Das Start-up Tenet Security hat auf der Hacker-Konferenz DEF CON in Las Vegas eine neue Angriffstechnik gegen KI-Coding-Agenten vorgestellt. GhostJacking schleust Schadbefehle über eigentlich vertrauenswürdige Protokolldaten von Diensten wie Cloudflare, Datadog und Sentry ein. Bei Tests gegen Claude Code hatte der Angriff eine Erfolgsquote von neun von zehn Versuchen.
Firewall blockt Anfrage, KI vertraut dem Protokoll trotzdem
GhostJacking setzt nicht an einer Software-Schwachstelle an, sondern an einem strukturellen Muster: KI-Agenten, die in derselben Sitzung sowohl Protokolldaten lesen als auch Befehle ausführen dürfen. Firewalls blockieren bösartige Anfragen zuverlässig, protokollieren den abgewehrten Versuch aber wortgetreu und ohne Vertrauensmarkierung. Fragt ein Entwickler die KI später nach der Ursache eines Vorfalls, liest der Agent genau diesen Log-Eintrag und behandelt die enthaltenen Anweisungen wie einen legitimen Auftrag. Für klassische Sicherheitswerkzeuge sieht der gesamte Vorgang aus wie normale Systemarbeit, weil kein einziger Schritt eine verbotene Aktion ausführt. Nach Angaben von Tenet Security schlug dabei in keinem einzigen Testfall ein herkömmliches Sicherheitswerkzeug an: Weder Endpoint-Schutz noch Web Application Firewalls oder Identitäts- und Zugriffsmanagement-Systeme registrierten die Übernahme. Das israelische Start-up stellte die Technik am 9. August 2026 auf der Hackerkonferenz DEF CON vor. Ein ähnliches Muster hatte zuvor bereits die Angriffstechnik GhostSplice offengelegt, bei der präparierte MCP-Server KI-Coding-Assistenten zur Preisgabe von Zugangsdaten brachten – GhostJacking verlagert den Einstiegspunkt jedoch von Werkzeugaufrufen auf gewöhnliche Beobachtungs- und Protokolldienste.
Angriff auf Claude Code gelingt in neun von zehn Versuchen
Im zentralen Testszenario ließ Tenet Security den Angriff gegen Claude Code laufen, konfiguriert nach der von Cloudflare empfohlenen Standardeinrichtung. Die Erfolgsquote lag bei neun von zehn Versuchen, obwohl jede einzelne bösartige Anfrage zuvor korrekt abgewiesen worden war. Die vollständige Angriffskette reicht laut den Forschenden vom Entwickler-Laptop bis in die Kerninfrastruktur eines Unternehmens: Über kompromittierte Logs verschaffen sich Angreifer zunächst Zugriff, weiten ihn anschließend auf verbundene Systeme aus und bewegen sich sogar zwischen mehreren KI-Agenten seitwärts. Dabei nutzten die Forschenden das Analyse-Werkzeug Seer aus Sentrys eigenem KI-Angebot als Sprungbrett: Ein Coding-Agent übernahm dessen Ausgabe ungeprüft als vertrauenswürdig, obwohl die zugrunde liegenden Ereignisdaten selbst manipuliert waren. Im Zuge der Recherche entdeckte Tenet Security zudem eine Schwachstelle in der JWT-Validierung von Claude Desktop, über die sich die Sandbox der Anwendung umgehen ließ. Anthropic habe die Lücke geprüft, bestätigt und noch vor Veröffentlichung der Forschungsergebnisse geschlossen, so das Start-up.
Mehr als 15.000 Unternehmen weltweit potenziell betroffen
Verwundbar sind nicht die drei genannten Anbieter selbst, sondern deren enorme Verbreitung als Datenquelle für KI-Agenten. Cloudflare wickelt nach eigenen Angaben rund ein Fünftel des weltweiten Web-Traffics ab, Datadog zählt fast die Hälfte der Fortune-500-Unternehmen zu seinen Kunden, und rund vier Millionen Entwicklerinnen und Entwickler nutzen Sentry zur Fehlerverfolgung. Tenet Security meldete die zugrunde liegenden Schwachstellen in den Protokollformaten am 17. Juni 2026 an Datadog und am 13. Juli 2026 an Sentry, öffentliche Reaktionen der beiden Anbieter liegen bislang nicht vor. Das Start-up gibt an, mehr als 2.700 Organisationen mit bestätigt verwundbaren Konfigurationen identifiziert zu haben, darunter ein Fortune-500-Technologiekonzern und ein Labor aus der KI-Forschung. Die geschätzte Gesamtzahl gefährdeter Unternehmen liegt laut Tenet Security bei über 15.000 – eine Zahl, die unabhängig nicht verifiziert ist. Wer mit Claude Code, Gemini CLI oder ähnlichen Agenten arbeitet und dabei Cloudflare-, Datadog- oder Sentry-Protokolle einbindet, sollte Anfragen an diese Dienste laut den Forschenden vorerst als grundsätzlich nicht vertrauenswürdig behandeln, unabhängig davon, ob eine Firewall sie zuvor blockiert hat.
Offen bleibt, ob Cloudflare, Datadog und Sentry ihre Protokollformate um verbindliche Vertrauens-Markierungen erweitern, bevor die Technik außerhalb kontrollierter Testumgebungen auftaucht. GhostJacking reiht sich neben der Zero-Klick-Lücke PleaseFix in KI-Browsern in eine wachsende Liste ähnlich gelagerter Fälle ein und zeigt: Unternehmen, die KI-Agenten produktiv einsetzen, brauchen eigene Regeln dafür, welchen Datenquellen ihre Agenten überhaupt vertrauen dürfen.
