Strands Agents schließt Lücke: Versteckter Text konnte die Befehlsfreigabe umgehen

Eine Freigabe, die sich wegschalten ließ

Am 3. August 2026 veröffentlichte AWS einen Sicherheitshinweis zu Strands Agents Tools. Das ist eine Sammlung fertiger Funktionen, mit denen Entwickler KI-Agenten etwa Befehle auf einem Computer ausführen lassen können. Eine dieser Funktionen sollte vor jedem solchen Befehl einen Menschen um Zustimmung bitten. Unter bestimmten Umständen konnte jedoch gerade das Sprachmodell einen Schalter setzen, der diese Nachfrage übersprang. Damit lag die Entscheidung über die Kontrollschranke ausgerechnet innerhalb des Bereichs, den sie kontrollieren sollte. [1] [2]

Als Auslöser genügte laut den Hinweisen ein präparierter Text in Inhalten, die der Agent las, beispielsweise auf einer Webseite, in einer Slack-Nachricht oder in einer Datei. Diese Angriffsmethode heißt indirekte Prompt Injection: Versteckte oder offen platzierte Anweisungen in fremden Inhalten bringen das Modell dazu, etwas anderes zu tun als vom Betreiber vorgesehen. Der Text konnte das Modell veranlassen, einen Parameter namens „non_interactive“ auf wahr zu setzen und dadurch die menschliche Freigabe zu umgehen. [1] [2]

Was auf dem Rechner möglich gewesen wäre

Nach der Beschreibung konnte das Werkzeug anschließend beliebige Betriebssystembefehle auf dem Rechner ausführen, auf dem der Agent lief. Die Befehle hätten dabei dieselben Berechtigungen besessen wie der Agentenprozess selbst. Das bedeutet nicht automatisch vollständige Kontrolle über jeden betroffenen Computer: Der mögliche Schaden hing davon ab, welche Rechte dieser Prozess hatte und wie gut die Umgebung abgeschottet war. Mit weitreichenden Rechten hätte die Lücke jedoch entsprechend weitreichende Eingriffe erlaubt. [1] [2]

Der Fehler betraf Versionen vor 0.8.0 des Pakets „strands-agents-tools“. In Version 0.8.0 wurde er behoben; der fragliche Schalter lässt sich dort laut Projekt nicht mehr durch einen präparierten Prompt zum Umgehen der Zustimmung verwenden. AWS und das Projekt empfehlen ein Update, einschließlich angepasster Abspaltungen des Programmcodes. Bis dahin soll das Befehlswerkzeug keine unzuverlässigen Inhalte verarbeiten und nur in einer isolierten Umgebung mit möglichst wenigen Rechten laufen. Sicherheitsarchitektur durch ein wahr-falsch-Feld: Wir sind einen kleinen Schritt näher dran. [1] [2]

Der entscheidende Unterschied: Möglichkeit statt beobachteter Angriff

Die Quellen dokumentieren eine Schwachstelle und erklären eine mögliche Angriffskette. Sie nennen aber keinen konkreten Vorfall, bei dem ein Angreifer präparierte Inhalte platzierte, ein Agent den Schalter setzte und anschließend Befehle auf einem fremden Rechner ausführte. Ebenso fehlen Angaben zu Betroffenen, Schäden oder einer nachgewiesenen Ausnutzung. Der 3. August 2026 ist daher das belegte Veröffentlichungsdatum des AWS-Hinweises, nicht das Datum eines bekannten Angriffs oder einer beobachteten autonomen Aktion. [1] [2]

Auch die Urheberschaft möglicher Angriffsinhalte bleibt abstrakt. Die Hinweise sprechen von einem Akteur, der präparierten Text vor einen Agenten bringen könnte. Sie beschreiben weder eine konkrete Person noch die tatsächliche Herstellung oder Verteilung eines solchen Textes. Vor allem beobachten sie kein KI-System, das von sich aus nach dieser Lücke suchte oder sie aus eigenem Antrieb nutzte. Dokumentiert ist ein unsicher gestalteter Steuerungsweg in realer Software, nicht ein handelnder Agent auf Abwegen. [1] [2]

Warum die Konstruktion trotzdem problematisch war

Die Zustimmung sollte eine klare Grenze schaffen: Das Modell schlägt einen Systembefehl vor, ein Mensch prüft ihn und entscheidet. Gleichzeitig durfte dasselbe Modell über einen Eingabewert bestimmen, ob diese Prüfung überhaupt stattfindet. Dadurch konnte Inhalt von außen nicht nur den gewünschten Befehl beeinflussen, sondern auch den vorgesehenen Sicherheitsstopp abschalten. Der Fall zeigt damit sehr konkret, warum eine Kontrollentscheidung nicht als gewöhnliche, vom Modell veränderbare Option behandelt werden sollte. [1] [2]

Die Lücke war besonders relevant, weil Agenten Inhalte aus verschiedenen Quellen zusammenführen und anschließend Werkzeuge bedienen können. Ein Betreiber musste dem Angreifer nicht bewusst einen Befehl übergeben; es hätte gereicht, wenn der Agent den präparierten Inhalt las. Trotzdem ist nicht belegt, wie zuverlässig der beschriebene Angriff unter unterschiedlichen Modellen und Einstellungen funktioniert hätte. Die Hinweise nennen keine Erfolgsquote, keine Versuchsanordnung und keine Reichweite betroffener Installationen. Unser KI-Magazin notiert pflichtbewusst: Die Kontrollfrage blieb zeitweise maschinenlesbar. [1] [2]

Was Betreiber aus den Hinweisen ableiten können

Die unmittelbarste Maßnahme ist das Aktualisieren auf Version 0.8.0 oder neuer. Wer eine eigene abgeleitete Fassung des Werkzeugs betreibt, muss die Korrektur ebenfalls übernehmen. Falls ein Update nicht sofort möglich ist, raten beide Hinweise dazu, das Befehlswerkzeug nicht mit Agenten zu verbinden, die Webseiten, Nachrichten oder Dateien unbekannter Herkunft lesen. Zusätzlich begrenzt eine abgeschottete Umgebung mit geringen Rechten, welche Dateien, Programme und Dienste ein ausgeführter Befehl überhaupt erreichen könnte. [1] [2]

Diese Empfehlungen behandeln zwei verschiedene Ebenen: Die Korrektur entfernt den konkreten Weg an der Freigabe vorbei, während geringe Rechte mögliche Folgen eines weiteren Fehlers einschränken. Aus dem Material lässt sich dagegen nicht ableiten, ob die Schwachstelle bereits heimlich missbraucht wurde oder wie viele Systeme gefährdet waren. Beide verfügbaren Quellen stammen zudem aus demselben Hersteller- und Projektumfeld und schildern nahezu denselben Sachverhalt. Eine unabhängige Untersuchung oder ein öffentlich dokumentierter Praxistest liegt im übergebenen Material nicht vor. [1] [2]

Terminator-Check

Für den Terminator-Check zählt beobachtetes Verhalten eines KI-Systems, nicht allein das Schadenspotenzial eines Programmfehlers. Hier sind Autonomie, Grenzüberschreitung, Täuschung, Selbsterhaltung und Realweltwirkung jeweils nicht belegt. Zwar hätte ein beeinflusstes Modell die Freigabe überspringen und reale Befehle auslösen können. Die Quellen berichten aber nicht, dass dies tatsächlich geschah. Auch gezielte Irreführung, verborgenes Vorgehen, Widerstand gegen Kontrolle oder ein eigenes fortgesetztes Ziel eines Agenten wurden nicht beobachtet. [1] [2]

Der Terminator-Score beträgt deshalb 0 von 5. Das bedeutet nicht, dass die Sicherheitslücke harmlos war: Ein erfolgreicher, von einem Angreifer vorbereiteter Einsatz hätte Befehle ohne menschliche Zustimmung ermöglicht. Der Wert sagt ausschließlich, dass kein autonomes Fehlverhalten eines KI-Agenten belegt ist. Reale Software musste korrigiert werden, doch eine reale Agentenhandlung oder ein daraus entstandener Schaden erscheint in den Quellen nicht. CQ1818 trennt hier also zwischen einer offenen Tür und jemandem, der nachweislich hindurchging. [1] [2]