Kritischer Fehler im Archon-Coding-Agenten ermöglicht Fremden die Übernahme Ihres Computers
Ein Fehler der maximalen Schweregradklasse (CVSS 9.8) im KI-Coding-Agenten Archon legt eine nicht authentifizierte Steuerschnittstelle offen. Es existiert noch kein Patch; Die vorläufige Lösung besteht darin, die Schnittstelle zu Ihrem eigenen Computer zu sperren.
Eine neu veröffentlichte Schwachstelle in Archon, einem KI-Coding-Agenten, erreicht auf der Standardschweregradskala (CVSS) einen Wert von 9,8 von 10. Betroffen sind die Versionen 0.2.13 bis 0.11.1. Im Klartext: Das Control Panel des Agenten ist für jeden im selben Netzwerk ohne Passwort erreichbar und der Agent dahinter kann Befehle auf dem Computer ausführen.
Die Details
Laut The Hacker Wire verfügt die /api/*-Steuerungsschnittstelle des Agenten über keine Authentifizierung und lauscht standardmäßig auf 0.0.0.0. Diese Adresse bedeutet „Verbindungen von jedem Gerät akzeptieren, das mich erreichen kann“, nicht nur von Ihrem eigenen Computer. Der Agent läuft auch mit bypassPermissions, einer Einstellung, die das übliche „Sind Sie sicher?“ überspringt. Aufforderungen. Wenn Sie beides kombinieren, kann ein Fremder, der den Hafen erreichen kann, dem Agenten Anweisungen senden und ihn wie Sie Befehle ausführen lassen.
Zum Zeitpunkt der Veröffentlichung war kein Hersteller-Patch verfügbar. Dem Bericht zufolge gibt es keinen öffentlichen Proof of Concept und der Fehler steht nicht auf der Liste der aktiv ausgenutzten Fehler der US-Regierung. Der Artikel selbst ist eine KI-gestützte Zusammenfassung. Überprüfen Sie daher den offiziellen Eintrag, bevor Sie handeln.
Was steckt dahinter
Coding-Agenten sind nützlich, weil sie agieren können: Dateien bearbeiten, Programme ausführen, Dinge installieren. Dieselbe Kraft ist der Grund, warum ein fehlendes Schloss an der Vordertür so wichtig ist. Viele frühe Tools wurden für einen einzelnen Entwickler auf einem Laptop entwickelt und gehen stillschweigend von einem freundlichen Netzwerk aus. Das Problem beginnt, wenn jemand sie auf einem gemeinsam genutzten Wi-Fi, einem Cloud-Server oder einem Büronetzwerk ausführt.
Was das für Sie bedeutet: Wenn Sie Archon nicht verwenden, müssen Sie nichts tun. Wenn Sie dies tun, schränken Sie bis zur Auslieferung eines Fixes den Port mit einer Firewall ein oder binden Sie die Schnittstelle erneut an 127.0.0.1, was „nur diesen Computer“ bedeutet, und vermeiden Sie die Ausführung in gemeinsam genutzten Netzwerken. Generell gilt: Bevor Sie ein Agent-Tool ausprobieren, prüfen Sie, welche Netzwerkadresse es abhört und ob es um Erlaubnis bittet, bevor es Befehle ausführt.
Quellen
Microsoft zeigt eine Vorschau von MAI-Base-2, einem 2,8-Billionen-Parameter-Modell, das Microsoft nicht offen freigibt
MAI-Base-2 von Microsoft ist ein 2,8T-Parameter-Basismodell, das auf 50T Tokens trainiert wurde und laut Microsoft weitaus effizienter lernt als DeepSeek. Es befindet sich noch im Training und wird nur an vertrauenswürdige Partner weitergegeben.
