Agentische KI-Entwicklungsumgebungen verbinden zunehmend Interpretation, Dateizugriff und Tool-Nutzung in einem durchgängigen Workflow. Genau dort setzt die aktuelle Warnung an: Bei Kiro Prompt Injection kann eine geschaffene Projektstruktur den Kiro-Agenten so lenken, dass lokale, sensible Informationen aus der Arbeitsumgebung heraus an einen externen Empfänger gelangen.
Die Schwachstelle wurde von Sicherheitsforschern beschrieben, jedoch ohne zugewiesene CVE-Nummer. Betroffen ist Kiro IDE 0.7.45 unter Windows; die neueste Version, die im Bericht genannt wird, ist 1.0.337. Ein Fix wurde laut Mindguard bereits über eine frühere Version umgesetzt.
Was ist die Schwachstelle hinter Kiro Prompt Injection?
Im Kern geht es um eine Sicherheitslücke in Amazons KI-gestützter IDE namens Kiro. Der Mechanismus basiert darauf, dass Inhalte aus einem Repository (also aus dem Projekt selbst) vom Agenten als Anweisungen interpretiert werden können. Diese beeinflussten Anweisungen wirken sich dann auf sicherheitsrelevante Schritte innerhalb der IDE aus.
Wie die Forscher erklären, muss ein Angreifer dafür nicht zwingend eine speziell formulierte, bösartige Prompt-Nachricht an die KI senden. Stattdessen genügt ein vorbereitetes Setup über die Projektinhalte: Sobald die IDE die Inhalte verarbeitet, kann der Agent an anderer Stelle im Ablauf auf lokale Daten zugreifen und diese schließlich so vorbereiten, dass später ein IDE-Feature daraus Netzwerkaktivität erzeugt.
Die berichtete Ausnutzbarkeit wird als gering eingestuft. Entscheidend sind allerdings die konkreten Nutzeraktionen.
Wie kann ein Angreifer sensible Daten exfiltrieren?
Mindguard beschreibt eine Angriffskette, bei der mehrere Komponenten ineinandergreifen: Repository-Inhalte steuern den Agenten, der Agent liest anschließend Informationen aus dem lokalen Workspace, schreibt diese Daten in eine sicherheitsrelevante IDE-Konfiguration und eine folgende Fähigkeit der IDE macht daraus dann den Versand nach außen.
Der zentrale Punkt: Der Nutzer muss Kiro nicht ausdrücklich darum bitten, auf bestimmte Daten zuzugreifen oder sie zu übertragen. Wenn die erforderlichen Bedingungen erfüllt sind, kann die Exfiltration laut Bericht auch ohne eine entsprechende, bewusste Anfrage passieren.
Wichtige Rolle: Kiro Powers
Kiro Powers geht über reine „Skills“ hinaus. Es bündelt unter anderem Konfigurationen für MCP-Server, sogenannte Steuerdateien („POWER.md“), Hooks sowie kontextuelles Wissen. Die Steuerdatei wird dabei sinngemäß als eine Art Onboarding-Anleitung verstanden: Sie liefert persistenten Kontext und erklärt dem Agenten, welche MCP-Tools verfügbar sind und wann er sie einsetzen soll.
Genau an diesen Stellen, an denen Projektinhalte in den Agentenfluss und die Konfiguration der Tools einwirken, können Grenzen zwischen „vertrauenswürdigem“ und „nicht vertrauenswürdigem“ Inhalt verschwimmen.
Welche Nutzeraktionen sind erforderlich?
Damit die Schwachstelle erfolgreich ausgenutzt werden kann, nennt der Bericht zwei konkrete Handlungen:
- Der Nutzer muss das bösartige Projekt über eine Workspace-Datei öffnen: File → Open Workspace From File. Laut Mindguard reicht es nicht, lediglich den Ordner direkt zu öffnen.
- Danach muss der Nutzer eine Nachricht an den Kiro-Agenten senden.
Bemerkenswert ist zudem: Die Ausnutzung soll sowohl mit vertrauenswürdigen als auch untrusted Workspaces reproduzierbar sein.
Ein weiterer Aspekt, der die Gefahr erhöht: Selbst ohne eine bösartige Prompt-Formulierung oder ohne dass der Nutzer den Angreifer-inhaltlich referenziert, kann der problematische Ablauf ausgelöst werden. Entscheidend ist die Kombination aus vorbereiteten Projekt-/Workspace-Inhalten und dem anschließenden Agent-Trigger durch eine Nachricht.
Warum ist das besonders kritisch?
Die Meldung ordnet die Schwachstelle in einen größeren Trend ein: Moderne KI-Entwicklerwerkzeuge bringen Interpretation und Ausführung immer enger zusammen. Dadurch können Dateien aus einem Repository nicht nur Kontext liefern, sondern auch als „Anweisungen“ wirken. Gleichzeitig kann der Agent Dateien lesen, Tools aufrufen und zusätzliche Funktionen innerhalb der Anwendung aktivieren.
Wenn dabei Grenzen nicht sauber getrennt sind, entsteht genau das Problem, das in der Untersuchung als Trust-Boundary-Failure beschrieben wird: Inhalte, die aus dem Repository kommen, beeinflussen sicherheitsrelevante Operationen an anderer Stelle im IDE-Ablauf.
Für Nutzer bedeutet das: Die reine Annahme, dass Projektdateien „nur“ Kontext liefern, reicht nicht. In agentischen Systemen können solche Daten unmittelbare Wirkung auf Aktionen haben, die am Ende Netzwerkzugriff ermöglichen.
Bereits ein früherer Fehler im gleichen Umfeld
Die Kiro-Prompt-Injection-Schwachstelle baut laut Mindguard auf einem früher gemeldeten Problem auf. Damals ging es um Steuerdateien (Steering Files), die dazu führen konnten, dass lokale Informationen in eine Markdown-Bildanfrage integriert und an einen externen Server übertragen werden.
Im Prinzip wird beschrieben, dass ein Angreifer eine Steuerdatei so formulieren kann, dass eine lokale Datei gelesen und anschließend in einer Markdown-Renderanfrage wiedergegeben wird. Durch diese Kette kann die KI dazu gebracht werden, sensible Daten an einen externen Server zu senden.
Fix: Welche Versionen sind betroffen?
Nach verantwortungsvoller Offenlegung wurde dem Bericht zufolge ein Patch implementiert. Für Kiro IDE gilt dabei:
- Genannt als betroffen: 0.7.45 (Windows)
- Genanntes Update: Fix in 0.8.140
- Als neueste Version im Kontext: 1.0.337
Wer Kiro nutzt, sollte daher besonders zeitnah prüfen, ob die eigene Installation auf einer gefixten Version läuft. In agentischen Umgebungen kann ein Update die Angriffsfläche erheblich reduzieren.
Einordnung: Mehrere KI-Tools betroffen
Die Kiro-Erkenntnisse sind nicht isoliert. Der Bericht verweist auf eine Reihe weiterer Schwachstellen in KI- und Agenten-Tools. Dabei geht es um unterschiedliche Mechanismen wie Prompt Injection, Vertrauensgrenzen zwischen Sandbox und Host, unzureichende Zugriffskontrollen oder das Umleiten von Tool-Aufrufen.
Das Grundmuster ist jedoch ähnlich: Wenn KI-Software Tools aufrufen, Konfigurationen ändern und externe Inhalte verarbeiten kann, werden Sicherheitsprüfungen komplexer. Schwachstellen entstehen häufig nicht nur in einem einzelnen Bauteil, sondern aus der Wechselwirkung mehrerer Komponenten entlang des Ausführungswegs.
Was können Nutzer und Teams konkret tun?
Aus der Meldung lassen sich vor allem praktische Maßnahmen ableiten:
- Aktualisieren: Stellen Sie sicher, dass die verwendete Kiro-Version auf einem Stand ist, in dem der Fix enthalten ist.
- Arbeitsumgebungen vorsichtig öffnen: Besonders bei unbekannten Projekten sollten Nutzer genau auf den beschriebenen Öffnungsweg achten (Workspace-Datei statt nur Ordner).
- Agenten-Nachrichten bewusst prüfen: Wenn ein Tool nach dem Öffnen eines Projekts automatisch Kontext aufgreift, sollten Nachrichten und Aufgabenstellung klar und nachvollziehbar sein.
- Trust-Grenzen ernst nehmen: Teams sollten davon ausgehen, dass „Projektdateien“ in agentischen Umgebungen mehr als nur Information liefern können.
Fazit
Kiro Prompt Injection zeigt, wie riskant das Zusammenspiel aus Repository-Inhalten, agentischer Interpretation und Tool-/Konfigurationslogik in modernen KI-IDEs werden kann. Laut Bericht reicht es unter bestimmten Bedingungen aus, ein vorbereitetes Workspace-Setup zu öffnen und anschließend eine Nachricht an den Agenten zu senden, damit lokale sensible Daten in Richtung eines externen Endpunkts gelangen können.
Der wichtigste Schritt ist jetzt: Kiro zeitnah aktualisieren und den Umgang mit unbekannten Workspaces/Projektinhalten im Arbeitsalltag konsequent anpassen.
Quelle: https://thehackernews.com/2026/08/amazon-kiro-prompt-injection-can.html
