Die Sicherheitsexperten der Phantom Labs von BeyondTrust haben im Dezember 2025 eine kritische Schwachstelle in OpenAI Codex entdeckt und OpenAI unverzüglich informiert. Das Unternehmen reagierte schnell und behob alle identifizierten Sicherheitsprobleme. Dennoch wirft der Vorfall wichtige Fragen zur Sicherheit von KI-gestützten Entwicklungswerkzeugen auf.
OpenAI Codex ist ein großes Sprachmodell, das natürlichsprachliche Anweisungen in ausführbaren Quellcode übersetzt. Das Tool wird von Entwicklern weltweit bei der Arbeit mit GitHub-Repositories zur Codegenerierung und bei Pull Requests verwendet – auch in Deutschland, wo die Adoption solcher KI-Tools rapide wächst.
Die Schwachstelle lag in der unzureichenden Eingabevalidierung bei der Verarbeitung von GitHub-Branchnamen durch Codex. Durch das Einschleusen von Befehlen über den GitHub-Branch-Namen-Parameter konnten die Forscher willkürliche Schadcode-Payloads innerhalb des Container-Systems des Agenten ausführen und sensible Authentifizierungstoken abrufen. Besonders bemerkenswert: Die Forscher entwickelten obfuskierte Payload-Techniken mit Unicode-Zeichen, um die Malware unsichtbar für die Benutzeroberfläche auszuführen.
Die Forschung zeigt ein fundamentales Problem: OAuth-Token haben eine lange Geschichte als Einfallstor für Sicherheitsverletzungen im KI-Kontext. 2025 führte der Salesloft-Vorfall zur Kompromittierung von über 700 Organisationen. Die besondere Gefahr liegt in der Kettenreaktion – ein einziger gestohlener Token könnte Zugriff auf Open-Source-Repositories ermöglichen, die von Entwicklern verschiedener Organisationen genutzt werden, und somit zu Seitwärtsbewegungen über mehrere Unternehmen hinweg führen.
Obwohl die von BeyondTrust entdeckten Token kurzlebig waren und schnell verfallen, könnten Angreifer theoretisch Automatisierung einsetzen, um Tokens zu stehlen und auszunutzen, bevor sie ablaufen – und dies bei mehreren Nutzern eines gemeinsamen Repositories gleichzeitig.
Die wichtigste Erkenntnis: KI-Codieragenten sind nicht bloße Produktivitätswerkzeuge. Sie sind Live-Ausführungsumgebungen mit Zugriff auf sensible Berechtigungsdaten und organisatorische Ressourcen. Sicherheitsteams müssen lernen, die Identitäten von KI-Agenten zu kontrollieren und Command-Injection-Angriffe sowie Token-Diebstahl zu verhindern. Mit der zunehmenden Integration von KI-Agenten in Entwickler-Workflows muss die Sicherheit der verwendeten Container mit derselben Rigorosität wie jede andere Anwendungssicherheitsgrenze behandelt werden.