Themen › Folge 4

ZCode und Co.: Warum Coding-Agenten ein Vertrauensproblem haben

Stand: 29. September 2026 · Redaktion KI News Kompakt · zur Folge 4

Kurz gesagt: Der Coding-Agent ZCode packte heimlich ganze Projektordner für einen Cloud-Upload. Was der Fall über Vertrauen und Rechte von KI-Agenten zeigt.

Was passiert ist

Am 18. September 2026 veröffentlichte ein unabhängiger Entwickler, der unter dem Namen ferstar schreibt, eine ausführliche Analyse zu ZCode. Das Programm der chinesischen Firma Z.ai, die hinter den GLM-Sprachmodellen steht, ist ein Coding-Agent: eine KI, die Dateien liest, Code schreibt, Befehle ausführt und testet.

Ausgangspunkt war ungewöhnlich viel belegter Speicherplatz. Bei der Untersuchung stellte ferstar fest, dass ZCode im Hintergrund Schnappschüsse ganzer Arbeitsordner anlegte, komprimierte, verschlüsselte und für den Upload in einen Cloud-Speicher bei Alibaba Cloud vorbereitete. Die Eckdaten seiner Analyse:

• Ein Archiv eines kommerziellen Projekts umfasste 42.411 Dateien und 313 Megabyte.
• 86,6 Prozent davon entfielen auf die Git-Historie, also auf die gespeicherte Versionsgeschichte des Projekts – inklusive längst gelöschter Inhalte wie versehentlich eingetragener Passwörter.
• Alle 564 Upload-Versuche dieses Archivs scheiterten; es blieb auf dem Rechner liegen. Bei kleineren öffentlichen Projekten fand ferstar nach eigener Analyse jedoch Hinweise, dass der Server Daten angenommen hatte.
• Zwei Datenschutz-Schalter in den Einstellungen verhinderten das Einpacken nicht; die Datenschutzerklärung erwähnte den Vorgang nicht.

Verschlüsselt wurde mit einem Verfahren, bei dem nur der Server den Schlüssel zum Öffnen besitzt. Nutzer konnten auf dem eigenen Rechner also nicht prüfen, was das Paket enthielt. Auf Hacker News erreichte die Analyse am selben Tag über 340 Punkte.

Die Reaktion des Herstellers

Z.ai entschuldigte sich öffentlich, entfernte mit Version 3.14 die Upload-Funktion und löschte nach eigenen Angaben den Cloud-Speicher. Bereits übertragene Daten seien weder aufbewahrt noch zum Training verwendet worden, so die Firma laut InfoWorld. Am 21. September 2026 veröffentlichte Z.ai ZCode zudem als Open Source unter der Apache-Lizenz.

Die Offenlegung beantwortet allerdings nur einen Teil der Fragen. Das veröffentlichte Projekt beginnt laut The Next Web ohne Entwicklungsgeschichte; der Code, der hochgeladen hat, ist darin nicht nachvollziehbar. ferstar bezeichnet die Zusage sinngemäß als Löschbehauptung, die auf dem Wort derer beruht, die gelöscht haben. Zwei externe Prüfer haben laut Berichten bestätigt, dass der Speicher inzwischen leer ist. Wie viele Nutzer betroffen waren und wie lange das Programm so arbeitete, hat die Firma nicht offengelegt. Offener Code zeigt, was ein Programm künftig tut – über die Vergangenheit sagt er nichts.

Die Hintergründe: kein Einzelfall

Vertrauensprobleme bei Agenten sind nicht auf einen Hersteller oder ein Land beschränkt. Zwei Beispiele aus 2026:

• OpenClaw: Die Sicherheitsfirma Koi Security prüfte Anfang Februar 2026 laut The Hacker News 2.857 Zusatzfähigkeiten aus dem Marktplatz des Open-Source-Agenten; 341 davon waren bösartig. Getarnt als nützliche Helfer verlangten sie, einen Befehl ins Terminal zu kopieren, der Schadsoftware zum Diebstahl von Zugangsdaten installierte.
• Cursor: Im Januar 2026 ließ sich im Automatik-Modus des Code-Editors die Liste erlaubter Befehle umgehen. Der Hersteller warnte in seinem Sicherheitshinweis ausdrücklich vor der Kombination mit Prompt Injection.

Bei Prompt Injection versteckt ein Angreifer Anweisungen in Texten, die der Agent liest. Das Sicherheitsprojekt OWASP beschreibt das Grundproblem laut Help Net Security so: Sprachmodelle verarbeiten Anweisungen und gelesenes Material als einen einzigen Strom und können beides nicht zuverlässig trennen. Das Problem gilt als ungelöst.

Die Einordnung

Der Entwickler Simon Willison prägte im Juni 2025 den Begriff der „tödlichen Dreierkombination“: Zugriff auf private Daten, Kontakt mit fremden Inhalten und die Möglichkeit, nach außen zu kommunizieren. Treffen alle drei zusammen, kann ein eingeschleuster Text Daten abziehen. Meta leitete daraus die „Regel der Zwei“ ab: Ohne menschliche Freigabe – also ohne Human in the Loop – sollte ein Agent höchstens zwei dieser Eigenschaften zugleich haben.

Coding-Agenten brauchen weitreichende Rechte, um arbeiten zu können. Umso wichtiger ist das Prinzip der minimalen Rechte, auf Englisch Least Privilege. Sicherheitsfachleute werden in einem Beitrag von CSO Online mit der Einschätzung wiedergegeben, ZCode sei eher ein altmodisches Architekturproblem als ein KI-Problem. Gefordert wird Klarheit darüber, was den Rechner verlässt, wohin und für wie lange – und minimale statt maximaler Rechte als Standard. Bei Agenten entscheidet damit nicht allein die Qualität des Modells, sondern das Vertrauen in den Hersteller.

Was heißt das für dich

• Dem Agenten nur den jeweiligen Projektordner freigeben, nie das ganze Benutzerverzeichnis.
• Passwörter und Zugangsschlüssel aus dem Projektordner und aus der Git-Historie heraushalten.
• Automatik-Modi abschalten, solange unklar ist, was der Agent darf.
• Keine Terminal-Befehle kopieren, nur weil die Anleitung eines Zusatzmoduls es verlangt.
• Private Daten, fremde Inhalte und Internetzugang nie gleichzeitig freigeben.

Stand: 29. September 2026.

Häufige Fragen

Begriffe aus dem Artikel

Weitere Themen