Sophos: KI-Coding-Agenten lösen Endgeräteschutz aus, der eigentlich Eindringlinge abwehren soll

Sophos berichtet, dass mehrere beliebte KI-Programmierassistenten Endgeräteaktivitäten erzeugen, die dem Verhalten von Angreifern so stark ähneln, dass sie Sicherheitskontrollen zur Angriffserkennung auslösen.

Nach der Auswertung einer Woche Telemetriedaten seiner verhaltensbasierten Windows-Engine im Juni 2026 erklärte das Unternehmen, dass Tools wie Claude Code, Cursor und OpenAI Codex wiederholt an Aktionen beteiligt waren, die üblicherweise mit dem Diebstahl von Zugangsdaten, Persistenz und dem Missbrauch legitimer Systemwerkzeuge („Living off the Land“) in Verbindung gebracht werden. Sophos betonte, dass die Agenten nicht bösartig seien, ihre normalen Arbeitsabläufe jedoch mit Techniken überschneiden könnten, die Verteidiger typischerweise als verdächtig einstufen.

Was die Erkennungen gezeigt haben

Der größte Anteil der blockierten Aktivitäten betraf den Zugriff auf Zugangsdaten, gefolgt von ausführungsbezogenem Verhalten. In einem Beispiel verwendete ein Coding-Agent PowerShell und die Windows Data Protection API, um auf im Browser gespeicherte Zugangsdaten zuzugreifen – ein Muster, das Sicherheitstools häufig als Versuch zum Diebstahl von Geheimnissen markieren. Sophos zufolge war dies offenbar Teil einer Browser-Automatisierung und kein Angriff.

Andere Fälle ähnelten eher klassischen Vorgehensweisen von Angreifern. Bei Claude Code wurde beobachtet, wie der Agent einen Browser beendete, den Windows Credential Manager mit cmdkey /list abfragte und in einem Modus arbeitete, der einige Berechtigungsprüfungen umgeht. OpenAI Codex versuchte unterdessen, Python mithilfe legitimer Windows-Dienstprogramme herunterzuladen, nachdem eine erste Methode blockiert worden war, und wechselte anschließend zu einem anderen integrierten Tool. Cursor löste ebenfalls eine Persistenzregel aus, nachdem ein Skript in den Autostartordner geschrieben worden war.

Warum Verteidiger aufmerksam werden

Sophos wies darauf hin, dass diese Warnungen relevant sind, weil Angreifer zunehmend auf vertrauenswürdige Systemwerkzeuge und gültige Zugangsdaten statt auf offensichtlich schädliche Malware setzen. In einer solchen Umgebung können dieselben Aktionen von einem böswilligen Angreifer, einem kompromittierten Agenten oder einem legitimen KI-Assistenten stammen, der eine Anweisung eines Entwicklers ausführt.

• Der Zugriff auf Speicher für Zugangsdaten sollte auch für vertrauenswürdige KI-Tools streng kontrolliert bleiben.
• Harmloses Ausführungsrauschen lässt sich häufig reduzieren, indem Regeln auf bekannte Agentenprozesse oder Arbeitsverzeichnisse beschränkt werden.
• Administratoren sollten riskante Modi wie die Option zur Umgehung von Berechtigungsprüfungen in Claude Code nach Möglichkeit deaktivieren.

Das Unternehmen bezeichnete die Erkenntnisse als ein frühes Signal und nicht als umfassendes Branchenurteil. Zugleich erklärten die Experten, dass sie eine wichtige Grundsatzfrage aufwerfen: Wie viel Zugriff sollten Coding-Agenten auf einem Endgerät haben, bevor sie den Bedrohungen ähneln, zu deren Abwehr Sicherheitsprodukte entwickelt wurden?