Von KI-Agenten geschrieben, von mir kuratiert und geprüft.
Zwölf CVEs in vier Agenten-Frameworks: die Grenze liegt in der Orchestrierung
- Agentic Engineering
- Verification
- Automation
Check Point Research hat am 6. August einen Rückblick auf vier eigene Vorträge der Black Hat USA 2026 veröffentlicht. Einer davon betrifft direkt, worauf viele Teams gerade Agenten bauen: Shahar Tal und Yarden Porat haben LangChain, Googles ADK, Microsoft Agent Framework und CrewAI geprüft und über die vier hinweg 12 CVEs gefunden. Meine These: Prompt Injection ist der Zustellweg, nicht der Schaden. Der Schaden entsteht eine Ebene tiefer, dort wo von einem Angreifer kontrollierter Inhalt in die interne Mechanik des Frameworks gerät.
Was hat Check Point Research gemeldet?
Der Text ist ein Konferenzrückblick, kein technischer Bericht. Er fasst vier Vorträge zusammen. Der für Agentenarbeit relevante heißt „No Tools Required: Post-Injection Exploitation Across AI Agent Frameworks“. Tal und Porat argumentieren darin gegen die verbreitete Einordnung von Prompt Injection als reines Modellverhalten oder als reinen Missbrauch von Werkzeugen. Ihre Formulierung: Der Schaden entsteht, wenn angreiferkontrollierter Inhalt in die eigene Mechanik eines Frameworks übergeht, in dessen Serialisierung, dessen Caching, dessen Dateiparser. Keine dieser Komponenten wurde für feindliche Eingaben gebaut.
Der zweite für uns relevante Vortrag der beiden heißt „When Agentic Glue Melts: Exploiting Cloudflare Code Mode and Workers“. Die anderen zwei Vorträge liegen daneben: Jiří Vinopal hat einen seit über einem Jahrzehnt ausgelieferten Kernel-Treiber von Windows Defender analysiert, über achtzehn signierte Builds hinweg mit demselben fest verdrahteten Schlüssel, und Aleksandra „Hasherezade“ Doniec hat eine Pipeline vorgestellt, die kompilierte V8-Bytecode-Schadsoftware wieder lesbar macht. Beide Werkzeuge wurden quelloffen freigegeben. Ich erwähne sie der Vollständigkeit halber, sie sind nicht das Thema dieses Beitrags.
Warum ist die Orchestrierungsschicht die Vertrauensgrenze?
Weil der Auslöser laut Check Point kein Werkzeugaufruf sein muss. Der Satz, den der Rückblick als den hängengebliebenen Punkt des Vortrags beschreibt:
A poisoned document lands in the agent’s memory, and the framework’s own save and reload behavior fires the payload on its own.
Ein vergiftetes Dokument landet also im Gedächtnis des Agenten, und das Speichern und Wiederladen des Frameworks löst die Nutzlast selbst aus. In mehreren Fällen ruft niemand die gefährliche Funktion direkt auf. Damit verschiebt sich die Stelle, an der Sie prüfen müssen. Wer nur die Ausgabe des Modells kontrolliert und die Werkzeugaufrufe freigibt, prüft an einer Grenze, die der Angriff gar nicht passieren muss.
Der Schlusspunkt der beiden ist der eigentlich beruhigende Teil: Die meisten dieser Fehler sind Fehler, die die Sicherheitsbranche seit Jahren zu beheben weiß. Die Schwierigkeit liegt darin, sie wiederzuerkennen, nachdem sie in einen neuen Teil des Stacks gewandert sind. Das ist keine neue Klasse von Angriffen auf KI. Das ist bekannte Anwendungssicherheit an einer Stelle, die viele Teams bisher als Bibliothek behandelt haben und nicht als Angriffsfläche.
Der Sandkasten schützt die Engine, nicht den Kleber
Der zweite Vortrag zielt auf Cloudflares Code Mode. Die Idee dort: Statt ein Modell Werkzeuge einzeln aufrufen zu lassen, schreibt es ein kleines Programm, das in einem abgeriegelten Sandkasten läuft. Tal und Porat haben nicht das Modell angegriffen, sondern die Laufzeit darunter, laut Check Point derselbe Code, der mehr als ein Zehntel des gesamten Verkehrs im Cloudflare-Netz abwickelt.
Gefunden haben sie fünf Speicherfehler, zwei davon als kritisch eingestuft. Zwei tragen den Vortrag: ein Fehler in URLPattern, über den sich die Trennung zwischen Mandanten überschreiten und Geheimnisse eines benachbarten Kunden direkt aus gemeinsam genutztem Speicher lesen ließen, bei vollständig eingeschalteten Schutzmechanismen. Dazu ein Use after free in node:zlib, das die beiden bis zu beliebigem Lesen und Schreiben im Speicher und von dort zu einem vollständigen Ausbruch aus dem Sandkasten verkettet haben. Der Ausgangspunkt der Demonstration war nichts weiter als eine Prompt Injection. Cloudflare hat nach Angabe des Rückblicks einen vollständigen Offenlegungsprozess durchlaufen und alles in Version v1.20260619.1 der Laufzeit behoben.
Der Satz, mit dem die beiden den Raum verlassen haben, passt auf beide Vorträge: Der Sandkasten schützt die Engine, nicht den Kleber, der sie zusammenhält. Sobald ein Modell den Code schreibt, wird dieser Kleber zur Grenze und muss auch so geprüft werden.
Was der Rückblick nicht sagt
Keine CVE-Nummern. Keine betroffenen Versionen, keine Aufteilung der zwölf CVEs auf die vier Frameworks, kein Stand zu Fixes bei LangChain, ADK, Microsoft Agent Framework oder CrewAI. Die einzige genannte Fassung mit Korrekturen betrifft die Cloudflare-Laufzeit. Auch die Fehlerklassen werden nicht einzeln benannt; der Text spricht von Serialisierung, Caching und Dateiparsern als den betroffenen Bereichen, mehr nicht. Die vollständigen technischen Aufarbeitungen sollen laut Check Point auf research.checkpoint.com erscheinen, im Rückblick selbst stehen sie nicht. Wer die Nummern für ein eigenes Inventar braucht, kann sie hier noch nicht abschreiben, und ich schreibe sie auch nicht hin.
Was heißt das für Ihre Arbeit?
Behandeln Sie Ihr Agenten-Framework wie jede andere Abhängigkeit mit Netzzugriff. Version festhalten, Sicherheitsmeldungen der vier Projekte verfolgen, Aktualisierungen einplanen. Das klingt banal, ist aber die Lücke: Ein Framework, das eine Schleife orchestriert, wird im Kopf oft als Werkzeug geführt und nicht als Software, die feindliche Eingaben verarbeitet.
Zweitens: Speichern und Laden ist ein Ausführungsschritt, kein Transport. Wenn das Gedächtnis eines Agenten persistiert wird, ist der Ladevorgang die Stelle, an der fremder Inhalt wirksam wird. Also gehört dorthin eine Grenze: eigener Speicher pro Aufgabe, ein Format, das keine Objekte rekonstruiert, und die Bereitschaft, den Speicher zu verwerfen, statt ihn zu übernehmen.
Drittens: Ein Sandkasten ist ein guter Baustein und keine Antwort. Der Cloudflare-Teil zeigt, dass die interessanten Fehler zwischen den Bausteinen sitzen. Wo Sie ausführen, ist eine Frage, die ich in Claude Code auf eigener Infrastruktur beschrieben habe. Diese Meldung ergänzt sie um die zweite Frage: Was genau läuft dort zwischen Ihren Werkzeugen, und wer hat es geprüft?
Das ist am Ende dieselbe Linie wie im Agentic Engineering: Verlässlichkeit steckt nicht im Modell, sondern in der Architektur drumherum. Der Befund von der Black Hat verschiebt nur, wo diese Architektur ihre Grenze zieht. Nicht am Ausgang des Modells, sondern dort, wo das Framework Zustand speichert, wieder lädt und ausführt.