Das Sicherheitsunternehmen Adversa AI hat am 6. Oktober 2026 gezeigt, wie GitHubs Kommandozeilen-Agent Copilot CLI lokale Dateien an Angreifer schickt. Eine präparierte Webseite liefert verschlüsselte Anweisungen, die der Agent selbst entschlüsselt und dann befolgt. GitHub hat den Befund bestätigt, stuft ihn aber nicht als Sicherheitslücke ein.
✓ Aussagen gegen die Quellen geprüft · 10. Oktober 2026
Die Technik heißt Cryptographic Context Injection; Adversa hatte sie im August an Grok vorgeführt. Die Anweisungen liegen als Chiffrat samt Schlüsselmaterial auf der Seite, der Agent entschlüsselt sie in seiner eigenen Shell und behandelt den Klartext als vertrauenswürdig. Voraussetzung sind der Autopilot-Modus, in dem Copilot CLI ohne Rückfrage handelt, und die Bitte des Nutzers, die Seite zu lesen. In Adversas Vorführung lag der Inhalt einer Datei .env.prod 28 Sekunden später beim Angreifer; auch Dateien außerhalb des Arbeitsverzeichnisses waren erreichbar.
Dieselben Anweisungen im Klartext erkannte der Agent als Prompt-InjectionAngriff, bei dem fremde Anweisungen über Inhalte eingeschleust werden, die ein Modell nur verarbeiten soll (Website, Dokument, Werkzeug-Ergebnis) – der Agent führt sie aus, als kämen sie vom Nutzer. Anders als beim Jailbreak greift hier ein Dritter an, nicht die nutzende Person.Mehr im Wissen → und lehnte ab. Mit Verschlüsselung führte Microsofts Modell mai-code-1.1-flash die Kette laut Adversa in der Hälfte der Durchläufe aus, zwei GPT-5.6-Modelle in Copilot verweigerten sie durchgehend. Auf dem getesteten Bezahlkonto musste das anfällige Modell von Hand gewählt werden; bei automatischer Modellwahl teilte der Router es manchen Sitzungen zu. Die Zahlen stammen allein von Adversa, die konkreten Angriffstexte hält das Unternehmen zurück.
Adversa meldete den Befund am 17. September über GitHubs Bug-Bounty-Programm. GitHub bestätigte ihn, lehnte eine Einstufung als Schwachstelle aber ab: Der Nutzer habe Copilot ausdrücklich angewiesen, fremde Inhalte zu holen, und ihm volle Rechte für autonomes Handeln gegeben. Man erwäge, die Funktion künftig strenger zu fassen, habe aber nichts anzukündigen. Am 1. Oktober funktionierte die Kette laut Adversa weiterhin. Adversa vertreibt selbst eine Sicherheitsplattform für Coding-Agenten.