KI-Programmierwerkzeuge mit eigenen Lücken: Sandbox-Ausbrüche in Cursor, unsicher geladene Konfigurationsdateien in Claude Code und Gemini CLI

Zu KI-Programmierwerkzeugen sind 2026 eine Reihe eigener Sicherheitslücken bekannt geworden. Betroffen sind unter anderem Claude Code, Cursor, GitHub Copilot, OpenAI Codex und Gemini CLI von Google, ein Werkzeug für die Kommandozeile, englisch Command Line Interface (CLI). Nach einer Abfrage der US-Schwachstellendatenbank National Vulnerability Database (NVD) vom 29. September 2026 stehen dort für das laufende Jahr 15 Einträge zu Claude Code und 10 zu Cursor. Ausgewertet hat die Einträge die Provimedia GmbH aus Bietigheim-Bissingen, die mit Code Guardian ein Prüfpaket für den Arbeitsablauf von KI-Programmierwerkzeugen anbietet.

Die Hersteller veröffentlichen Hinweise zu den Lücken, Anthropic und Cursor in ihren GitHub-Repositorys. Die Nummern nach dem Kennungssystem Common Vulnerabilities and Exposures (CVE) vergeben dafür zugelassene Stellen, bei Anthropic und Cursor meist GitHub. Die NVD des National Institute of Standards and Technology (NIST), der US-Standardisierungsbehörde, führt sie als öffentlich nummerierte Schwachstellen und ergänzt eigene Bewertungen. Die Lücken betreffen Agenten, die mit den Rechten des angemeldeten Nutzers Befehle ausführen, Dateien schreiben und Webseiten abrufen. Mehrere Einträge beschreiben, wie präparierte Repository-Inhalte oder eingeschleuste Anweisungen den Agenten dazu bringen, Code außerhalb seiner vorgesehenen Grenzen auszuführen.

Wie viele Schwachstellen führt die NVD 2026 zu Claude Code und Cursor?

Nach der Abfrage vom 29. September 2026 führt die NVD für das Jahr 2026 bislang 15 Einträge zu Claude Code und 10 zu Cursor. Gezählt hat Provimedia veröffentlichte, nicht zurückgezogene NVD-Einträge, deren Beschreibung das Werkzeug selbst als betroffenes Produkt nennt, unabhängig davon, wer die Lücke gemeldet hat. Ermittelt wurde die Zahl über die NVD-Stichwortsuche nach „Claude Code“ und „Cursor“ vom 29. September 2026. Gegengeprüft ist sie an der CVE-Liste des CVE-Programms vom selben Tag, ausgewählt über die dort eingetragenen Hersteller- und Produktnamen; beide Wege ergeben dieselben Einträge. Mitgezählt ist der Cloud Agent von Cursor, nicht aber zurückgezogene Einträge, Claude Desktop, Claude Code Action und Produkte anderer Anbieter.

Nicht alle Einträge beruhen auf einem Herstellerhinweis. CVE-2026-63093 vergab VulnCheck, gefunden hat die Lücke Mindgard: Cursor für Windows 3.2.16 führte beim Start eine Datei git.exe aus dem Wurzelordner eines geöffneten Repositorys aus. Wer ein präpariertes Repository öffnete, startete so ohne Rückfrage fremden Code.

Für GitHub Copilot, OpenAI Codex und Gemini CLI liegen die Herstellerhinweise nicht vollständig im Repository des jeweiligen Werkzeugs; eine zweite, unabhängige Zählung war dort nicht möglich. Ausgewählte Einträge aus den Herstellerhinweisen zeigen stattdessen die Bandbreite.

Warum der Sandbox-Ausbruch in Cursor als kritisch eingestuft ist

Cursor führt Terminalbefehle des Agenten standardmäßig in einer Sandbox aus, einem abgeschotteten Bereich mit Schreibrecht nur im Arbeitsverzeichnis. Vor Version 3.0 konnte der Agent laut Eintrag CVE-2026-50548 dieses Arbeitsverzeichnis selbst auf einen sensiblen Ort außerhalb des Projekts setzen und dort Dateien mit den Rechten des Nutzers schreiben. Der Herstellerhinweis GHSA-3p48-7v9f-v5cw vom 5. Juni 2026 nennt als Folge Codeausführung außerhalb der Sandbox, etwa durch Überschreiben des Sandbox-Hilfsprogramms, ohne weiteres Zutun des Nutzers nach einer harmlosen Eingabe.

Das NIST bewertet die Lücke im Common Vulnerability Scoring System (CVSS) Version 3.1 mit 9,8 Punkten; die Skala reicht laut Spezifikation des Forums FIRST von 0,0 bis 10,0. Die meldende Stelle vergibt nach CVSS 4.0 einen Wert von 9,3. Beide Einstufungen lauten „kritisch“. Eine Ausnutzung erwähnt der Herstellerhinweis nicht.

Warum auch die Netzwerkzugriffe eines Agenten zur Angriffsfläche werden

Bei Claude Code war nach Eintrag CVE-2026-54316 der Rechnername huggingface.co für das Abrufwerkzeug WebFetch vorab freigegeben, und zwar für jeden Pfad dieser Domain. Wer eigene Inhalte in den Arbeitskontext des Agenten einschleusen konnte, hätte darüber Dateien, Umgebungsvariablen oder Befehlsausgaben kodiert nach außen leiten können. Anthropic hat die Lücke in Version 2.1.163 geschlossen. Der Fall zeigt, dass eine Freigabeliste für Webadressen zur Sicherheitsgrenze eines Werkzeugs gehört.

Wer einem KI-Programmierwerkzeug ein Zusatzpaket hinzufügt, erweitert auch dessen Netzverkehr. Für Code Guardian, ein Skill-Paket, das innerhalb von Claude Code oder Codex läuft, legt Provimedia auf der Übersicht über die Netzaufrufe des Prüfpakets offen, dass es keine Telemetrie sendet und keinen Server von Provimedia aufruft. Als Ausnahmen nennt die Seite einen Abgleich mit dem Upstream, also der entfernten Fassung, des eigenen Repositorys, auf Wunsch eine Abfrage des eigenen Servers sowie Registry-Abfragen, wenn composer audit oder npm audit laufen.

„Ein KI-Programmierwerkzeug läuft unter dem Konto, mit dem es gestartet wird. Überwindet es seine Sandbox, handelt es mit den Rechten dieses Kontos. Entscheidend finden wir, wie schnell ein Team die behobene Version tatsächlich einspielt“, sagt Alexander Weipprecht, Geschäftsführer der Provimedia GmbH.

Welche Lücken in Claude Code und Gemini CLI setzen besondere Umgebungen voraus?

Zwei der Claude-Code-Einträge von 2026 treffen vor allem Rechner, an denen mehrere Personen arbeiten. Nach CVE-2026-35603 lud Claude Code unter Windows vor Version 2.1.75 die Datei managed-settings.json aus dem Ordner ProgramData, ohne Besitzer und Zugriffsrechte zu prüfen; ein anderer lokaler Nutzer konnte dort eine eigene Konfiguration ablegen. Nach CVE-2026-46406 schrieb der Befehl /copy ab Version 2.1.59 bis vor Version 2.1.128 Antworten in eine Datei mit festem Pfad, die jeder lokale Nutzer lesen konnte. Das NIST bewertet die beiden Lücken nach CVSS 3.1 mit 7,3 und 6,1 Punkten, die meldende Stelle GitHub nach CVSS 4.0 mit 5,4 und 4,4.

Die Lücke in Gemini CLI zielt dagegen auf automatisierte Abläufe. Laut Googles Hinweis GHSA-wpqr-6v78-jr5g vom 24. April 2026 vertraute das Werkzeug im Headless-Modus, dem Betrieb ohne Bedienoberfläche etwa in GitHub Actions, Arbeitsordnern automatisch und ignorierte im Modus –yolo feinere Freigabelisten für Werkzeuge. Verarbeitet ein solcher Ablauf fremde Pull Requests oder Issues, konnte das laut Hinweis zu Codeausführung führen. Google hat das in gemini-cli 0.39.1 behoben.

Was Teams aus den CVE-Einträgen zu KI-Programmierwerkzeugen ableiten können

Außer bei Codex nennen alle Tabelleneinträge eine Version, ab der die Lücke behoben ist. Teams, die KI-Programmierwerkzeuge im Oktober 2026 einsetzen, können die installierte Version mit den Angaben der Herstellerhinweise abgleichen. Wie viele Einträge ein Werkzeug hat, sagt wenig über seine Sicherheit, solange nicht alle Hersteller ihre Lücken auf demselben Weg melden.

Die Provimedia GmbH ist ein Online-Verlag mit Sitz in der Region Stuttgart. Wir schaffen wertvolle Informationen in unterschiedlichen Branchen um Wissen schnell und einfach zugänglich zu machen. Wir haben uns auf übersichtliche Webseiten und Auffindbarkeit von Informationen spezialisiert.