Schwachstelle in Amazon Kiro ermöglicht Datenexfiltration mit Kiro Powers

Sicherheitsforscher haben einen Ausfall in Amazon Kiro, der integrierten Entwicklungsumgebung (IDE) mit IA-getriebenen Agent-Funktionalitäten, die die Exfiltration lokaler Daten durch den Umgang mit Projektdateien und so genannten "Kiro Powers" ermöglicht. Geprüft: vulnerability wurde gegen Kiro IDE 0.7.45 unter Windows von der MindGuard-Firma reproduziert und, nach verantwortlicher Offenlegung, Amazon korrigierte den Fehler in der Version 0.8.140; die neueste Version verfügbar ist 1.0.337.

In einfachen Worten nutzt die Angriffskette Repository-Dateien, die vom Angreifer gesteuert werden, dass die IA selbst als Anweisungen interpretiert. Kiro Powers - welche Gruppe MCP-Server-Konfigurationen (Model Context Protocol), Adressdateien wie "POWER.md", Haken und kontextuelles Wissen - kann einen persistenten Agenten mit dem Kontext und den Tools zu verwenden. MindGuard zeigte, dass, wenn ein Benutzer eine schädliche Workspace-Datei mit File → Open Workspace From File öffnet und dann eine Nachricht an den Agenten sendet, der verwundbare Fluss aktiviert und sensible Informationen an einen externen Server übertragen werden kann. ohne dass der Benutzer die Sendung ausdrücklich angefordert hat.

Die verifizierten Elemente des Angriffs sind klar: Die Explosion ist sowohl in markierten als auch "vertrauenswürdigen" Arbeitsräumen reproduzierbar und in denen nicht, die Betriebsschwierigkeit wurde als niedrig eingestuft und der Vektor erfordert nicht, dass der Benutzer eine böswillige Aufforderung schreibt: es genügt, die Workspace-Datei zu öffnen und eine Nachricht zu senden, um die Filtration auszulösen. MindGuard beschreibt die Wurzel als Ausfall an den Trust-Grenzen: Die vom Repository kontrollierten Inhalte beeinflussen den Agenten; der Agent liest sensible lokale Informationen; diese Informationen werden in IDE-Konfigurationen geschrieben und eine spätere IDE-Kapazität verwandelt diese Konfiguration in den Netzwerkverkehr.

Wie es technisch funktioniert: Kiro integriert Kontextinterpretation und Werkzeugausführungen in den gleichen Fluss. Projektdateien können persistente Anweisungen (die POWER.md-Datei) injizieren, die dem Agenten sagen, dass MCP-Server und Haken verfügbar sind und wann sie aufgerufen werden. Wenn diese Anweisungen es Ihnen erlauben, lokale Dateien zu lesen und dann in einem Anruf auf eine externe Ressource (z.B. eine HTTP-Anfrage an eine angreifergesteuerte URL) zu formatieren, werden die Informationen ohne zusätzliche Benutzerzulassung ausgefiltert. Die von MindGuard ausgenutzte spezifische Sicherheitslücke verknüpft die Fähigkeit des Agenten, Konfigurationen zu lesen und zu schreiben, und die Fähigkeit der IDE, diese Konfigurationen in Netzwerkaktivitäten auszuführen oder zu konvertieren.

Wer ist betroffen: Endbenutzer und Organisationen, die gefährdete Versionen von Kiro unter Windows ausführen, insbesondere 0.7.45 nach veröffentlichten Tests. Zum Zeitpunkt des Berichts gibt es keine CVE-Kennung, die diesem Fehler zugeordnet ist; Amazon hat jedoch bereits einen Patch bereitgestellt. Es wird nicht durch öffentliche Quellen bestätigt, wenn macOS oder Linux in gleichem Maße getestet oder betroffen wurden; diese Erweiterung bleibt unsicher.

Diese Suche Links mit einem breiteren Trend: Mehrere Tools und Entwicklung CLis mit IA-Fähigkeiten haben Fehler gezeigt, die von der Exfiltration von Geheimnissen über Remote-Ausführung von Code durch Vektoren wie schnelle Injektion, Handhabung von zuverlässigen Konfigurationsdateien und Missbrauch von Suchrouten auf Windows ermöglichen. Eines der vorherigen Probleme in Kiro (CVE-2026-10591) hatte bereits gezeigt, dass die Schwerkraft möglich ist, wenn ein Schauspieler das Nachschreiben von sensiblen Konfigurationsdateien drängen kann und eine automatische Ausführung beim Öffnen eines Ordners verursachen kann. Für technische Referenzen und verwandte Sicherheitsdatensätze siehe z.B. die NVD-Datei auf der CVE-2026-10591 und die von der Firma veröffentlichten Analysen, die die Feststellung gemeldet haben: CVE-2026-10591 in NVD und Das ist mein Freund..

Tatsächliche Konsequenzen: In praktischen Risikoszenarien könnte ein Entwickler, der ein Projekt öffnet, das von einem unbekannten Repository heruntergeladen wird (oder sogar scheinbar zuverlässig, wenn der Angriff versteckt ist) Schlüssel, Token, privaten Code oder jede Datei, die dem IDE-Prozess zugänglich ist, an angreifergesteuerte Server filtern. Da die Aktivierung dem Agenten nur eine "Nachricht senden" erfordert, erscheint die Aktion aus Sicht des Nutzers banal, was das Risiko einer zufälligen Ausbeutung erhöht. Im Bericht über die Ausbeutung der wilden Staaten gibt es keine öffentlichen Beweise, so dass der tatsächliche Umfang früherer Einbrüche unsicher bleibt.

Besondere Maßnahmen des Lesers: praktische Empfehlungen, Unterscheidung zwischen unmittelbaren Schritten und strukturellen Maßnahmen:

Sofortige Aktualisierung: wenn Sie Kiro verwenden, aktualisieren Sie so schnell wie möglich. Der gemeldete Patch ist in der Version 0.8.140 vorhanden; das Ideal ist, sich auf die jüngste stabile Version zu bewegen (die im Bericht erwähnte 1.0.337) und die Release Notes vor und nach der Aktualisierung zu überprüfen.

Verfahren zur Projekteröffnung: Vermeiden Sie das Öffnen von Workspace-Dateien aus nicht bestimmten Quellen mit File → Öffnen Sie Workspace From File; stattdessen klonen Sie das Repository und öffnen Sie den Ordner direkt oder manuell inspizieren Sie die Workspace-Datei und jeden POWER. md, bevor Kiro es verarbeiten kann.

Das Netzwerk aus Entwicklungsumgebungen zurückhalten: die Firewall-Regeln implementieren, die die ausgehenden IDE-Prozessverbindungen auf nicht genehmigte Ziele beschränken und Proxies oder Datensätze verwenden, um unerwartete ausgehende HTTP-Anforderungen zu erkennen. Für empfindliche Geräte, betrachten Isolierung in Containern oder virtuellen Maschinen mit strengen Netzwerkrichtlinien.

Konfigurationskontrolle und Audit: die automatische Installation von MCP-Servern, Haken oder einer beliebigen Remote-Tool-Last von externen Repositories deaktivieren oder einschränken und Änderungen an Konfigurationsdateien überwachen, die Netzwerkziele oder automatische Befehle enthalten können.

Organisationspolitik und Revisionen: Behandeln Sie Projektdateien als ausführbarer Code: Bewerben Sie Änderungsüberprüfung (Pull Requests), automatisches Scannen von POWER. md Inhalte und Regeln, die Artefakte mit automatischen Ausführungsanweisungen blockieren. Kontrollieren Sie für den Zugriff auf geheimes Scannen und Limits auf sensible Dateilesegenehmigungen der IDE.

Wenn Sie eine Exposition vermuten: Rekrutieren und rotieren Anmeldeinformationen (Token, SSH-Tasten, API-Tasten), die aus dem Arbeitsraum zugänglich gewesen sein könnten und überprüfen Netzwerk-Ausgabeprotokolle aus der Risikoperiode, um ungewöhnliche Ziele zu identifizieren. Es gibt keine öffentlichen Beweise für die Massenausbeutung, aber wenn es einen begründeten Verdacht gibt, handeln, als wären Geheimnisse offenbart worden.

Schließlich ist es wichtig zu betonen, dass Schwachstelle ist nicht nur ein zeitgemäßer Kiro-Bug aber ein Symptom eines architektonischen Problems: Wenn IA-Agenten und Ausführungsmöglichkeiten mit der Konfiguration und Inhalt des Projektarchivs vermischt werden, werden die Vertrauensgrenzen freigelegt. Outreach-Programme sollten sich entwickeln, um End-to-End-Ausführungsrouten auszuwerten, und IA-Tool-Entwickler müssen Steuerungen erstellen, die den Repository-Inhalt explizit von der Ausführungsebene und den Netzwerkeinstellungen trennen. Für zusätzliche Risikolesungen und Sicherheitsführer in IA kann der Leser offizielle Ressourcen wie die von CISA zur künstlichen Intelligenz konsultieren: CISA - Künstliche Intelligenz.