Kiro Powers geht über einfache Fähigkeiten hinaus: Die Funktion bündelt Konfigurationen für MCP-Server (Model Context Protocol), sogenannte Steering-Dateien („POWER.md"), Hooks und Kontextwissen. Die Steering-Datei fungiert laut Mindguard als eine Art „Einarbeitungshandbuch", das dem KI-Agenten dauerhaften Kontext liefert und ihm mitteilt, welche MCP-Werkzeuge verfügbar sind und wann sie eingesetzt werden sollen.
Genau an dieser Stelle bricht die Vertrauensgrenze. „Die Schwachstelle entsteht, wenn von Angreifern kontrollierte Projektinhalte als Anweisungen interpretiert werden und diese Anweisungen sicherheitsrelevante Operationen an anderer Stelle in der IDE beeinflussen dürfen", so Mindguard. Der Fehler ziehe sich durch die gesamte Kette: Repository-Inhalte beeinflussen den Agenten, der Agent liest sensible lokale Informationen, schreibt sie in sicherheitsrelevante IDE-Konfiguration, und eine nachgelagerte Funktion der IDE verwandelt die veränderte Konfiguration in Netzwerkverkehr.
Der Befund baut auf einer früheren Erkenntnis derselben Forscher auf. Dort konnten Direktiven in einer Steering-Datei dafür sorgen, dass lokale Informationen in eine Markdown-Bildanfrage eingebettet und so an einen externen Server geschickt wurden. „Durch das sorgfältige Erstellen einer Steering-Datei, die eine lokale Datei liest und ein Markdown-Bild rendert, kann ein Angreifer die KI dazu bringen, sensible Daten an einen externen Server zu senden", hieß es damals von Mindguard.
Es ist nicht die erste Schwachstelle in Kiro. Im Juni 2026 schloss Amazon eine Lücke bei der Zugriffskontrolle (CVE-2026-10591, CVSS-Wert 8.8), über die ein entfernter, nicht authentifizierter Angreifer beliebige Befehle ausführen konnte. Präparierte Anweisungen führten zu Schreibzugriffen auf ausführungsrelevante Pfade wie „.vscode/tasks.json" oder „~/.kiro/settings/mcp.json" und ermöglichten so die automatische Ausführung beim Öffnen eines Ordners.
„Indem er versteckte Anweisungen auf einer Webseite platziert, die Kiro liest, kann ein Angreifer Kiro dazu bringen, seine eigene MCP-Serverkonfigurationsdatei umzuschreiben, und erlangt beliebige Codeausführung auf dem Rechner des Entwicklers", beschrieb Intezer diesen Fall. Dem Nutzer werde dabei zu keinem Zeitpunkt eine verdächtige Bestätigungsabfrage angezeigt — der Entwickler habe Kiro lediglich um eine legitime Aktion gebeten.
Das Grundproblem sieht Mindguard darin, dass KI-Entwicklungsumgebungen Interpretation und Ausführung im selben Arbeitsablauf zusammenführen: Repository-Dateien liefern dem Modell Kontext, während der Agent Dateien lesen, Werkzeuge aufrufen und weitere Funktionen der Anwendung aktivieren kann. „Die Kiro-Befunde legen ein Problem offen, das über eine einzelne IDE oder ein einzelnes Offenlegungsprogramm hinausgeht", so die Forscher. KI-Schwachstellen entstünden aus dem Zusammenspiel von Modellinterpretation, Anwendungslogik, Werkzeugen, Konfiguration und externen Ressourcen — und ließen sich deshalb mit Verfahren, die auf klar umrissene Softwarefehler zugeschnitten sind, nur schwer bewerten. Offenlegungsprogramme müssten Ausführungspfade künftig mit derselben Detailtiefe prüfen wie die Forscher, die sie entdecken.