass nicht allein das Modell, sondern vor allem die Schutzvorkehrungen der jeweiligen Entwicklungsumgebung über die Anfälligkeit entscheiden.
Datenlecks über KI-Werkzeuge häufen sich in Unternehmen
GhostSplice reiht sich in eine wachsende Zahl von MCP-Schwachstellen ein, die 2026 öffentlich wurden. Der Sicherheitsanbieter Netskope dokumentierte bereits, dass sich KI-bedingte Datenlecks in Unternehmen binnen eines Jahres verdoppelt haben – als Haupttreiber nannte der Report ausdrücklich die schnelle Verbreitung von MCP-Anbindungen. Erst im Juni hatte die quelloffene Agenten-Plattform Ruflo eine kritische Sicherheitslücke geschlossen, über die ein einzelner ungeschützter Netzwerkaufruf genügte, um Zugangsschlüssel zu stehlen und das Agenten-Gedächtnis zu manipulieren. Die ASSET Research Group betont, für ihre Tests keine echten Geheimnisse verwendet und die betroffenen Anbieter vor der Veröffentlichung informiert zu haben. Als Gegenmaßnahme empfehlen die Forscher, Ausgaben von MCP-Servern konsequent als Daten statt als Anweisungen zu behandeln, Werkzeugargumente streng zu typisieren und Werte aus einem Werkzeugergebnis nicht ungeprüft in den nächsten Aufruf einfließen zu lassen. Die MCP-Spezifikation selbst verlangt bereits, dass Nutzer einzelne Werkzeugaufrufe ablehnen können und Angaben nicht vertrauenswürdiger Server grundsätzlich als ungeprüft gelten – in der Praxis setzen bislang aber nur wenige Clients diese Vorgabe konsequent um.
Offen bleibt, wie schnell Anbieter wie Cursor, GitHub und Anthropic ihre client-seitigen Schutzmechanismen nachziehen – denn die Tests zeigen, dass dieselbe Sicherheitslücke je nach Entwicklungsumgebung komplett verschwinden oder sich voll entfalten kann. Für Teams, die MCP-Server Dritter einbinden, wird die Herkunft und Prüfung dieser Server damit zu einer ebenso wichtigen Sicherheitsfrage wie die Wahl des KI-Modells selbst.
