Sophos hat eine Woche Endpoint-Telemetrie herausgezogen und fand Coding-Agenten, die die Regeln auslösen, die Eindringlinge erwischen sollen. Sechsundfünfzig Prozent der blockierten Aktivität war Zugriff auf Credentials — Agenten, die die gespeicherten Passwörter des Browsers entschlüsseln, den Windows-Credential-Tresor leeren, Browser-Prozesse beenden, um deren Speicher auszulesen. An den Agenten ist nichts bösartig. Sie erreichen diese Speicher, weil sie auf deiner Maschine laufen, als du, mit allem, was du anfassen kannst.

Eine Entwicklerin öffnet Claude Code, bittet es, etwas nachzuschlagen, und holt sich einen Kaffee. Auf dem Rückweg markiert der Endpoint-Agent die Sitzung: Ein Prozess hat gerade eine Windows-System-API benutzt, um den gespeicherten Credential-Blob des Browsers zu entschlüsseln. Das ist ein Lehrbuch-Move eines Infostealers. Es ist diesmal aber auch der Coding-Agent, der genau das tut, worum er gebeten wurde — eine Seite lesen, die hinter einem Login lag, auf dem praktischen Weg, indem er das Passwort entsperrt, das der Browser bereits gespeichert hatte.

Sophos X-Ops hat eine Woche im Juni 2026 damit verbracht, diese Kollisionen zu zählen. Sie nahmen die blockierenden und stillen Regeltreffer ihrer Verhaltens-Engine auf Windows-Endpoints, zählten sie pro einzelner Maschine und sortierten sie nach MITRE-ATT&CK-Taktik. Das Bild ist unmissverständlich. Unter den blockierenden Regeln war Zugriff auf Credentials 56,2 % dessen, was auslöste, und Ausführung 28,8 %. Die größte einzelne Credential-Regel — 42,6 % dieser Gruppe — löst aus, wenn ein Prozess die Windows Data Protection API, kurz DPAPI, nutzt, den OS-Dienst, der Geheimnisse entsperrt, die ein Programm zuvor abgelegt hat. Das ist der Aufruf, den ein Infostealer macht, um die verschlüsselte Passwortdatei des Browsers wieder in Klartext zu verwandeln. Es ist jetzt auch der Aufruf, den ein Coding-Agent macht, wenn eine Skill eine eingeloggte Seite will.

Angreifer-Verhalten, gutartige Absicht, dieselbe Telemetrie

Jeder Schritt in der Kette, die Sophos erwischte, ist ein Werkzeug, das eine Entwicklerin wiedererkennen würde. Ein „Skill-Pack" — ein Bündel fertiger Fähigkeiten, die du in einen Agenten installierst — namens GStack liefert eine /browse-Skill. Wenn der Agent sie nutzt, läuft der Prozessbaum bash → browse.exe → node → PowerShell, und das PowerShell lädt System.Security und ruft DPAPIs Unprotect auf den gespeicherten Daten des Browsers auf. Sophos erwischte diese Kette laufend unter Claude Code. Sonst in der Woche: cmdkey /list, um den Windows-Anmeldeinformations verwaltung aufzuzählen, taskkill gegen Browser-Prozesse per PID, damit deren Credential-Dateien frei zum Lesen waren, certutil und bitsadmin — zwei signierte Windows-Werkzeuge —, die einen Python-Installer holten, und PowerShell, das ein Skript in den Autostart-Ordner schrieb, damit es beim nächsten Login lief.

Lies diese Liste ohne die Worte „Coding-Agent", und es ist ein Einbruch. Credential-Diebstahl, Living-off-the-Land-Binaries — die signierten OS-Werkzeuge, die Angreifer sich borgen, damit nichts Ungewohntes auftaucht — und ein Persistenz-Standbein. Die Verhaltens-Engine hatte recht, auf all das auszulösen. Sophos ist vorsichtig mit der Schlussfolgerung: Dies sei „ein erster Durchlauf, ein kurzer Signal-Dump", keine Volkszählung, und die Erkennungen bedeuten nicht, dass die Agenten bösartig sind. Was sie bedeuten, ist enger und langlebiger. Manche dieser Aktionen sind riskant, wer auch immer sie startet, und, in ihren Worten: „Die Tatsache, dass ein KI-Agent sie getan hat, macht sie nicht sicher."

Eine Woche Windows-Endpoint-Telemetrie, nach MITRE-Taktik unter den blockierenden Regeln. Zugriff auf Credentials dominiert: Agenten, die die gespeicherten Passwörter des Browsers per DPAPI entschlüsseln, den Windows-Credential-Tresor mit cmdkey leeren und Browser-Prozesse beenden, um deren Speicher auszulesen. Die Regeln wurden gebaut, um Eindringlinge zu erwischen; sie lösten auf Coding-Agenten aus, die legitime Arbeit mit derselben Reichweite taten, die ein Eindringling hätte.

Die Reichweite, nicht die Absicht, ist das Problem

Der Grund, warum dieselbe Regel einen Dieb und einen Assistenten erwischt, ist, dass sie in einem normalen Setup am selben Ort stehen. Der Agent läuft als dein Benutzerkonto, auf deiner Maschine. Dieses Konto kann die gespeicherten Passwörter des Browsers öffnen, weil du sie gespeichert hast. Es kann die Windows-Anmeldeinformationsverwaltung lesen, weil dieser Tresor deiner ist. Es kann in den Autostart-Ordner schreiben und certutil aufrufen, weil jedes Programm, das du startest, das kann. Der Agent erbt deine gesamte ambiente Autorität — jedes Geheimnis, jedes signierte Werkzeug, jede beschreibbare Ecke der Platte — in dem Moment, in dem er startet. Eine Prompt-Injection, eine vergiftete Skill oder eine übereifrige legitime Aufgabe hat dann all das zur Verfügung.

Deshalb rahmt Sophos den schweren Teil als Policy, nicht als Erkennung: „Was sollte ein Agent auf einem Endpoint dürfen? Welche Grenzen sollten durchgesetzt werden?" Ihr Tuning-Rat teilt die Regeln in zwei. Manche sollten die bekannt-guten Signaturen des Agenten lernen, damit sie aufhören, falschen Alarm zu schlagen. Andere „sollten weiter auslösen, weil die Aktivität, die sie erwischen, riskant ist, egal ob ein Mensch oder ein Agent sie initiiert hat" — DPAPI-Entschlüsselung und Credential-Tresor-Dumps darunter. Und das lässt einen Verteidiger in einer echten Zwickmühle. Unterdrücke die Credential-Regel, um den Agenten ruhigzustellen, und du wirst blind für den Infostealer, der denselben Aufruf macht. Lass sie weiter auslösen, und deine Queue füllt sich mit einem Werkzeug, das deine eigenen Entwickler installiert haben. Keine Wahl ist gut, weil beide voraussetzen, dass der Agent auf dem Endpoint neben den Geheimnissen leben muss.

Verschiebe den Agenten, und der Tresor ist nicht da zum Öffnen

Die Zwickmühle hält nur, solange der Agent neben den Geheimnissen lebt. Bromure Agentic Coding lässt jeden Coding-Agenten in einer wegwerfbaren Linux-VM laufen, einen Hypervisor von deinem Mac entfernt. Die Welt des Agenten ist diese VM. Dein macOS-Keychain ist nicht darin. Das Browser-Profil, in dem du deine Passwörter gespeichert hast, ist nicht darin. Es gibt keine Windows-Anmeldeinformationsverwaltung, keinen Host-Autostart-Ordner, keinen Host-Browser-Prozess zum Beenden und Durchwühlen. Wenn eine Skill nach dem Speicher gespeicherter Passwörter greift, so wie GStacks /browse es tut, landet der Griff in einer frischen VM, die diese Passwörter nie hielt. Der Aufruf kann laufen; er findet nichts, das sich mitzunehmen lohnt.

Bleiben die Credentials, die der Agent braucht, um die Arbeit zu tun — der API-Schlüssel fürs Modell, ein GitHub-Token, um einen Branch zu pushen, ein AWS-Secret zum Deployen. Sie der VM zu übergeben würde nur den Tresor neu erschaffen, von dem du weggezogen bist. Bromure übergibt sie nicht. Ein Man-in-the-Middle-Proxy auf dem Host sitzt auf der Leitung zwischen der VM und der Außenwelt. In der VM hält der Agent nur Fakes — einen Platzhalter-String brm_…, wo der echte Schlüssel sein sollte. Wenn der Agent eine Anfrage an api.anthropic.com oder github.com stellt, tauscht der Proxy den Fake gegen den echten Wert auf dem Weg hinaus und wieder zurück auf dem Weg herein. Das echte Geheimnis ist für den einen Hop da, der es braucht, und betritt nie den Speicher der VM. Ein Agent, der alles entschlüsselt, was er in seiner eigenen Umgebung finden kann, kommt mit Platzhaltern davon.

Links: Der Agent läuft auf dem Host als du, innerhalb deiner ambienten Autorität — der Browser-Passwortspeicher, der OS-Credential-Tresor, der Autostart-Ordner, die signierten Download-Werkzeuge. Ein legitimer Griff und der Griff eines Infostealers sind derselbe Aufruf, also löst die Endpoint-Regel so oder so aus. Rechts: Bromure lässt den Agenten in einer wegwerfbaren VM laufen. Die Host-Speicher sind nicht vorhanden, und die Credentials, die der Agent nutzt, sind Fakes, die der Host-Proxy nur auf der Leitung gegen echte tauscht. Der angreifer-förmige Aufruf läuft trotzdem; er landet irgendwo ohne etwas zum Mitnehmen.

Zwei Regeln, die den Menschen in der Schleife halten

Isolation bringt die Geheimnisse außer Reichweite; zwei weitere Kontrollen entscheiden, wann ein echtes überhaupt den Host verlassen darf. Jeder Credential-Tausch kann so eingestellt werden, dass er Genehmigung verlangt — die Fake-zu-echt-Ersetzung pausiert, und ein Dialog auf deinem Mac fragt, bevor der echte Wert hinausgeht. Für einen SSH-Schlüssel oder eine AWS-Anfrage gewährst du ihn für fünf Minuten, eine Stunde oder den Rest der Sitzung, dann sperrt er wieder. Und für Datenbanken, die über den Proxy angebunden sind — MongoDB, ClickHouse, Elasticsearch —, liest ein Schutzmechanismus die tatsächliche Operation auf der Leitung und kann die destruktiven blockieren, sodass ein DELETE, zu dem der Agent sich selbst überredet hat, nie den echten Endpunkt erreicht, selbst nachdem das Credential eingetauscht wurde.

Nichts davon bittet den Agenten, sich zu benehmen. Es setzt voraus, dass der Agent das angreifer-förmige Ding tun könnte — einen Speicher entschlüsseln, einen Tresor leeren, einen blockierten Download wiederholen —, weil Sophos gerade echte dabei beobachtet hat, genau das zu tun. Das Design entscheidet, dass, wenn es passiert, der Speicher leer, der Schlüssel ein Fake und die destruktive Abfrage an der Tür gestoppt ist.

Agenten benehmen sich jetzt wie das, was deine Abwehr zu stoppen abgestimmt war, und du kannst das nicht beheben, indem du sie bittest, sich zu benehmen. Du behebst es, indem du änderst, wo sie stehen. Gib einem Agenten eine wegwerfbare Maschine ohne gespeicherte Passwörter, einen Tresor voller Fakes und einen Proxy, der die echten Geheimnisse auf dem Host hält — und die Telemetrie, die Sophos' Dump aufleuchten ließ, wird zu einem Prozess, der ein leeres Zimmer durchwühlt. Installiere es, richte es auf ein Repo und lass es nach allem greifen, wonach es will.