Amazon Kiro: Prompt-Injection exfiltriert Daten aus dem Workspace mit nur einer Nachricht

Mindguard entdeckt eine Schwachstelle in Kiro Powers

Am 27. August 2026 haben die Forscher von Mindguard Details zu einer Schwachstelle in Amazon Kiro veröffentlicht, der agentenbasierten integrierten Entwicklungsumgebung auf Basis künstlicher Intelligenz. Die Schwachstelle ermöglicht die Exfiltration sensibler Daten aus dem Workspace eines Entwicklers, indem sie die Funktion Kiro Powers und eine Prompt-Injection-Technik ausnutzt. Es wurde keine CVE-Kennung vergeben.

Der Forscher Fergal Glynn erklärte, dass das Problem es von Angreifern kontrollierten Repository-Inhalten ermöglicht, den Kiro-Agenten zu beeinflussen und sensible lokale Informationen an einen externen Endpunkt übertragen zu lassen. Die Schwachstelle betrifft Kiro IDE Version 0.7.45 unter Windows; die zum Zeitpunkt der Meldung neueste Version der IDE war 1.0.337.

Die technische Kette: Von Kiro Powers zur Exfiltration

Kiro Powers erweitert die Skills, indem es Konfigurationen von Model Context Protocol (MCP)-Servern, als „POWER.md“ bezeichnete Steer-Dateien, Hooks und kontextuelles Wissen aggregiert. Die Steer-Datei fungiert als Onboarding-Handbuch: Sie liefert persistenten Kontext und teilt dem Agenten mit, welche MCP-Tools verfügbar sind und wann sie verwendet werden sollen.

Die Ausnutzung erfordert zwei Aktionen. Zuerst muss der Benutzer das bösartige Projekt über eine Workspace-Datei mit dem Befehl Datei → Workspace aus Datei öffnen öffnen, anstatt den Ordner direkt zu öffnen. Dann muss er eine Nachricht an den Agenten senden.

Die Schwachstelle ist sowohl mit vertrauenswürdigen als auch mit nicht vertrauenswürdigen Workspaces reproduzierbar. Sobald diese Bedingungen erfüllt sind, können sensible Workspace-Daten an den Angreifer exfiltriert werden, ohne dass der Benutzer Kiro ausdrücklich auffordert, darauf zuzugreifen oder sie zu übertragen. Der Ausnutzungsaufwand wurde als gering eingestuft.

Der entscheidende Aspekt: Der Benutzer muss keinen bösartigen Prompt senden. Nach dem Öffnen der präparierten Workspace-Datei genügt eine beliebige Nachricht, um den anfälligen Ablauf auszulösen.

Die Überschreitung der Vertrauensgrenze erfolgt in einer Sequenz. Vom Angreifer kontrollierte Projektinhalte werden als Anweisungen interpretiert; der Agent liest sensible lokale Informationen; der Agent schreibt diese Informationen in sicherheitsrelevante IDE-Konfigurationen; eine nachfolgende Fähigkeit der IDE verwandelt die geänderte Konfiguration in Netzwerkaktivität. Mit der zunehmenden Integration von Interpretation und Ausführung können Repository-Dateien dem Modell Kontext liefern, während der Agent Dateien liest, Tools aufruft und andere Funktionen aktiviert, wodurch mögliche Überschreitungen der Vertrauensgrenze entstehen.

Betroffene Versionen und Behebung

Die Schwachstelle wurde auf Kiro IDE 0.7.45 für Windows nachgewiesen. Zum Zeitpunkt der Meldung war die neueste Version 1.0.337, es ist jedoch nicht bekannt, ob auch diese anfällig war.

Nach der verantwortungsvollen Offenlegung hat Amazon eine Korrektur in Kiro IDE Version 0.8.140 implementiert. Ein Update auf diese oder eine spätere Version entschärft das Problem. Für diese spezifische Schwachstelle ist kein CVSS-Wert verfügbar.

Vorgeschichte in Kiro und KEV-Katalog

Es ist nicht die erste in Kiro entdeckte Schwachstelle. Im Juni 2026 hat Amazon eine unzureichende Zugriffskontroll-Schwachstelle mit der Kennung CVE-2026-10591 und einem CVSS-Wert von 8.8 behoben (Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). Dieses Problem konnte es einem nicht authentifizierten Remote-Angreifer ermöglichen, beliebige Befehle über präparierte Anweisungen auszuführen, die Schreibvorgänge auf ausführungsrelevante Pfade wie „.vscode/tasks.json“ oder „~/.kiro/settings/mcp.json“ verursachten und die automatische Ausführung beim Öffnen des Ordners begünstigten. Laut Intezer konnte ein Angreifer durch Einfügen versteckter Anweisungen in eine von Kiro gelesene Webseite Kiro dazu bringen, seine eigene MCP-Server-Konfigurationsdatei neu zu schreiben und so beliebigen Code auf dem Computer des Entwicklers auszuführen, ohne verdächtige Genehmigungsdialoge.

Die neue Schwachstelle baut auf einem früheren von Mindguard gemeldeten Bug auf, der es Anweisungen aus der Steer-Datei ermöglichte, lokale Informationen in eine Markdown-Bildanforderung einzubetten und an einen externen Server zu übertragen.

Die soeben offengelegte Schwachstelle ist nicht im KEV-Katalog der CISA aufgeführt. Allerdings sind in den letzten 90 Tagen weitere Schwachstellen im Zusammenhang mit Anbietern wie Amazon, Anthropic und Microsoft in den Katalog aufgenommen worden: CVE-2019-1068 (26. August), CVE-2026-33824 und CVE-2026-55040 (18. August), CVE-2026-68820 (11. August), CVE-2026-50522 (22. Juli) und CVE-2026-58644 (16. Juli). Dies deutet darauf hin, dass das Ökosystem der KI-Tools hinsichtlich aktiver Ausnutzung genau beobachtet wird.

Ein KI-Ökosystem unter Druck

Die Entdeckung in Kiro reiht sich in eine Reihe von Sicherheitsproblemen ein, die in den letzten Monaten bei KI-basierten Entwicklertools aufgetreten sind. Zu den wichtigsten Vorfällen gehören: eine Schwachstellenkette in OpenAI Codex CLI für Windows, die Prompt-Injection über web.run ausnutzt, um eine Websuche in verdeckte Befehlsausführung umzuwandeln; eine Zero-Click-Remote-Execution-Schwachstelle in Cursor CLI, die indirekte Prompt-Injection nutzt, um eine bösartige ausführbare Datei zu schreiben und auszuführen; eine Schwachstelle zur beliebigen Codeausführung in Cursor, GitHub Copilot CLI, Google Gemini CLI und der Codex-App für Windows aufgrund der Manipulation der Suchreihenfolge für Binärdateien; und eine Schwachstelle, die Anthropic Claude Code (CVE-2026-35603, CVSS 7.3) und andere Tools betrifft und einen als vertrauenswürdig geltenden Windows-Ordner ausnutzt, um bösartige Konfigurationsdateien abzulegen.

Hinzu kommen eine Sandbox-Escape-Schwachstelle in Claude Code (CVE-2026-25725, CVSS 10), die es einem in der Sandbox befindlichen Angreifer ermöglicht, Befehle auf dem Host auszuführen, eine Reihe von Schwachstellen in Gemini CLI, die das Entkommen aus dem Container und den Diebstahl des OAuth-Tokens ermöglichen, sowie eine Schwachstelle in NVIDIA NemoClaw (CVE-2026-65105, CVSS 8.1), die die Kontrolle über den Ollama-Server mit einem einzigen Besuch einer Webseite erlaubt. Darüber hinaus kann OpenClaw von jeder Website über WebSocket auf localhost gesteuert werden, und Microsoft Visual Studio Code hat die Schwachstelle Envade (CVE-2026-41613, CVSS 8.8) behoben, die mit einem Klick auf einen Deeplink Codeausführung ermöglicht.

Die Lehre von Mindguard: Ausführungspfade bewerten

Mindguard kommt zu dem Schluss, dass die Ergebnisse zu Kiro ein Problem aufzeigen, das über eine einzelne IDE oder ein einzelnes Offenlegungsprogramm hinausgeht. KI-Schwachstellen können aus Wechselwirkungen zwischen Modellinterpretation, Anwendungslogik, Tools, Konfiguration und externen Ressourcen entstehen und sind daher mit Offenlegungsprozessen, die für klar definiertere Softwarefehler konzipiert sind, schwer zu bewerten. Mit der zunehmenden Anzahl an Tools, die KI-Systemen zur Verfügung stehen, und der Interaktion mit dem Anwendungszustand müssen Offenlegungsprogramme Ausführungspfade mit demselben Detaillierungsgrad bewerten wie die Forscher, die sie entdecken.

Für Entwickler, die Amazon Kiro verwenden, lautet die unmittelbare Empfehlung, auf Version 0.8.140 oder höher zu aktualisieren. Bis zum Update sollten sie vermeiden, Workspace-Dateien aus nicht vertrauenswürdigen Quellen zu öffnen, und bei verdächtigen Repositories Vorsicht walten lassen.