Dein KI-Agent bekommt einen Marktplatz. Jede Erweiterung darf dann alles, was du darfst.

Was gerade dazugekommen ist

Anthropic betreibt seit einiger Zeit ein offizielles Repository mit Agent Skills, also fertigen Ordnern aus Anweisungen, Skripten und Material, die ein KI-Agent bei Bedarf lädt. Daneben sind in den letzten Wochen mehrere kuratierte Sammlungen von Firmen und Einzelpersonen aufgetaucht. Der Markt ist da. Die Prüfung kommt hinterher.

NVIDIA hat darauf mit einem Scanner geantwortet. SkillSpector untersucht solche Skills vor der Installation auf 71 bekannte Muster in 17 Kategorien, darunter Prompt Injection, Datenabfluss, Rechteausweitung, Lieferkettentricks und vergiftetes Gedächtnis. Dass ein Konzern so ein Werkzeug baut und offen zur Verfügung stellt, ist für mich das eigentliche Signal. Niemand baut einen Scanner für ein Problem, das keiner hat.

Die Zahlen dahinter sind unangenehm. Phoenix Security zählt für das gesamte Jahr 2025 vierzehn Angriffskampagnen über Paketregister mit 111 erfassten Schadpaketen. Für die erste Hälfte 2026 sind es 37 Kampagnen mit 497 Paketen. Bei Skills für KI-Agenten liegt die Fundquote nach dieser Auswertung 2,3 mal so hoch wie bei Editor-Erweiterungen, mit kritischen Funden in über einem Viertel der tief gescannten Skills.

Wen das trifft, und wen nicht

Das ist der Punkt, den fast jeder Ratgeber verwischt. Es gibt drei Stufen, und nur die dritte ist wirklich gefährlich.

• Du nutzt ChatGPT oder Claude im Browser, ohne Anbindungen. Dann betrifft dich dieser Text nicht. Du installierst nichts.
• Du hast Connectoren aktiviert, etwa auf Mail, Kalender oder Drive. Es läuft kein fremder Code auf deinem Rechner, aber ein fremder Anbieter darf jetzt in deine Daten schauen. Das Risiko heißt hier Datenabfluss, nicht Übernahme.
• Irgendwo läuft ein Agent auf einer echten Maschine. Claude Code, Cursor, n8n, ein eigenes System oder das System deines Dienstleisters. Hier wird eine Erweiterung zu Programmcode, der als der angemeldete Benutzer läuft. Er darf lesen, was dieser Benutzer lesen darf, und senden, was dieser Benutzer senden darf.

Die dritte Stufe trifft in einem Mittelständler selten den Chef. Sie trifft den Entwickler, den Dienstleister oder den einen Kollegen, der sich mit sowas auskennt. Die Zugangsdaten, die auf dieser Maschine liegen, gehören aber trotzdem dem Betrieb.

Wie so ein Angriff wirklich aussieht

Keiner der dokumentierten Fälle nutzt eine Lücke im Modell. Es ist normale Software, die tut, was Software darf.

SafeDep hat im Mai fünf Pakete gefunden, die sich mit minimal verändertem Namen als bekannte Bibliotheken ausgaben. Bei der Installation lief ein verstecktes Programm los. Danach trug sich das Ganze so ein, dass es bei jedem Start einer Claude-Code-Sitzung erneut zündet, und schickte Umgebungsvariablen, Inhalte des Benutzerverzeichnisses und Daten aus dem Git-Verzeichnis an einen fremden Server.

Mitiga Labs hat im Juni einen zweiten Weg beschrieben. Claude Code legt seine Konfiguration in einer Datei im Benutzerverzeichnis ab, samt Zugangstoken im Klartext. Ein Installationsskript schreibt darin die Adresse eines angebundenen Dienstes auf einen Proxy des Angreifers um. Der Entwickler meldet sich ganz normal an, und der Token läuft durch fremde Infrastruktur. Im Protokoll des Anbieters sieht danach alles echt aus: gültige Sitzung, richtige Zugangsdaten, plausible Herkunft.

Die dritte Variante ist die unangenehmste, weil sie ohne Schadcode auskommt. Eine Kampagne mit dem Namen TrapDoor legte unsichtbare Steuerzeichen in Projektdateien ab, die KI-Assistenten beim Öffnen automatisch mitlesen. Der Assistent hielt das für eine Anweisung aus dem Projekt, führte einen angeblichen Sicherheitsscan aus und schickte dabei lokale Zugangsdaten weg. Das Modell wurde nicht gehackt. Es wurde überredet.

Sterne sind kein Prüfsiegel

Der übliche Kurzcheck ist ein Blick auf die Beliebtheit. Der taugt hier nichts. Trending-Listen messen Aufmerksamkeit, nicht Reife, und ein Projekt kann in wenigen Wochen von null auf sehr sichtbar springen, ohne dass jemand von außen den Code gelesen hat.

Der Namenstrick funktioniert genau deshalb. Ein Buchstabe im Herstellernamen verdreht, eine Silbe umgestellt, und das Paket sieht aus wie das, das du eigentlich wolltest. Wer schnell installiert, liest den Namen nicht zweimal.

Was ich bei mir gemacht habe

Ich bin da nicht sauber. Mein eigener Agent läuft mit vier fremden Anbindungen, weil sie mir Arbeit abnehmen. Die Datei mit den Zugangstoken liegt in meinem Benutzerverzeichnis und ist nur für meinen eigenen Benutzer lesbar. Das klingt beruhigend und ist es nicht. Jedes Programm, das als mein Benutzer läuft, liest sie ebenfalls, und genau darauf zielt der Angriff.

Drei Dinge habe ich geändert. Ich übernehme keine fremde Skill mehr, ohne sie vorher zu lesen, und bei den meisten schreibe ich am Ende doch lieber meine eigene, kürzere Fassung. Ich binde nur Dienste an, deren Zugang ich im Zweifel selbst und schnell zurückziehen kann. Und Neues probiere ich nicht mehr auf der Maschine aus, auf der Kundenzugänge liegen.

Was ich nicht weiß: ob ich im Ernstfall schnell genug wäre. Einen Token abzuziehen dauert Sekunden. Ihn zu bemerken kann Wochen dauern, weil bei so einem Zugriff nichts kaputtgeht. Deshalb setze ich lieber vorne an als hinten.

Vier Fragen vor dem Klick

• Läuft das auf einer Maschine oder nur im Browser? Das ist die wichtigste Trennlinie. Alles, was auf einem Rechner landet, ist eine Software-Installation und keine Einstellung.
• Was passiert bei der Installation? Bei Paketen aus npm oder PyPI sind das die Installationsskripte, die vor und nach dem Entpacken laufen. Wenn niemand im Haus sagen kann, was da passiert, ist die Antwort nein.
• Welche Zugänge liegen auf dieser Maschine? Schreib sie auf. Wenn auf der Liste Kundendaten, Buchhaltung oder Mailversand stehen, gehört die Erweiterung woandershin.
• Wer nimmt es wieder raus? Eingetragene Hooks und Konfigurationsänderungen überleben eine Deinstallation regelmäßig. Wer installiert, notiert, was er angefasst hat.

Fazit

Wenn dein Betrieb KI im Browser nutzt und keine Connectoren aktiviert hat, kannst du diesen Text vergessen. Läuft bei dir oder bei deinem Dienstleister ein Agent auf einer Maschine, dann führ eine kurze Liste: welche Erweiterungen sind installiert, wer hat sie installiert, welche Zugänge liegen daneben. Das ist eine Stunde Arbeit und erspart dir jede abstrakte Sicherheitsdiskussion.

Und die eine Regel, die ich mir selbst aufgeschrieben habe: eine Erweiterung, die ich nicht gelesen habe, kommt nicht auf die Maschine, auf der die Kundenzugänge liegen. Nicht aus Paranoia, sondern weil der Schaden nicht bei der Erweiterung aufhört.

Quellen: NVIDIA, SkillSpector, zu den 71 Prüfmustern in 17 Kategorien. SafeDep, Malicious npm Packages Backdoor Claude Code Sessions, 13. Mai 2026, zu den fünf Paketen und dem SessionStart-Hook. Mitiga Labs, zusammengefasst bei CSO Online, 5. Juni 2026, zu Token im Klartext und umgeschriebenen Adressen. Phoenix Security, Supply Chain Attacks 2026, zu Kampagnenzahlen, TrapDoor und der Fundquote bei Agent-Skills. Anthropic, Agent Skills, zum offiziellen Skill-Repository.