Der Kern des Problems liegt im Ablauf der Werkzeugaufrufe. Der Aufruf von find_by_name wird ausgeführt, bevor die Einschränkungen des Strict Mode greifen, und stattdessen als nativer Werkzeugaufruf interpretiert. Der Pattern-Parameter soll eigentlich nur ein Suchmuster für Datei- und Verzeichnisnamen entgegennehmen, das über fd ausgewertet wird. Mangels strenger Prüfung wird die Eingabe jedoch direkt an den fd-Befehl durchgereicht.
Entscheidend ist laut Pillar Security das Flag -X (exec-batch). Wird es an fd übergeben, führt es eine angegebene Binärdatei gegen jede gefundene Datei aus. „Indem ein Angreifer einen Pattern-Wert von -Xsh erzeugt, bringt er fd dazu, die gefundenen Dateien zur Ausführung als Shell-Skripte an sh weiterzugeben", erläutert das Unternehmen. So lässt sich zunächst eine präparierte Datei ablegen und anschließend über den manipulierten Suchbefehl zur Ausführung bringen.
Alternativ kann der Angriff über eine indirekte Prompt Injection ausgelöst werden, ohne dass das Nutzerkonto kompromittiert werden muss. Dabei holt sich ein ahnungsloser Anwender eine scheinbar harmlose Datei aus einer nicht vertrauenswürdigen Quelle, die versteckte, vom Angreifer kontrollierte Kommentare enthält. Diese weisen den KI-Agenten an, das Exploit zu platzieren und auszulösen.
Nach verantwortungsvoller Offenlegung am 7. Januar 2026 behob Google die Schwäche zum 28. Februar. „Für eng begrenzte Operationen entworfene Werkzeuge werden zu Angriffsvektoren, wenn ihre Eingaben nicht streng validiert werden", so Lisichkin. Das den Sicherheitsannahmen zugrunde liegende Vertrauensmodell — dass ein Mensch etwas Verdächtiges bemerkt — halte nicht stand, wenn autonome Agenten Anweisungen aus externen Inhalten befolgten.
Die Erkenntnisse fallen mit weiteren, inzwischen behobenen Schwachstellen in KI-gestützten Werkzeugen zusammen. So zeigte Manifold Security kürzlich, wie sich ein Claude-gestützter GitHub-Actions-Workflow („claude-code-action") mit nur zwei Git-Konfigurationsbefehlen dazu bringen lässt, einen Pull Request mit Schadcode freizugeben und zu mergen — indem die Identität eines vertrauenswürdigen Entwicklers vorgetäuscht wird.
Im Kern setzt der Angriff die Git-Eigenschaften user.name und user.email auf die eines bekannten Entwicklers — im konkreten Fall des KI-Forschers Andrej Karpathy. Behandelt ein KI-System diese Metadaten als Vertrauenssignal, wird das zum Problem, denn die Angaben sind nicht verifiziert.
„Bei der ersten Einreichung markierte Claude den Pull Request zur manuellen Prüfung und merkte an, dass der Ruf des Autors allein keine ausreichende Begründung sei", berichten die Forscher Ax Sharma und Oleksandr Yaremchuk. Das erneute Öffnen und Einreichen desselben Pull Requests habe dann zur Freigabe geführt. Der KI-Agent habe sein eigenes, besseres Urteil bei der Wiederholung übergangen. Genau diese Nichtdeterminiertheit sei der springende Punkt: Auf einem System, das seine Meinung ändere, lasse sich keine Sicherheitskontrolle aufbauen.