In der Entwicklerwerkstatt steht ein Werkzeugkasten, der neuerdings sehr hilfsbereit ist. Früher musste man ihn öffnen, den Schraubendreher suchen, fluchen, wieder schließen, noch einmal öffnen. Jetzt springt der Deckel von selbst hoch, sobald ein fremder Karton mit der Aufschrift Repository auf die Bank geschoben wird. Das ist modern. Es ist auch ein Geräusch, bei dem alte Admins kurz den Kaffee absetzen.
Der Anlass ist eine am 26. Juni öffentlich gemachte Sicherheitslücke in Amazon Q Developer für Visual Studio Code. SecurityWeek berichtete über den Fall, Wiz Research hat die technische Analyse veröffentlicht. Die Kurzfassung, ohne Konfetti: Eine bösartig vorbereitete Codeablage konnte über automatisch geladene MCP-Server-Konfigurationen dazu führen, dass Code ausgeführt und unter Umständen Cloud-Zugangsdaten aus der Entwicklerumgebung erreichbar wurden. Betroffen war laut Wiz der Language Server vor Version 1.65.0; Amazon hat die Lücke behoben.
Der Karton wird geöffnet, weil er Karton sagt
Das eigentlich Unheimliche ist nicht, dass ein Entwicklerwerkzeug mächtig ist. Mächtige Werkzeuge gibt es schon lange. Build-Skripte, Hooks, Paketmanager, lokale Shells — alles kleine Maschinen, die freundlich nicken und dann in der Garage Funken schlagen. Neu ist die Höflichkeit, mit der KI-Werkzeuge fremde Arbeitsräume betreten und sofort anfangen, sich nützlich zu machen.
Wiz beschreibt den Kern als MCP-Auto-Execution aus Workspace-Dateien, kombiniert mit geerbter Umgebung. Übersetzt in Werkstattdeutsch: Da liegt ein fremder Zettel im Projektordner, der sagt, welcher Werkzeugknecht zu starten ist. Der Assistent liest ihn, nimmt die Umgebungsvariablen gleich mit in die Hand und macht los. Nicht aus Bosheit. Aus Betriebsamkeit. Betriebsamkeit ist in der IT ungefähr so harmlos wie ein Gabelstapler mit Liebeskummer.
KI-Assistenten wohnen nicht neben der Werkbank, sie sitzen drauf
Bei normalen Chatbots kann man noch so tun, als säßen sie hinter Glas. Sie reden, man liest, man seufzt. Coding-Assistenten sitzen näher am Motor. Sie sehen Dateien, Projektstruktur, lokale Werkzeuge, manchmal Tokens, manchmal Cloud-Kontext, manchmal all die kleinen Schlüssel, die niemand mehr Schlüssel nennt, weil sie irgendwo in einer Konfiguration schlafen.
Darum ist diese Sorte Lücke kein hübsches Randproblem für Leute mit zu vielen Extensions. Sie berührt die neue Vertrauenszone der Softwarearbeit. Der Editor ist nicht mehr nur Schreibmaschine. Er ist Empfangstresen, Werkbank, Lagerraum und gelegentlich ein kleiner Hofhund, der leider jeden hereinlässt, der energisch nach Paketdienst aussieht.
MCP klingt nach Normteil und riecht nach Haustür
Das Model Context Protocol soll Werkzeuge und Datenquellen anschließbar machen. Genau das ist der Reiz: KI bekommt Griffe, nicht nur Wörter. Ein Assistent kann dann nicht bloß erklären, wie man etwas tut, sondern die passende Maschine finden, starten, befragen, vielleicht verbinden. Das ist praktisch. Und Praktisches hat in der Werkstatt immer diese unangenehme Eigenschaft, irgendwann selbstverständlich zu werden.
Wenn aber ein Projekt selbst bestimmen kann, welche Zusatzmaschine beim Öffnen anspringt, dann ist das kein Komfortknopf mehr, sondern eine Haustür mit sehr höflichem Türsteher. Der fragt nicht: „Kennen wir diesen Lieferanten?“ Er sagt: „Ah, ein Paket. Ich trage es direkt in den Tresorraum.“
Der Patch ist da, das Muster bleibt
Wichtig: Die konkrete Lücke ist laut Wiz behoben, Version 1.65.0 des Language Servers gilt als Fix. Das gehört in die Akte, bevor der Alarmismus mit blanken Schuhen durch den Flur rennt. Wer betroffen sein könnte, sollte Updates prüfen und alte Werkzeugstände nicht wie Familienerbstücke behandeln.
Aber der größere Rostfleck bleibt sichtbar. Je mehr KI-Assistenten in IDEs, Browsern, Office-Umgebungen und Cloud-Konsolen arbeiten dürfen, desto öfter wird die Frage auftauchen: Wer darf dem Assistenten eigentlich Anweisungen geben? Der Mensch? Das Projekt? Eine Webseite? Ein README mit Schnurrbart? Ein Konfigurationsfile, das im Karton ganz unten liegt und so tut, als gehöre es zur Lieferung?
Werkstattordnung für eifrige Maschinen
Die Antwort wird langweilig sein müssen. Zustimmung vor Auto-Start. Klare Trennung zwischen Projektinhalt und Ausführungsbefehl. Keine still geerbten Schlüsselbunde. Sandboxing, sichtbare Berechtigungen, Misstrauen gegenüber fremden Repos, Updates ohne romantische Verzögerung. Alles Dinge, die auf einer Produktfolie ungefähr so glänzen wie ein Sicherungskasten. Aber der Sicherungskasten ist der Grund, warum die Werkstatt nicht jeden Donnerstag brennt.
Am Ende ist der KI-Werkzeugkasten nicht böse. Er ist nur sehr bereit. Und Bereitschaft ohne Bremse ist in der Software ein alter Bekannter: erst bequem, dann schnell, dann plötzlich im Incident-Channel mit drei Leuten, die „komisch“ schreiben. Der fremde Karton liegt noch auf der Bank. Diesmal ist der Deckel schon wieder zu. Gut so. Trotzdem sollte jemand ein Schild daneben hängen: Nicht jedes Werkzeug starten, nur weil es im Projektordner höflich hustet.
Werkstattquellen: Wiz Research: MCP Auto-Execution: From Git Clone to Cloud Compromise in Amazon Q VS Code Extension; SecurityWeek: Amazon Q Flaw Enabled Cloud Credential Theft via Malicious Repositories.
Schreibe einen Kommentar