Ghostcommit-Angriff: Versteckte Befehle in Bildern gefährden KI-Entwickler

GitHub hat seine Analyse-Software aktualisiert, um sogenannte Prompt-Injection-Angriffe zu erkennen. Zeitgleich präsentierten Forscher eine neue Angriffsmethode namens "Ghostcommit", die Bilder nutzt, um bestehende Schutzmechanismen zu umgehen.

Die Vorfälle Mitte Juli 2026 zeigen: Die Absicherung von KI-integrierten Softwareentwicklungsprozessen wird zunehmend komplexer. Angreifer finden immer kreativere Wege, um KI-Modelle zu manipulieren.

GitHub schließt Sicherheitslücken in Code-Analyse

Am 10. Juli 2026 veröffentlichte GitHub die Version 2.26.0 seines Analyse-Tools CodeQL. Die Neuerung: Erstmals erkennt die Software Schwachstellen durch Prompt Injections. Der Fokus liegt zunächst auf JavaScript- und TypeScript-Anwendungen, die SDKs von OpenAI, Anthropic und Google GenAI nutzen.

Das System arbeitet mit sogenanntem Taint-Tracking. Es identifiziert Fälle, in denen ungeprüfte Benutzereingaben in System-Prompts einfließen. Ziel ist es, Angreifer daran zu hindern, KI-Modelle durch manipulierte Eingaben zu kapern.

Allerdings hat die aktuelle Version noch Lücken: Python-Anwendungen werden nicht abgedeckt. Zudem erkennt das Tool nur direkte Angriffe – indirekte Prompt Injections bleiben unentdeckt.

Ghostcommit: Versteckte Befehle in Bilddateien

Am 11. Juli 2026 veröffentlichten die Forscher Sudipta Chattopadhyay und Murali Ediga von der University of Missouri-Kansas City eine besonders raffinierte Angriffsmethode. Ghostcommit verbirgt schädliche Anweisungen in PNG-Bilddateien, um KI-Codierungsagenten zu kompromittieren.

Die Schwachstelle liegt in einem weit verbreiteten Blindflug: Sowohl menschliche Entwickler als auch automatisierte Prüfsysteme überspringen bei Code-Reviews regelmäßig die Überprüfung von Bilddateien. Laut den Forschungsergebnissen fehlt in rund 73 Prozent aller Pull-Requests in den 300 größten Repositories eine sinnvolle Prüfung solcher Dateien.

Angesichts immer komplexerer Manipulationsversuche müssen Unternehmen die rechtlichen Leitplanken für den Einsatz von künstlicher Intelligenz genau kennen. Dieser kostenlose Report klärt auf, welche Risikoklassen und Pflichten die neue EU-KI-Verordnung für Sie bereithält. Welche KI-Systeme gelten als Hochrisiko – und was müssen Unternehmen jetzt konkret tun?

So funktioniert der Angriff: Ein Angreifer fügt eine manipulierte PNG-Datei in einen Pull-Request ein. Wenn ein KI-Agent wie Cursor, Bugbot oder Antigravity das Bild später in einer anderen Sitzung verarbeitet, folgt er den versteckten Anweisungen und gibt sensible Daten preis. Die Forscher demonstrierten den Diebstahl von .env-Dateien – Geheimnisse wurden in Zahlen-Arrays umgewandelt, um bei der Übertragung nicht aufzufallen.

Bemerkenswert: Anthropics Claude Code weigerte sich, den schädlichen Anweisungen zu folgen. Andere Tools waren anfällig.

Die UMKC-Forscher empfehlen, Bilder bei Code-Reviews wie ausführbare Inhalte zu behandeln, multimodale Sicherheitsscans einzusetzen und die Berechtigungen von KI-Agenten strikt zu begrenzen.

BioShocking: Angriff auf KI-Browser

Auch KI-gestützte Browser stehen im Fokus der Angreifer. Am 11. Juli 2026 demonstrierten Forscher von LayerX die "BioShocking"-Attacke. Diese indirekte Prompt-Injection-Methode nutzt gefälschte Spieloberflächen, um KI-Browser zur Preisgabe gespeicherter Passwörter zu bewegen.

Betroffen sind mehrere Plattformen: ChatGPT Atlas, Perplexity Comet, die Claude-Browser-Erweiterung, Fellou, Genspark und Sigma. OpenAI und Anthropic haben bereits Patches veröffentlicht. Perplexity hatte das Problem nach Angaben der Forscher bis Ende Juni nicht behoben.

OpenAI zog am 9. Juli 2026 die Konsequenzen und stellte seinen Atlas-Browser ein – knapp acht Monate nach dem Start. Nutzer des macOS-exklusiven Browsers haben bis zum 9. August 2026 Zeit, ihre Daten zu exportieren. Die Funktionen des Browsers werden in das ChatGPT Work-Ökosystem integriert.

Da Angriffe auf KI-Systeme und Browser-Erweiterungen zunehmen, wird ein proaktiver Schutz der Unternehmens-IT wichtiger denn je. Ein kostenloser Download verschafft Ihnen den nötigen Überblick über Fristen und Sicherheitsanforderungen, den Ihre Fachabteilungen jetzt dringend brauchen. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt

Neue Abwehrstrategien gefragt

Die zunehmende Bedrohungslage erfordert neue Sicherheitsansätze. Am 12. Juli 2026 stellten Branchenexperten Frameworks für die Prompt-Injection-Forensik vor. Diese analysieren Gesprächsspuren und nutzen semantische Fingerabdrücke, um Angriffe zu identifizieren.

Hintergrund ist eine theoretische Forschung aus dem Juni 2026: Prompt Injections gelingen demnach oft wegen eines "Rollenwahrnehmungsfehlers" in großen Sprachmodellen. Die Modelle haben Schwierigkeiten, zwischen Systemanweisungen und Benutzerdaten zu unterscheiden. Zukünftige Abwehrmaßnahmen sollten daher die Rollenwahrnehmung verbessern – statt nur bekannte Angriffsmuster auswendig zu lernen.