341 von 2.857 KI-Skills auf ClawHub waren bösartig. Fast jeder achte. Keiner sah gefährlich aus – die Falle steckte in der Installations-Anleitung. Wer sie befolgte, hatte danach Malware auf dem Rechner: Passwörter, SSH-Keys, Krypto-Wallets weg. Ohne Alarm.
Der gefährlichste Skill sieht normal aus. Deshalb vier Fragen, die wir bei HOSH MEDIA vor jeder Installation stellen – bei uns laufen KI-Agenten mit Zugriff auf echte Kundensysteme, jeder Fehler ist unser Problem. Bei dir genauso.
Ein dokumentierter Fall der Sicherheitsforscher von Datadog: der Skill „Clawsights" – nach außen ein harmloses Leaderboard für KI-Nutzung. Im Code aber ein Befehl, der das GitHub-Token ausliest und an den Server des Autors schickt, getarnt als „Upload deines Reports". Der Befehl lief, bevor das Modell die Datei überhaupt las – kein Schutzmechanismus der KI griff, weil sie nie gefragt wurde. Sichtbar war der Angriff nur an einer Stelle: im Quelltext, vor der Installation.
Das ist ein Berechtigungs-Mismatch – der Zugriff passt nicht zur Funktion. Ein Leaderboard braucht kein GitHub-Token. Die Regel dahinter: Least Privilege (OWASP-Standard) – ein Agent bekommt nur, was die Aufgabe wirklich braucht. Und ein Dauerschlüssel mit Vollzugriff in deinen Umgebungsvariablen ist ab der Installation dauerhaft angreifbar, egal ob der Skill gerade läuft.
Für ein Sprachmodell ist alles Text – deine Anweisung, eine Webseite, eine Tool-Antwort. Es gibt keine harte Grenze zwischen Befehl und Daten. Daraus entsteht indirekte Prompt-Injection: Nicht du gibst die bösartige Anweisung, sondern ein Inhalt, den der Agent bei der Arbeit liest – eine Webseite, ein Repository, ein Kalendereintrag. Die Cloud Security Alliance dokumentierte einen Fall, bei dem die Anweisung in unsichtbaren Unicode-Zeichen steckte – im Editor sah die Datei normal aus, das Modell befolgte sie trotzdem. Konsequenz: Was du im Editor siehst, ist nicht das, was das Modell liest.
Forscher werteten 78 Studien zu Prompt-Injection aus: Kennt der Angreifer die Schutzmaßnahmen, kommt er in über 85 % der Fälle durch. Ein Verfahren namens SkillCloak (HKUST) schrieb bösartige Skills automatisch so um, dass über 90 % der getesteten Scanner sie durchwinkten – getestet an 1.600 echten Skills.
Scanner sind eine erste Schicht, nicht die Verteidigung. Verlässlich ist nur Architektur: Alles von außen gilt als nicht vertrauenswürdig, niemals als Befehl. Schaden wird über echte Zugriffs-Grenzen begrenzt, nicht über Bitten im Prompt. Und Kontrolle liegt außerhalb des Agenten, bevor er etwas Unumkehrbares tut. Bei MCP-Servern kommen Tool Poisoning (bösartige Anweisung in der Tool-Beschreibung) und Rug Pull (Server tauscht die Version nach der Freigabe heimlich aus) dazu – einmal prüfen reicht hier nicht.
.png)
Praxis: Starte mit Frage 2. Kein Zugriff auf Zugangsdaten, keine Schreib-Tools? Fertig.
.env prüfen: unnötige Dauerschlüssel raus.
Skill-Sicherheit ist kein Häkchen bei der Installation, sondern ein Zustand. Architektur trägt – Scanner nicht.
System schlägt Talent.
Unser „Skill-Security-Check"-Skill geht die vier Fragen automatisch durch – reiner Text, kein ausführbarer Code, besteht seinen eigenen Test.
