Der von Mandiant dokumentierte Vorfall zeigt einen Angriffsweg, der direkt über ein Entwicklerwerkzeug führt: Ein Angreifer übernahm die laufende Sitzung eines KI-Programmierassistenten bei einem nicht namentlich genannten Anbieter von Software as a Service. Noch bevor es zur Ausbreitung in den Repositories kam, empfahl der Assistent eine Software, die der Angreifer zuvor manipuliert hatte – der Entwickler nahm die Empfehlung an.
Über die aktive Sitzung installierte der Angreifer anschließend einen Infostealer, ausgeliefert über ein vergiftetes PyPI-Paket. Zusätzlich entwendete er GitHub-OAuth-Token. Mit diesem Zugang brachte er den selbstverbreitenden Wurm Shai-Hulud in rund 100 internen Code-Repositories aus. Der Wurm griff dort Repository-Geheimnisse sowie den Quellcode der Produkte des Unternehmens ab.
Damit endete die Kette nicht: Der Angreifer manipulierte auch ein Paket im offiziellen Namensraum des betroffenen Unternehmens. Ein weiterer Beschäftigter bezog die kompromittierte Version, wodurch es zu einer zweiten Infektion kam.
Die öffentlich verfügbare Fallstudie lässt zentrale Fragen offen. Weder der Zeitpunkt des Einbruchs noch der Weg, auf dem der Angreifer die aktive Sitzung des Coding-Assistenten unter seine Kontrolle brachte, werden genannt. Der Fall erscheint in Mandiants Bericht vom September 2026; das Unternehmen empfiehlt daraus abgeleitet drei Schutzmaßnahmen für die KI-gestützte Softwareentwicklung.
Mandiant hatte den Einsatz von KI durch Angreifer bereits zuvor belegt. In einem Bericht vom März 2026 hielt das Unternehmen fest, dass Angreifer im Lauf des Jahres 2025 den Schwerpunkt verlagert hätten: weg von generativer KI als reinem Beschleuniger der eigenen Arbeit, hin zum Einsatz großer Sprachmodelle in Schadsoftware und in laufenden Angriffen.
Angriffe aus der Shai-Hulud-Familie haben zuletzt wiederholt Entwicklerwerkzeuge und Zugangsdaten ins Visier genommen. Im August vergiftete ein mit Keyv verbundener npm-Wurm hunderte Pakete und hinterlegte Hooks für Claude Code und Visual Studio Code. Eine spätere Analyse beschrieb eine Shai-Hulud-Variante, die 469 Speicherorte nach Zugangsdaten durchsuchte – auf Entwicklersystemen, in CI/CD-Werkzeugen, in Cloud-Konfigurationen und in Dateien von KI-Werkzeugen.
Diese Kampagnen liefen getrennt voneinander. Nach den verfügbaren Hinweisen besteht keine Verbindung zwischen ihnen und dem von Mandiant beschriebenen Einbruch bei dem ungenannten Anbieter.