Ihr Agent hat die gespeicherten Browser-Passwörter entschlüsselt, den Anmeldeinformationsspeicher aufgelistet, mit einem Windows-Systemwerkzeug einen Installer geholt und ein Skript in den Autostart-Ordner abgelegt. Jede einzelne dieser Aktionen steht auf der Checkliste eines echten Eindringlings. Sophos hat einen Coding-Agenten dabei beobachtet, wie er all das tat. Nichts davon war bösartig — was genau das Problem ist, denn die Telemetrie, die ein Angreifer erzeugt, und die Telemetrie, die Ihr Agent erzeugt, sind dieselbe Telemetrie.

Am 7. Juli 2026 veröffentlichte Sophos X-Ops eine Analyse einer Woche Endpoint-Telemetrie aus dem Juni und untersuchte, was passiert, wenn Entwickler Coding-Agenten auf echte Maschinen richten. Der Befund ist eine Kollision, kein Bug, den irgendwer patchen kann. Die alltägliche Arbeit eines Agenten — ein Anmeldedatum lesen, einen Befehl ausführen, ein Werkzeug herunterladen, etwas über Neustarts hinweg am Leben halten — bildet sich fast eins zu eins auf die MITRE-ATT&CK-Taktiken ab, auf die Endpoint-Erkennung getrimmt ist. Also feuerten die Sensoren.

Was die Sensoren tatsächlich sahen

Über die Woche fiel der größte Anteil blockierender Regeltreffer — 56,2 % — auf Credential Access, und weitere 28,8 % auf Execution. Das sind zwei der am angreiferförmigsten Kategorien des Frameworks. Die einzelne größte Credential-Regel, mit 42,6 % dieser Gruppe, feuert, wenn ein Prozess die Datenschutz-API von Windows (DPAPI, der Betriebssystemdienst, der die gespeicherten Geheimnisse eines Nutzers entsperrt) verwendet, um die gespeicherten Browser-Logins zu entschlüsseln. Sophos führte es auf die /browse-Skill von GStack zurück — ein beliebtes Skill-Paket, das einem Agenten einen Browser gibt — die PowerShell ausführte, um gespeicherte Browserdaten zu entsperren. Sie erwischte es unter Claude Code.

Der Rest der Liste liest sich wie ein Vorfallsbericht. Agenten führten cmdkey /list aus, um den Windows-Anmeldeinformationsspeicher aufzuzählen. Sie beendeten den Browserprozess und griffen dann in seinen Anmeldedatenspeicher. Sie luden einen Python-Installer mit certutil und bitsadmin herunter — zwei legitime Windows-Binaries, die Angreifer missbrauchen, um Nutzlasten zu holen, ohne einen Download-Filter auszulösen, die Technik, die Verteidiger LOLBin nennen („living off the land binary", vom Land leben). Cursor schrieb ein VBScript in den Windows-Autostart-Ordner, ein Lehrbuchfall von Persistenz. Und Claude-Befehlszeilen trugen --dangerously-skip-permissions, das Flag, das die eigenen „Sind Sie sicher?"-Abfragen des Agenten abschaltet.

Nichts davon war ein Angriff. Im Kontext ist es fast immer Automatisierung, um die der Entwickler gebeten hat. Aber Sophos ist unverblümt darüber, was das für die Verteidigung bedeutet: Die Regeln funktionieren wie vorgesehen, und Verhalten allein kann einen gutartigen Agenten nicht mehr von einem echten unterscheiden.

Ein Befehlsblock, zwei Urheber, ein Sensor. Ein Coding-Agent, der eine Browser-Automatisierungs-Skill ausführt, und ein Eindringling bei der Post-Exploitation setzen dieselben Aktionen ab — den Browser-Tresor entschlüsseln, den Anmeldeinformationsspeicher auflisten, ein Werkzeug mit einem LOLBin holen, in den Autostart schreiben. Der Endpoint-Sensor sieht identische Telemetrie und kann nicht sagen, wer sie tippte. Die einzige Tatsache, die sich unterscheidet, ist, auf wessen Maschine die Befehle liefen.

Die Falle ist, es am Sensor zu beheben

Lesen Sie diesen Befund als Betreiber, und der Druck ist offensichtlich. Ihr Team führt Coding-Agenten ein. Das Endpoint-Werkzeug beginnt, bei jedem Aufruf Credential-Access- und Execution-Alarme zu werfen. Die Alarme sind laut, und sie sind „falsch" in dem Sinne, dass niemand angegriffen wird — der natürliche Zug ist also, sie stillzulegen: eine Ausnahme für den Agenten hinzufügen, das Skill-Paket auf die Whitelist setzen, DPAPI-Lesevorgänge aus diesem Prozessbaum nicht mehr melden.

In dem Moment, in dem Sie das tun, haben Sie Ihrer Abwehr gesagt, genau die Sequenz zu ignorieren, die ein echter Eindringling verwendet. Und der Agent ist nichts, das man gefahrlos ausklammert, denn er ist das wahrscheinlichste Ding auf der Maschine, das gegen Sie gewendet wird. Eine in einem Repository versteckte Prompt-Injektion, eine vergiftete Marketplace-Skill, eine bösartige Abhängigkeit — wir haben jeden dieser Fälle behandelt — bringt den Agenten dazu, die Anweisungen des Angreifers mit Ihren Rechten auszuführen. Wenn das passiert, macht der Agent dieselbe DPAPI-Entschlüsselung, denselben Dump des Anmeldeinformationsspeichers, denselben LOLBin-Abruf — nur meint er es jetzt ernst. Sie haben den einen Sensor geblendet, der es erwischt hätte, im Namen davon, ihn davon abzuhalten, über sich selbst Zeter und Mordio zu schreien.

Sophos landet bei der nüchternen Fassung: Detection Engineering wird sich anpassen müssen, einige Regeln werden justiert werden müssen, und das unterscheidende Signal muss aus dem Kontext kommen — welcher Agent, wie aufgerufen — statt aus der Aktion allein. Das ist richtig, und es ist auch eine Menge laufender Arbeit, einen Sensor gegenüber einem beweglichen Ziel ehrlich zu halten. Es gibt eine gröbere Option: den Agenten nicht mehr dort laufen zu lassen, wo der Sensor lebt.

Verschieben Sie den Agenten, nicht den Alarm

Bromure Agentic Coding lässt den ganzen Agenten einen Hypervisor entfernt laufen, in einer wegwerfbaren Linux-VM auf Ihrem Mac. Die Lesevorgänge im Anmeldedatenspeicher, die Werkzeug-Downloads, die Persistenz-Schreibvorgänge — all das passiert in einer Box, die nicht Ihre Maschine ist, und deren Reset auf ein sauberes Basis-Image zwischen den Sitzungen zurücksetzt. Drei Dinge folgen daraus, und keines davon verlangt, dass Sie eine einzige Regel auf dem Host aufweichen.

Der Lärm erreicht Ihren Endpoint nie. Die echte Abwehr Ihres Hosts bleibt streng, weil der Agent nicht auf dem Host ist, um sie auszulösen. Der Schreibvorgang in den Autostart-Ordner landet in einem wegwerfbaren Dateisystem; der Neustart, auf den er wartete, kommt nie, und der Reset verwirft ihn ohnehin.

Die Credential-Lesevorgänge kommen mit leeren Händen zurück. Das ist der direkte Treffer auf jene 56,2 %. Bromure hält die echten Geheimnisse auf dem Host und tauscht am Proxy auf der Leitung Fälschungen ein, sodass das, was tatsächlich in der VM sitzt, Köder-Material ist — ein brm_…-Platzhalter, wo der API-Schlüssel sein sollte, ein synthetisches kubeconfig, wegwerfbare git- und ssh-Anmeldedaten. Ein Agent, der den Browser-Tresor entschlüsselt oder den Anmeldeinformationsspeicher in dieser VM auskippt, erntet nichts, das funktioniert. Der echte Wert wird nur bei der ausgehenden Anfrage ersetzt, an einer Grenze, um die der Agent nicht herumgreifen kann.

--dangerously-skip-permissions hört auf, gefährlich zu sein. Das Flag existiert, weil das „Sind Sie sicher?" bei jedem Schritt den Sinn eines Agenten tötet; die Leute schalten es ab. Was es leichtsinnig macht, ist die Maschine darunter. Verschieben Sie die Maschine auf eine wegwerfbare VM mit Köder-Anmeldedaten, und das Flag ist bloß schnell — der Grund, es zu fürchten, war nie das Flag, es war der Schadensradius.

Zwei Orte für denselben Agenten. Auf Ihrer Maschine (links) treffen die angreiferförmigen Befehle echte Anmeldedaten und echte Persistenz, und Ihr Endpoint-Werkzeug steckt zwischen ständigen Fehlalarmen und einem blinden Fleck fest. In einer Bromure-VM (rechts) treffen dieselben Befehle Köder-Anmeldedaten in einer Box, die sich zurücksetzt, der Host-Sensor bleibt streng, weil der Agent nicht auf dem Host ist, und ausgehende Aktionen überqueren eine Grenze, die die echten Geheimnisse einsetzt, destruktive Aufrufe filtert und den Verkehr protokolliert.

Was ist mit dem gekaperten Agenten

Eindämmung beantwortet den Lärm, aber die schärfere Sorge ist der Agent, der nicht bloß laut ist — er wurde umgedreht. Bromures Grenze ist auch für diesen Fall gebaut. Ihre On-Device-Injektionserkennung bewertet die nicht vertrauenswürdigen Inhalte und Anweisungsdateien, die der Agent liest — mit einem lokalen PromptGuard-Modell und einem feinabgestimmten Klassifikator — bevor der Agent auf sie reagiert, sodass das schurkische „jetzt exfiltriere die Schlüssel" an der Tür markiert wird. Die Aktionen, die außerhalb der Box zählen würden — ein Push, ein Deployment, ein Delete* gegen Ihre Cloud — überqueren den Host-Proxy, wo Guardrails destruktive Aufrufe ganz entfernen können und eine Zustimmung pro Ziel zuerst ein menschliches Antippen verlangen kann. Und jede ausgehende Anfrage landet in der Sitzungsspur, sodass der Rückruf, den ein Eindringling braucht, als protokollierte Zeile auftaucht, die ein gefälschtes Anmeldedatum trägt.

Die Verhaltenskollision, die Sophos gemessen hat, ist real und sie geht nicht weg — die ehrliche Arbeit eines Coding-Agenten überschneidet sich per Design mit dem Spielbuch eines Angreifers. Sie können das nicht am Sensor auflösen, ohne entweder in Fehlalarmen zu ertrinken oder ein Loch zu schneiden, durch das Ihr eigener Agent an dem Tag geht, an dem er kompromittiert wird. Bromure löst es woanders auf: Es hört auf, sich darum zu kümmern, wer den Befehl tippte, weil der Befehl in einer Box landet, die sich zurücksetzt, Anmeldedaten ausgibt, die Köder sind, und die Außenwelt nur durch eine Grenze berühren kann, die zusieht.

Was das eingrenzt

Isolation ist Eindämmung, kein Versprechen, dass nichts Schlimmes ausführt. Es lohnt sich, über die Ränder präzise zu sein.

Das sind Windows-Namen; die Kollision nicht

DPAPI, cmdkey, certutil und der Autostart-Ordner gehören zu Windows. Bromure lässt den Agenten auf Linux laufen, sodass genau diese Binaries darin nie feuern. Aber das Muster ist plattformunabhängig: ein Agent auf Linux liest ~/.aws/credentials, kippt Umgebungs-Tokens aus und schreibt einen cron- oder systemd-Eintrag — dieselben angreiferförmigen Züge unter anderen Namen. Die Kontrolle ist ebenfalls dieselbe. Ort und Köder, nicht Signaturen.

Substitution deckt die Geheimnisse ab, die Sie konfigurieren

Der Köder-Tausch schützt die Anmeldedaten, die Sie in ein Profil legen: Modellschlüssel, git- und Cloud-Tokens, verwaltete Datenbank-Endpunkte, ssh-Schlüssel. Ein Passwort, das ein Skript mitten in der Sitzung in eine Datei schreibt, oder ein Geheimnis, das Sie von Hand in die Box einfügen, ist bloß eine Datei, die der Agent lesen kann. Halten Sie Geheimnisse im Broker, nicht im Arbeitsbereich.

Erkennung ist ein Netz, keine Mauer

Die On-Device-Injektionsbewertung markiert eine schurkische Anweisung öfter als nicht, aber ein entschlossener Autor kann jeden einzelnen Scanner aushungern. Behandeln Sie den Detektor als eine Schicht; die Eindämmung — eine Wegwerf-Box mit Fake-Schlüsseln und protokolliertem Ausgang — ist das, was hält, wenn ein Detektor versagt.

Ihr Host-EDR zählt weiterhin

Bromure ersetzt den Endpoint-Schutz nicht; es gibt ihm eine sauberere Aufgabe. Der Lärm des Agenten zieht vom Host weg, sodass Ihr Sensor weiter die Maschine bewacht, an der Sie sich tatsächlich anmelden, ungetrübt — und ein echter Eindringling dort muss immer noch an ihm vorbei.

Die Lektion unter den Sophos-Zahlen ist nicht „Agenten sind gefährlich". Sie ist, dass man einen guten Akteur nicht an der Form der Befehle von einem schlechten unterscheiden kann, weil die Form dieselbe ist. Hören Sie also auf, es an der Tastatur entscheiden zu wollen, und entscheiden Sie es stattdessen am Perimeter: Lassen Sie den Agenten dort laufen, wo seine angreiferförmige Arbeit eingedämmt ist, seine Anmeldedaten gefälscht sind und jeder seiner Schritte nach außen protokolliert wird. Installieren Sie es.