Zusammenfassung
Am 2025-10-07 veröffentlichte AWS das Security Bulletin AWS-2025-019 zu Prompt-Injection-Problemen in den IDE-Plugins von Amazon Q Developer und Kiro. Laut AWS wurden die Probleme von externen Forschenden, darunter Embrace The Red, HiddenLayer und MaccariTA, über Coordinated Vulnerability Disclosure gemeldet.
Dieser Eintrag ist ein Herstellerhinweis: Die primäre Evidenz ist die Beschreibung des Herstellers selbst. Er ist der erste Eintrag dieses Typs in der Sammlung. Das Bulletin nennt keine böswillige Ausnutzung der Probleme.
Einordnung und Evidenzstatus
| Feld | Wert |
|---|---|
| Record-Typ | Herstellerhinweis |
| Öffentliche Offenlegung | 2025-10-07 |
| Hersteller / Produkt | AWS / Amazon Q Developer and Kiro IDE plugins |
| Angriffsklasse | Indirekte Prompt Injection |
| Eintragsweg | Repository-Inhalte - nicht vertrauenswürdige Dateien sowie IDE- oder MCP-Konfigurationsinhalte, die der Coding-Agent liest, unter von AWS genannten Voraussetzungen |
| Betroffene Daten / Fähigkeiten | Befehle, die der IDE-Agent ausführen konnte, Metadaten und Geheimnisse von Entwicklern sowie IDE- oder MCP-Konfiguration |
| Demonstrierte Wirkung | Laut AWS: Befehle, die ohne Bestätigung laufen konnten, ein Exfiltrationsweg für Metadaten, der die Annahme eines eingeschleusten Vorschlags voraussetzte, und konfigurationsbasierte Ausführung beliebigen Codes in Kiro unter genannten Voraussetzungen |
| Ausnutzung in freier Wildbahn | Keine Ausnutzung in freier Wildbahn in den zitierten Quellen berichtet. Das Bulletin beschreibt über Coordinated Disclosure gemeldete Probleme und nennt keine Ausnutzung in freier Wildbahn. |
| Behebungsstatus | Vom Hersteller behoben. Laut AWS ergänzen Language Server 1.22.0 und 1.24.0 sowie Kiro 0.1.42 eine Human-in-the-Loop-Bestätigung; AWS empfiehlt Language Server 1.24.0 oder neuer, das aktuelle IDE-Plugin von Amazon Q Developer oder die aktuelle Kiro-Version. |
| Kennungen | Herstellerbulletin AWS-2025-019 (AWS Security Bulletin) |
| Externe Bewertung | Keine externe Bewertung angezeigt |
Betroffenes System und Vertrauenspfad
Ein Coding-Agent in der IDE liest Projektdateien und Konfiguration, um bei einer Aufgabe zu helfen, und kann Befehle in der Umgebung der Entwickelnden ausführen. Dateiinhalte und Konfiguration können von Dritten stammen, etwa aus einem geklonten Repository. Wenn solche Inhalte beeinflussen, welche Befehle der Agent vorschlägt oder ausführt, leihen sie sich die lokale Autorität der Entwickelnden. Das Bulletin beschreibt die Human-in-the-Loop-Bestätigung als die Kontrolle, die einen Vorschlag von seiner Ausführung trennt.
Angriffskette im Überblick
Im Überblick beschreibt AWS drei Klassen mit jeweils eigenen Voraussetzungen:
- Nachdem Entwickelnde absichtlich schädliche Inhalte geöffnet oder aufgerufen hatten, konnte der Agent bestimmte Befehle ohne Human-in-the-Loop-Bestätigung ausführen.
- Ein getrennter Weg konnte Metadaten oder Geheimnisse offenlegen, setzte aber voraus, dass Entwickelnde einen Vorschlag mit eingeschleusten Inhalten annahmen.
- In Kiro konnten Konfigurationsinhalte zur Ausführung beliebigen Codes führen; laut AWS setzte dies lokalen Systemzugriff voraus und betraf bestimmte Agentenmodi.
Dieser Eintrag gibt weder Befehlsnamen noch Dateiinhalte, Verschleierungsmethoden, Übertragungstechniken oder Konfigurationsinhalte wieder.
Demonstrierte Wirkung und beobachtete Ausnutzung
Vom Hersteller dokumentiert: die drei oben genannten Problemklassen und ihre Voraussetzungen, gestützt auf Meldungen aus Coordinated Disclosure.
In freier Wildbahn beobachtet: im Bulletin nicht berichtet. Die Beeinflussung eines Agentenvorschlags ist Modelleinfluss; die Sicherheitsfolge entstand dort, wo Befehle oder Konfigurationsänderungen ohne gesonderten Bestätigungsschritt wirksam werden konnten.
Begünstigende Kontrolllücken
- Bestimmte vom Agenten ausgelöste Befehle konnten ohne Human-in-the-Loop-Bestätigung ausgeführt werden.
- Inhalte aus Projektdateien und Konfiguration konnten die Aktionen des Agenten in der Umgebung der Entwickelnden beeinflussen.
- Konfigurationsdateien, die das Verhalten von Agent und Tools bestimmen, ließen sich unter den genannten Voraussetzungen so verändern, dass Code ausgeführt wurde.
Reaktion von Hersteller und Forschenden
Laut Bulletin veröffentlichte AWS für Amazon Q Developer die Language-Server-Versionen 1.22.0 und 1.24.0, die für die betroffenen Befehle eine Human-in-the-Loop-Bestätigung verlangen, sowie Kiro 0.1.42, das für die betroffenen Aktionen im Supervised-Modus eine Bestätigung verlangt. AWS empfiehlt ein Upgrade auf Language Server 1.24.0 oder neuer, das aktuelle IDE-Plugin von Amazon Q Developer oder die aktuelle Kiro-Version und rät Kunden, Sicherheitskontrollen und Richtlinien für ihre Umgebung zu bewerten. Das Bulletin nennt keine CVE, und dieser Eintrag ergänzt keine.
Nachweise, die Verteidiger sichern sollten
- Soweit verfügbar, Aktionsprotokolle des IDE-Agenten mit vorgeschlagenen und ausgeführten Befehlen und der Angabe, ob und wie sie bestätigt wurden.
- Versionsverlauf von Plugin, Language Server und Kiro auf Entwicklerrechnern, um Zeitfenster der Betroffenheit einzugrenzen.
- Änderungen an IDE- und MCP-Konfigurationsdateien mit der Sitzung und den Inhalten, die ihnen vorausgingen.
- Ausgehende Netzwerkaktivität von Entwicklerrechnern nach Agentensitzungen, einschließlich ungewöhnlicher Namensauflösungen.
- Herkunft der Dateien und Repositories, die vor einer sensiblen Aktion in den Kontext des Agenten gelangten.
Lehren für die Abwehr
- Agentenautorisierung: Jeden Befehl und jede Konfigurationsänderung als Aktion behandeln, die anwendungsseitige Richtlinien prüfen, nicht der Vorschlag des Modells.
- Human-in-the-Loop: Die exakte Aktion zur Bestätigung anzeigen und Zustimmung von Autorisierung getrennt halten.
- Least Privilege: Standardmäßig begrenzen, welche Befehle, Pfade und Netzwerkzugriffe ein IDE-Agent nutzen darf.
- Informationsflusskontrolle: Kanäle begrenzen, über die lokale Geheimnisse und Metadaten die Entwicklungsumgebung verlassen könnten.
Verwandte Lernthemen
- AI Agents und Tool Calling - Wie Modellvorschläge zu Aktionen werden: der Tool-Calling-Kreislauf, Verfügbarkeit und Berechtigung, Autorisierung zur Laufzeit, Freigabe, Tool-Ergebnisse als variable Daten und Audit.
- Warum Prompt Injection nicht nur Eingabevalidierung ist - Warum klassische Eingabevalidierung für strukturierte Grenzen nötig bleibt, aber über Quellvertrauen, Anweisungsautorität, Autorisierung und Informationsfluss bei natürlicher Sprache nicht entscheiden kann.