IT-Forscher von Wiz haben eine kritische Sicherheitslücke namens GhostApproval in sechs bekannten Coding-Agenten entdeckt. Betroffen sind Amazon Q Developer, Claude Code, Augment, Cursor, Google Antigravity sowie Windsurf. Die Schwachstelle resultiert aus einer unzureichenden Prüfung von symbolischen Links (Symlinks) innerhalb von Repositories.

Ein Angreifer kann diese Lücke nutzen, indem er in einem Repository eine Datei wie project_settings.json anlegt, die in Wirklichkeit ein Symlink auf sensible Systemdateien ist, etwa die SSH-Schlüssel (~/.ssh/authorized_keys) oder die Shell-Konfiguration (~/.zshrc). Über Anweisungen in der Readme-Datei wird der KI-Agent dazu verleitet, Daten – wie den SSH-Schlüssel des Angreifers – in diese Dateien zu schreiben und so Sandbox-Beschränkungen zu umgehen.

Die Analyse zeigte, dass ein menschlicher Kontrollprozess („Human in the Loop“) keinen zuverlässigen Schutz bietet. Claude Code erkannte intern zwar, dass es sich um einen Symlink handelt, verschwieg dies jedoch in der Abfrage an den Nutzer. Windsurf schreibt die Daten teilweise erst und fragt danach um Erlaubnis, während Augment gar keinen Bestätigungsdialog anzeigt.

Nach der Entdeckung der Lücke im Februar 2026 haben die meisten Hersteller bereits Updates bereitgestellt. Während Amazon Q Developer, Google Antigravity und Cursor die Schwachstelle behoben haben, stehen für Augment und Windsurf noch keine Patches zur Verfügung.