In Kürze

  • Der von Wiz entwickelte autonome «Red Agent» fand eine Schwachstelle im öffentlichen GitHub-Repository «snowflake-connector-net» und nutzte sie allein über den Titel eines präparierten GitHub-Issues aus, um Zugangsdaten zu Snowflakes interner Jira-Instanz zu stehlen.
  • Die zugrunde liegende Sicherheitslücke geht laut Wiz auf eine Änderung vom 18. Juni 2026 zurück, die «Copilot Autofix powered by AI» mitverfasste: Ein zuvor sicheres Muster wurde entfernt und der Issue-Titel direkt in ein Shell-Skript eingefügt, wodurch sich mit einem einzelnen Anführungszeichen beliebige Bash-Befehle einschleusen liessen.
  • GitHub bestreitet, dass Copilot Autofix ursächlich für die Lücke war, und verweist auf einen menschlichen Commit vom August 2025, der später in denselben Squash-Merge einfloss – ein Streit um Verantwortlichkeit, der zeigt, wie schwierig sich Fehlerquellen bei KI-unterstützter Codeentwicklung zurückverfolgen lassen.

Was ist passiert?

Der Cloud-Sicherheitsanbieter Wiz hat mit seinem selbst entwickelten autonomen «Red Agent» eine Schwachstelle im öffentlich zugänglichen GitHub-Repository «snowflake-connector-net» entdeckt und ausgenutzt – ausschliesslich über den präparierten Titel eines GitHub-Issues. Über eine Befehls-Einschleusung gelang es dem Agenten, ein Zugangs-Token zu stehlen, das für Snowflakes interne Jira-Instanz authentifiziert war und Lesezugriff auf Projekte aus den Bereichen Engineering, Sicherheits-Compliance und Bug-Bounty gewährte. Fünf Tage lang liessen sich auf diese Weise beliebige Befehle ausführen, ohne dass eine Authentifizierung nötig gewesen wäre – ausgelöst allein durch das Öffnen eines entsprechend präparierten Issues.

Ursprung der Lücke war laut Wiz eine Codeänderung vom 18. Juni 2026, die «Copilot Autofix powered by AI» mitverfasste: Ein zuvor sicheres Muster, das den Issue-Titel vor der Weiterverarbeitung als Umgebungsvariable speicherte, wurde entfernt und der Titel stattdessen direkt in ein Shell-Skript innerhalb eines «echo»-Befehls eingefügt. Weil die nachträglich eingefügte Bereinigung erst nach der Template-Expansion von GitHub griff, liess sich mit einem einzelnen Anführungszeichen aus der Zeichenkette ausbrechen und beliebiger Bash-Code einschleusen. GitHub bestreitet inzwischen öffentlich, dass Copilot Autofix ursächlich für die Lücke gewesen sei, und verweist auf einen menschlichen Commit vom 25. August 2025, dessen unsicherer Code erst später im selben Squash-Merge landete, der auch Copilot Autofix als Mitverfasser auswies.

Warum ist das wichtig?

Der Fall markiert einen bemerkenswerten Wendepunkt in der Debatte um KI-Sicherheit: Ein autonomer, offensiv eingesetzter KI-Agent fand und nutzte binnen kurzer Zeit eine Schwachstelle aus, die – zumindest teilweise – auf einen KI-gestützten Korrekturvorschlag zurückgeht. Damit steht nicht mehr nur zur Debatte, ob KI-generierter Code fehleranfällig sein kann, sondern auch, wie schnell andere KI-Systeme solche Fehler systematisch aufspüren und ausnutzen können – eine Entwicklung, die viele Sicherheitsexpertinnen und -experten als Vorboten einer neuen, automatisierten Angriffsdynamik werten.

Ebenso aufschlussreich ist der öffentliche Streit zwischen Wiz und GitHub über die genaue Urheberschaft des fehlerhaften Codes: Weil moderne Softwareentwicklung zunehmend menschliche Commits, automatisierte Vorschläge und nachträgliche Squash-Merges vermischt, wird es zusehends schwieriger, Verantwortlichkeiten für einzelne Codezeilen eindeutig zuzuordnen – ein Problem, das mit wachsendem Einsatz von KI-Codeassistenten in Unternehmen aller Grössen an Bedeutung gewinnen dürfte, unabhängig davon, wie der konkrete Streitfall am Ende bewertet wird.

Was bedeutet das für die Schweiz?

  • Für Schweizer Software- und IT-Teams, die GitHub Copilot und ähnliche KI-Codeassistenten zunehmend produktiv einsetzen, zeigt der Fall, dass automatisch generierte oder «autofix»-korrigierte Codeänderungen dieselbe sorgfältige menschliche Code-Review benötigen wie manuell geschriebener Code – ein Automatismus allein reicht nicht.
  • Der Vorfall ist zugleich ein praktisches Beispiel für eine wachsende «KI-gegen-KI»-Dynamik in der Cybersicherheit: Ein autonomer Angriffs-Agent fand und nutzte eine Lücke, die ein KI-Codeassistent mitverursacht hatte – für Schweizer Unternehmen mit sensiblen Kundendaten nach DSG ein zusätzliches Argument, KI-generierten Code in sicherheitskritischen Pipelines besonders streng zu prüfen.
  • Die ungeklärte Verantwortungsfrage zwischen Wiz und GitHub verdeutlicht ausserdem eine Lücke, die auch für Schweizer Vertragsgestaltung relevant ist: Wer haftet, wenn ein KI-Werkzeug eine Schwachstelle einführt oder übersieht, ist weder in der Schweiz noch anderswo abschliessend geklärt und sollte in Vereinbarungen mit Anbietern von KI-Codewerkzeugen explizit adressiert werden.

Verwendete Quellen

The Hacker News und der Sicherheitsanbieter Wiz berichteten im August 2026 über den Fall; SC Media, Forbes und The Next Web lieferten zusätzliche technische Details sowie Einordnungen zur Kontroverse um die genaue Urheberschaft des fehlerhaften Codes.

Quellenstatus: 1 strukturierte Quelle · 0 von 1 Originaldaten verifiziert. Prüfregeln ansehen

Häufige Fragen

Was ist die Kernaussage zu KI-Codeassistent führte zu Sicherheitslücke bei Snowflake – ein weiterer KI-Agent fand und nutzte sie binnen Tagen aus?

Der von Wiz entwickelte autonome «Red Agent» fand eine Schwachstelle im öffentlichen GitHub-Repository «snowflake-connector-net» und nutzte sie allein über den Titel eines präparierten GitHub-Issues aus, um Zugangsdaten zu Snowflakes interner Jira-Instanz zu stehlen.

Warum ist diese KI-Meldung für die Schweiz relevant?

Für Schweizer Software- und IT-Teams, die GitHub Copilot und ähnliche KI-Codeassistenten zunehmend produktiv einsetzen, zeigt der Fall, dass automatisch generierte oder «autofix»-korrigierte Codeänderungen dieselbe sorgfältige menschliche Code-Review benötigen wie manuell geschriebener Code – ein Automatismus allein reicht nicht.

Welche Quelle nutzt KI News Schweiz für diese Einordnung?

The Hacker News und der Sicherheitsanbieter Wiz berichteten im August 2026 über den Fall; SC Media, Forbes und The Next Web lieferten zusätzliche technische Details sowie Einordnungen zur Kontroverse um die genaue Urheberschaft des fehlerhaften Codes.