KI-Coding-Agents als neues Einfallstor: Der Miasma-Angriff auf Microsoft GitHub
Wer in den letzten Wochen mit einem KI-Coding-Assistenten an einem Projekt gearbeitet hat – Cursor, VS Code, Claude Code oder Gemini CLI – sollte jetzt genau hinhören. Ein Angreifer hat es zweimal in Folge geschafft, offizielle Microsoft-Repositories auf GitHub mit einem selbstreproduzierenden Credential-Stealer zu verseuchen.
Das Erschreckende: Die infizierten Pakete trugen gültige kryptografische Signaturen. Herkömmliche Scanner haben sie durchgewunken.
Was ist passiert?
Ende Mai 2026 dokumentierte das Sicherheitsunternehmen StepSecurity den ersten Angriff: Microsofts durabletask Python SDK auf PyPI – ein Framework für fehlertolerante Workflows mit 400.000 Downloads pro Monat – wurde mit Schadcode verseucht.
Wenige Wochen später, Anfang Juni 2026, passierte es erneut. Dieselbe Angreifergruppe, dieselbe Methode, derselbe kompromittierte Microsoft-GitHub-Account. Diesmal traf es 73 Pakete gleichzeitig.
GitHub hat die Pakete still gesperrt – mit dem nichtssagenden Hinweis „Verstoß gegen die Nutzungsbedingungen“. Keine Warnung. Kein Hinweis auf mögliche Kompromittierung. Erst Tage später räumte Microsoft in einer kurzen E-Mail ein, dass „potenziell schädlicher Content“ untersucht wird.
Wie funktioniert der Angriff technisch?
Die eingesetzte Malware heißt Miasma und stammt vom Bedrohungsakteur TeamPCP – basierend auf deren öffentlich verfügbaren Mini-Shai-Hulud-Toolkit.
Das Besondere an diesem Angriff: Er missbraucht keine Sicherheitslücke in GitHub oder npm. Er missbraucht Vertrauen.
Der Ablauf:
- Angreifer erlangen Microsoft-Credentials für das Paket-Veröffentlichungskonto
- Ein manipulierter Build wird eingespielt – mit gültigem SLSA-Provenance-Zertifikat
- Das Paket sieht für automatisierte Scanner aus wie ein normales, vertrauenswürdiges Update
- Öffnet ein Entwickler das Paket in einem KI-Coding-Agent → Malware wird sofort aktiv
Was stiehlt Miasma?
- AWS, Azure und GCP Credentials
- Kubernetes-Konfigurationen
- Password-Manager-Daten
- Konfigurationen von über 90 Entwicklertools
- OIDC-Tokens aus der CI/CD-Pipeline
Besonders gefährlich: Die Malware breitet sich anschließend lateral in Cloud-Infrastrukturen aus und infiziert weitere Entwicklermaschinen.
Warum versagen klassische Sicherheitstools?
Miasma generiert für jede Infektion einen individuell verschlüsselten Payload. Hash-basierte Erkennungssysteme (IOCs) sind damit wertlos – jede Datei hat eine andere Signatur.
Warum sind KI-Coding-Agents das Problem?
Frühere Malware dieser Art wartete, bis der Code manuell ausgeführt wurde. Miasma ist anders: Der Stealer startet automatisch, sobald ein KI-Agent das Paket lädt – also bevor der Entwickler überhaupt eine einzige Zeile Code gesehen hat.
Betroffen sind unter anderem:
- Cursor
- VS Code (mit Copilot oder anderen AI-Extensions)
- Claude Code
- Gemini CLI
KI-Coding-Agents lesen, analysieren und führen Paketinhalte mit weitreichenden Berechtigungen aus. Was für Produktivität sorgt, wird zum Risiko, sobald ein Paket kompromittiert ist.
Was bedeutet das für Unternehmen?
Supply-Chain-Angriffe sind keine Einzelfälle mehr. Sie sind Methode. Und sie treffen nicht nur große Tech-Konzerne – sie treffen jeden, der Software entwickelt, externe Bibliotheken nutzt oder KI-Tools im Entwicklungsprozess einsetzt.
Konkret: Wer in den letzten Wochen mit einem der genannten KI-Coding-Agents an Projekten gearbeitet hat, die Microsoft-Pakete einbinden, muss davon ausgehen, dass Cloud-Credentials kompromittiert sein könnten.
Sofortmaßnahmen:
- Alle Cloud-Credentials (AWS, Azure, GCP) rotieren
- CI/CD-Pipeline auf unbekannte Zugriffe prüfen
- Kubernetes-Konfigurationen und Service-Accounts überprüfen
- Logs auf laterale Bewegungen in der Cloud-Infrastruktur analysieren
Was kann man langfristig tun?
- Dependency Pinning: Exakte Paket-Versionen festlegen und Änderungen bewusst freigeben
- Signaturen allein reichen nicht: SLSA-Provenance bestätigt nur die Build-Pipeline – nicht, dass der ursprüngliche Code sauber ist
- Minimal-Rechte-Prinzip für CI/CD: Tokens sollten nur die Berechtigungen haben, die sie wirklich brauchen
- KI-Agents in isolierten Umgebungen: Keine Produktions-Credentials in Entwicklungsumgebungen mit KI-Zugriff
- Monitoring und SIEM: Ungewöhnliche Credential-Nutzung muss auffallen – am besten bevor der Schaden entsteht
Fazit
Der Miasma-Angriff zeigt ein neues Muster: Angreifer missbrauchen das Vertrauen moderner Entwicklungsökosysteme – und nutzen KI-Tools als automatisierte Ausführungsumgebung. Die Gefahr liegt nicht in einer Sicherheitslücke, die man patchen kann. Sie liegt in der Architektur des modernen Software-Developments selbst.
Für Unternehmen bedeutet das: IT-Sicherheit muss den gesamten Softwareentwicklungsprozess umfassen – inklusive der KI-Tools, die Entwickler täglich nutzen.
Quellen: Ars Technica (08.06.2026), StepSecurity, Cloudsmith, Red Hat
Sie wollen wissen, ob Ihre Entwicklungsumgebung betroffen sein könnte? Sprechen Sie uns an.