Wiz-KI-Agent entdeckt Schwachstelle in Snowflakes GitHub Actions

Ein autonomer KI-Sicherheitsagent von Wiz entdeckte und nutzte eine Schwachstelle in Snowflakes GitHub Actions aus, durch die Zugangsdaten für ein internes Jira-System offengelegt wurden.

Die Schwachstelle ermöglichte es nicht authentifizierten Nutzern, Befehle auszuführen, indem sie ein GitHub-Issue mit einem speziell präparierten Titel einreichten. Snowflake behob das Problem und ersetzte die betroffenen Zugangsdaten, nachdem Wiz die Schwachstelle gemeldet hatte.

Schwachstelle in Snowflakes GitHub Actions legte internes Token offen

Das Problem betraf Snowflakes öffentliches GitHub-Repository snowflake-connector-net.

Ein anfälliger Workflow verarbeitete die Titel von GitHub-Issues auf unsichere Weise innerhalb eines Shell-Skripts. Sobald ein Nutzer ein Issue erstellte, wurde die Automatisierung automatisch ausgeführt. Ein Angreifer konnte diesen Prozess ausnutzen, um Befehle innerhalb der Workflow-Umgebung auszuführen.

Wiz zufolge identifizierte der autonome Red Agent des Unternehmens die Schwachstelle fünf Tage, nachdem der anfällige Code veröffentlicht worden war. Anschließend demonstrierte der Agent, dass er ein mit Snowflakes interner Jira-Umgebung verknüpftes Token extrahieren konnte.

Dieses Token hätte möglicherweise weiteren Zugriff auf sensible interne Systeme ermöglicht. Snowflake erklärte jedoch, dass die Untersuchung des Unternehmens keine Hinweise darauf ergeben habe, dass unbefugte Personen auf seine Systeme zugegriffen hätten.

KI-Tools und Sicherheitsprüfungen übersahen das Problem

Der anfällige Code gelangte über einen Pull Request in das Repository, der ursprünglich im August 2025 eingereicht worden war.

Laut Wiz kam bei dem Pull Request KI-gestützte Programmierung zum Einsatz und auch die Sicherheitstools von GitHub waren beteiligt. GitHub Advanced Security scannte den endgültigen Code, während ein menschlicher Prüfer ihn schließlich genehmigte und zusammenführte.

Keine dieser Prüfungen erkannte jedoch das kritische Risiko einer Command Injection.

Das Problem entstand Berichten zufolge, nachdem Entwickler eine sicherere Methode zur Datenverarbeitung durch die direkte Interpolation des Issue-Titels in einen Shell-Befehl ersetzt hatten. Ein solches Muster kann nicht vertrauenswürdige Benutzereingaben in ausführbaren Code verwandeln.

Wiz erklärte, der Fall zeige, wie KI-Coding-Assistenten unsichere Programmiermuster einführen können, die automatisierte Überprüfungen und herkömmliche Sicherheitsscans möglicherweise nicht erkennen.

Autonome KI fand und testete die Schwachstelle

Der KI-Agent von Wiz beschränkte sich nicht darauf, das Problem zu melden. Das Unternehmen erklärte, dass der Agent den anfälligen Workflow selbstständig identifizierte, die Schwachstelle testete und bestätigte, dass er mit dem offengelegten Token auf sensible Daten zugreifen konnte.

Berichten zufolge passte der Agent seine Vorgehensweise an, nachdem ein erster Versuch fehlgeschlagen war, und bewertete anschließend die möglichen Auswirkungen neu. Wiz meldete das Problem am 23. Juni an Snowflake, am selben Tag, an dem das Unternehmen die Schwachstelle bestätigte.

Snowflake behob die Schwachstelle und ersetzte die betroffenen Jira-Zugangsdaten. Das Unternehmen erklärte, dass es seine Praktiken für Softwareentwicklung und Sicherheit weiter verbessert.

KI-Entwicklung benötigt stärkere Sicherheitskontrollen

Die Schwachstelle in Snowflakes GitHub Actions verdeutlicht eine wachsende Herausforderung für Softwareteams. KI-Coding-Tools können die Entwicklung beschleunigen, gleichzeitig aber auch veraltete oder unsichere Programmiermuster erzeugen.

Sicherheitsteams sollten KI-generierten Code mit derselben Vorsicht behandeln wie manuell geschriebenen Code. Dazu gehört, Workflows zu überprüfen, die benutzergesteuerte Daten verarbeiten, Shell-Skripte auf unsichere Eingabeverarbeitung zu kontrollieren und automatisierte Prozesse vor der Bereitstellung zu testen.

Der Fall zeigt außerdem, wie schnell autonome Sicherheitstools Schwachstellen identifizieren können. Verteidiger müssen sich möglicherweise auf Bedrohungen vorbereiten, bei denen zwischen Entdeckung und Ausnutzung nur Stunden statt Tage liegen.