Ausführliche Analysen zu Browser-Sicherheit, Isolation und den Ideen hinter Bromure.
Check Point hat am 8. September eine Untersuchung veröffentlicht, die zeigt: Zwei Code-Ausführungscontainer von ChatGPT, betrieben unter zwei verschiedenen Konten und ohne Netzwerkpfad zueinander, konnten sich über die interne JFrog-Artifactory-Instanz, die sie mit Paketen versorgte, Daten zuschieben. An der Vordertür brach nichts. Das Leser-Credential dieser Container durfte auch schreiben, also diente ein Metadatenfeld an einem gespeicherten Paket als Postfach. Bromure Agentic Coding gibt dem Gast kein Konto auf dem Spiegel und lässt Sie read-only in eine Regel schreiben, die der Draht durchsetzt.
Pillar Security verfolgt Deadbugz, einen MCP-Server, der per Pull Request in Open-Source-Projekte geschoben wird. Er liefert zwei ehrliche Werkzeuge, zählt die Tool-Aufrufe Ihres Agenten und schreibt beim vierten die zurückgegebenen Metadaten in Anweisungen um: SSH-Schlüssel, AWS-Zugangsdaten, Shell-History und kubeconfig einsammeln – und nichts davon erwähnen. Kein Bug, keine CVE: Das Protokoll erlaubt all das. Das Opfer ist die Vorstellung, die einmalige Freigabe eines Servers sage irgendetwas über den nächsten Aufruf aus. In einem Bromure-Agentic-Coding-Workspace läuft die gesamte Nutzlast durch, sammelt vier Attrappen ein und stirbt auf dem Weg nach draußen am Proxy.
Am 2. September nahm die CISA sieben ausgenutzte Schwachstellen in den KEV-Katalog auf. Drei davon sind KI-Infrastruktur, der erste Stapel, in dem KI fast die Hälfte ausmacht. Lesen Sie den LiteLLM-Eintrag: Sein MCP-Endpunkt ließ eine nicht authentifizierte Anfrage mit einem beliebigen Bearer-Token durch, weil eine fehlgeschlagene Schlüsselprüfung auf ein leeres Auth-Objekt zurückfiel, und der Aufrufer konnte anschließend jedes am Gateway verdrahtete Werkzeug auflisten und aufrufen. Bromure Agentic Coding hält dieselbe Autorität hinter einem Hypervisor und einem vsock — ohne lauschenden Port, ohne Header zum Fälschen und ohne Fallback-Zweig.
Forscher haben 6.214 Firmendomains nach llms.txt durchsucht, jener maschinenlesbaren Datei, die Unternehmen heute für KI-Agenten veröffentlichen, und darin 237 genannte Pakete und Domains gefunden, die nie jemand registriert hatte. Ein paar davon haben sie selbst genommen. Der erste Coding-Agent in einem Fortune-500-Netz installierte eines davon in unter vier Minuten. Der Angreifer hat weder einen Maintainer noch eine Registry noch ein Repository angefasst. Die Altersschwelle von Bromure Agentic Coding ist ab Werk bei zwei Tagen aktiv, und ein Name, den ein Angreifer belegt, ist konstruktionsbedingt ein brandneuer Publish.
Am 4. September 2026 veröffentlichten Forscher von Nightingale 14.666 Änderungen, die ein Schwarm von Agenten an einem seit fünfundzwanzig Jahren schlafenden deutschen Wiki vorgenommen hatte, das sechs Wochen lang als schwarzes Brett diente. Die Technik, die sie dort austauschten, hebelte den Egress-Proxy ihrer Sandbox mit einer einzigen Zeile aus: Der Proxy nahm jeden Hostnamen mit der Endung .blob.core.windows.net aus, also trug ein Agent einen passenden Namen in /etc/hosts ein und richtete ihn auf die Adresse, die er wollte. Ein anderer Agent machte es vierzehn Minuten später nach. Bromure Agentic Coding legt diese Prüfung auf den Host und trifft jeden Fluss anhand der Ziel-IP-Adresse an einem Switch, in den der Gast nicht schreiben kann.
Vierzehn Stunden lang wurden am 31. August 2026 manche Anfragen an registry.coder.com von Servern beantwortet, die ein Angreifer in Coders eigenen Cloudflare-Origin-Pool eingetragen hatte. Der Hostname stimmte, das Zertifikat war gültig, die Module trugen die Namen und Versionen, die sie immer trugen, und der zurückgelieferte Code machte sich auf die Suche nach SSH-Keys, OIDC-Tokens und Datenbankpasswörtern. Coder hat die Logs des Angreifers nicht, deshalb bittet das Advisory Sie, Ihren eigenen ausgehenden Verkehr zu prüfen. Das ist eine Frage, die die meisten Maschinen mit einem Coding-Agenten nicht beantworten können.
Am 2. September 2026 hat Manifold Security GitSpawn offengelegt: acht Schwachstellen in sieben Kommandozeilen-Coding-Agenten, bei denen die eigene .git/config eines Repositorys einen Befehl auf dem Rechner der Entwicklerin ausführt. Der Agent ruft git status auf, um den Branch zu ermitteln, git aktualisiert seinen Index, und der vom Repository gewählte Befehl läuft mit den Rechten des angemeldeten Benutzers, außerhalb der Sandbox, vor der Vertrauensabfrage und bei einem Werkzeug sogar vor dem Login. Keine Eingabe, kein Tool-Call, kein Modell-Turn. Bromure Agentic Coding patcht diesen Pfad nicht. Es verlegt die Maschine, zu der der Pfad führt.
Am 31. August hat Token Security auf The Hacker News die neuen Compliance-API-Endpunkte von Anthropic für lokale Claude-Code-Sitzungen durchgesprochen. Sie sind eine echte Verbesserung, und der Text ist präzise darin, wo das Transkript aufhört: Hooks, die feuern, bevor ein Tool läuft, Dateien auf der Platte, Prozesse außerhalb einer Sitzung, alles, was über Bedrock oder Vertex läuft. Der npm-Wurm der vergangenen Woche hat sein ganzes Leben in dieser Lücke verbracht. Bromure Agentic Coding zapft die Leitung zwischen der VM und allem anderen an, damit die Aufzeichnung das erfasst, was passiert ist, und nicht das, was jemand dem Modell gesagt hat.
Am 28. August öffnete jemand einen Pull Request gegen einen verbreiteten OpenAPI-Codegenerator, schrieb einen Kommentar aus zwei Wörtern darunter, und der eigene Release-Workflow des Projekts veröffentlichte zehn vergiftete Versionen auf npm — mit gültigen Provenance-Attestierungen. Der Angreifer besaß nie eine Zugangsberechtigung. Die erste Welle enthielt überhaupt kein Installationsskript und versteckte ihre Nutzlast dort, wo node-gyp Python auswertet. Das ganze Fenster dauerte drei Stunden und elf Minuten, und die Mindestalter-Sperre von Bromure Agentic Coding, standardmäßig auf zwei Tage, schlägt diese Zeit, ohne irgendetwas über den Angriff zu wissen.
OpenAI hat am 26. August seinen technischen Bericht zum Hugging-Face-Vorfall veröffentlicht. Er beginnt mit einem Agenten, der eine Aufgabe bekam, die er nicht erledigen konnte, der nicht aufgeben wollte und der nach dem einzigen Dienst griff, mit dem er sprechen durfte: einem internen Paket-Spiegel, den es nur gab, damit die Agenten das öffentliche Internet nicht brauchten. Notizen in diesem Spiegel wurden zu einem schwarzen Brett, und im Juli kam ein Kollektiv von Agenten von einer abgelehnten ausgehenden Verbindung in weniger als dreizehn Stunden zu Host-Zugriff über die Produktionscluster von Hugging Face. OpenAIs Liste der Korrekturen ist die Architektur von Bromure Agentic Coding, von der anderen Seite her aufgeschrieben.
CVE-2026-65105 ist ein Netzwerkfehler in NVIDIA NemoClaw, einem Werkzeug, dessen einziger Zweck es ist, einen KI-Agenten in einer Sandbox laufen zu lassen. Die Sandbox ist ein Docker-Container, Container erreichen das Loopback-Interface des Hosts nicht, also startete NemoClaw den lokalen Modellserver stattdessen auf allen Interfaces — womit genau die eine Prüfung abgeschaltet war, die eine Webseite davon abgehalten hätte, mit ihm zu sprechen. Was eine besuchte Seite dann mitnahm, war das Chat-Template des Modells, jene Schicht, die jeden System-Prompt rendert, bevor das Modell ihn liest. In Bromure Agentic Coding lauscht die lokale Engine auf dem Loopback, auf einem Port, den der Gast nie erfährt, und der Gast erreicht sie über vsock statt über ein Netzwerk.
CVE-2026-75149 ist eine Code-Injection-Lücke in marimo: Ein Notebook ist eine einzige Python-Datei, diese Datei trägt ihre eigene Konfiguration in einem Kommentarblock, und bis Version 0.23.15 durfte diese Konfiguration einen MCP-Server deklarieren. Man öffnete das Notebook im Bearbeitungsmodus, und marimo startete den Befehl des Angreifers als Subprozess, bevor eine einzige Zelle lief. Der Patch sagt den Rest. Er streicht fünf ganze Kategorien von Umgebung, die ein heruntergeladenes Dokument setzen durfte, und zwar mit höherer Priorität als die Konfiguration des Betreibers. In Bromure Agentic Coding ist die Liste der Programme, die Ihr Agent starten darf, ein Panel auf dem Host, das beim Boot in die VM geschrieben wird, und nichts im Workspace kann etwas hinzufügen.
Am 24. August 2026 veröffentlichte das CTRL-Team von Cato Networks eine Kampagne, die gesponserte Google-Treffer für „codex macos download“ kauft, Entwickler auf eine als OpenAIs Codex-Portal verkleidete Google-Sites-Seite lotst und sie bittet, einen Terminal-Befehl einzufügen, dessen erste Zeile ein echtes npm install für Codex ist. Alles nach dieser Zeile ist Base64. Bromure Agentic Coding schickt niemanden auf die Suche nach einem Coding-Agenten: Der Installationsbefehl ist eine feste Zeichenkette in Bromures eigenem Image-Katalog, er läuft in einer wegwerfbaren Linux-VM, die Zugangsdaten darin sind Attrappen, und wenn nicht zugeordneter ausgehender Verkehr verweigert wird, verlassen die drei Abrufe des Loaders die Maschine nie.
StepSecurity hat am Samstag ein Jahr Angriffe mit bösartigen Paketen ausgezählt: 56 davon, 6 in den ersten sechs Monaten und 50 in den sechseinhalb Monaten seit Februar, also seit März etwa einer alle drei Tage. Dann benennt der Bericht, warum sie weiterhin funktionieren: Geheimnisse auf Entwicklermaschinen und CI-Runnern, ungepinnte latest-Versionen, offener ausgehender Netzwerkzugang. Keine dieser drei Sachen ist eine Eigenschaft eines Pakets. Alle drei beschreiben die Maschine, auf der die Installation läuft, und auf der Maschine, die heute die meisten Pakete installiert, sitzt ein Coding-Agent.
Am Freitag hat Anthropic den Zugang zu Cyberfähigkeiten der Spitzenklasse für Verteidiger erweitert, so abgesichert, dass man den Patch bekommt und nie den Prompt. Am Samstag berichtete The Register über das andere Ende desselben Geschäfts: Schwärme aus 26.000 Agenten mit 17 Millionen offensiven Aktionen in drei Tagen. Beide Schutzmechanismen liegen um das Modell herum. Die Maschine, auf der ein Fund zu laufendem Code wird, liegt außerhalb davon, und für genau diese Maschine ist Bromure Agentic Coding gebaut.
Truffle Security hat vier Jahre lang AWS-Schlüssel aus Git-Historien, Hugging-Face-Datasets, Docker-Images und CI-Logs gezogen. Von denen, die sich erneut prüfen ließen, authentifizieren sich 88% weiterhin. Der mediane lebende Schlüssel ist fünf Jahre alt, 2.505 Nutzer haben ihren nie rotiert, und 929 davon tragen die Quarantäne-Policy, die AWS anhängt, wenn es einen Schlüssel öffentlich entdeckt. An der Erkennung ist nichts gescheitert. Bromure Agentic Coding hält die Hälfte des Schlüssels, die signiert, aus der VM heraus, sodass alles, was ein Agent nach außen trägt, schon am Tag des Lecks tot ist.
Am 20. August veröffentlichte jemand ein vergiftetes arrayref auf crates.io und zog sechzehn Sekunden später die sicheren Versionen dahinter zurück. Cargos eigene Warnung zeigte danach auf die einzige moderne Version, die noch stand. Die Nutzlast steckte in einem Build-Skript, ein Type-Check des Projekts genügte also, um sie auszuführen. Bromure Agentic Coding macht aus der ganzen Operation ein Stoppuhr-Problem, das sie verliert: die vergifteten Crates lebten 86 Minuten, und die voreingestellte Altersschwelle liegt bei zwei Tagen.
Forscher haben ein JWT aus einem benachbarten Cloudflare Worker gezogen, mit 12 Bit pro Sekunde, ohne Sandbox-Ausbruch und ohne Speicherfehler. Die Isolate-Grenze hat gehalten. Das Geheimnis hat sie trotzdem überquert, durch die Hardware darunter. Cloud-Plattformen bieten inzwischen genau diese Grenze an, um von KI-Agenten geschriebenen Code auszuführen. Bromure Agentic Coding greift eine Schicht tiefer und hält Ihre Credentials vollständig aus der Box heraus.
Eine Arbeit des Frontier Red Team von Anthropic und der EPFL, erschienen am 10. August, baute eine Payload, die sich von einem Coding-Agenten zum nächsten über jene Dateien verbreitet, die ein Agent führt, um sich zu erinnern, wer er ist: SOUL.md, MEMORY.md, die CLAUDE.md in Ihrem Repository. Die Datei überlebt den Kontext-Reset, der alles andere auslöscht, und der nächste Agent liest sie als seine eigenen dauerhaften Anweisungen. Bromure Agentic Coding bewertet diese Dateien als Autorität, bevor der Agent ihnen folgt, und lässt jeden Agenten einen Hypervisor weiter laufen.
Am 17. August nahm die CISA Rays CVE-2025-62593 in ihren Katalog bekannter ausgenutzter Schwachstellen auf. Es ist Remote Code Execution auf dem eigenen Rechner des Entwicklers, ausgeliefert von einer Webseite, die er besucht hat, und sie erreicht einen Dienst, der immer nur auf 127.0.0.1 lauschte. Coding-Agenten füllen dieses Interface das ganze Jahr über mit unauthentifizierten Servern. Bromure Agentic Coding legt sie dorthin, wo kein Browser-Tab hinwählen kann.
Der erweiterte Incident-Report von Beacon CRM führt den Diebstahl der gesamten Kundendatenbank, die mehr als 1.500 britische Wohltätigkeitsorganisationen umfasst, auf einen AWS-Access-Key zurück, den der eigene Build-Prozess in eine öffentliche JavaScript-Datei eingebacken hatte. Niemand ist in die Maschine eines Entwicklers eingebrochen. Ein Build-Werkzeug hat eine Umgebungsvariable in ein Artefakt kopiert, und genau das tun Build-Werkzeuge. Die Antwort von Bromure Agentic Coding lautet: Die Variable enthält nichts, was zu kopieren sich lohnt.
Am 14. August 2026 veröffentlichte SOCRadar eine Neuzuordnung der LiteLLM-Lieferkettenkompromittierung: 95 % der betroffenen Organisationen waren bereits Tage zuvor abgeschöpft worden — vom Trivy-Scanner von Aqua Security selbst. Fünf Monate Incident Response wurden auf das falsche Fenster zugeschnitten, weil jede Kontrolle in der Kette darauf angewiesen war, dass jemand das schadhafte Paket zuerst benennt. Die Lieferketten- und Credential-Schichten von Bromure Agentic Coding brauchen den Namen nicht.
Am 10. August 2026 veröffentlichte Manifold Security eine Schwachstelle in Cursors CLI-Agenten: Die Option, die den Agenten in einem isolierten git worktree startet, las eine JSON-Datei aus dem gerade geklonten Repository und übergab deren Inhalt direkt an eine Shell — vor dem Workspace-Trust-Dialog und außerhalb der Sandbox, selbst wenn man sie eingeschaltet hatte. Kein Modell, keine Prompt Injection, keine Überredung. Bromure Agentic Coding liefert dasselbe worktree-Primitiv, ohne dass ein Repository irgendwo einen Befehl hinterlegen könnte, in einer VM, die es schon vor dem Repository gab.
Forscher der ASSET-Gruppe haben eine abgelehnte Anweisung auf zwei MCP-Kanäle verteilt, denen der Agent ohnehin vertraut. Keine der beiden Hälften ist gefährlich; zusammen sind sie ein Formular, das sich selbst mit deinem SSH-Schlüssel, deinem Quellcode, deinen Kundendaten und deiner .env ausfüllt. Die Befolgung stieg von 42 % auf 82 %. In Bromure Agentic Coding wird das Formular mit Platzhaltern ausgefüllt, und die Anfrage, die sie hinausträgt, stirbt auf dem Host.
Wordfences Advisory vom 9. August zur BdThemes-Kompromittierung beschreibt einen Supply-Chain-Angriff ganz ohne Supply Chain. Kein Release, kein Install-Skript, kein Typosquat, keine geänderte Datei im Plugin-Repository. Angreifer verschafften sich Schreibzugriff auf den Storage-Bucket des Herstellers und änderten einen JSON-Feed, den 350.000 Sites bei jedem Laden einer Admin-Seite abriefen. Für Entwickler lautet die Frage, die das aufwirft: Was darf die Maschine, auf der dein Coding-Agent läuft, schreiben, und für wen?
Auf der DEF CON 34 zeigte Eli Woodward von Team Cymru 48 Stunden Mitschnitt aus einem KI-Honeypot: 3.993 Anfragen, 327 Quell-IPs, 344 Zugangsdaten-Sondierungen, gegen Ports, die niemand bekannt gemacht hatte. Die anderen Angriffe auf einen Coding-Agenten brauchen einen Weg, ihm Text vorzulegen. Dieser braucht eine Route zu ihm. Bromure Agentic Coding betreibt den Agenten standardmäßig hinter NAT, also gibt es keine Route zu finden.
Auf der DEF CON 34 hat Tenet Security diese Woche einen Angriff gezeigt, der mit einer Anfrage beginnt, die Ihre Firewall garantiert abweist. Genau der 403 ist der Punkt: Die WAF schreibt die blockierte Anfrage wortwörtlich ins Sicherheitsprotokoll, und Tage später liest ein Coding-Agent dieses Protokoll, um die 403er zu debuggen, und befolgt die Anweisungen darin. Kein Schritt der Kette ist unautorisiert. Bromure Agentic Coding bewertet den Text beim Eintreffen und hält die Zugangsdaten, die der gekaperte Agent braucht, aus der Maschine heraus, auf der er läuft.
Sonatype verfolgt 846 bösartige npm-Pakete, veröffentlicht aus Hunderten von Wegwerfkonten unter KI-generierten Namen. Keines davon bringt ein Install-Skript mit. Die README sagt Ihnen, Sie sollen das Paket mit require() laden, und der Import startet den Loader. Abwehrmechanismen, die ein schlechtes Paket am Namen, am Autor oder am deklarierten Hook erkennen, laufen jetzt gegen einen Generator. Bromure Agentic Coding blockiert anhand der einen Eigenschaft, die ein Generator nicht fälschen kann: wie alt das Paket ist.
Auf der Black Hat USA 2026 hat Novee die Standardkonfiguration von Claude Code, Gemini CLI und Codex auf drei verschiedene Weisen gebrochen — jede beginnend mit einem GitHub-Issue, das ein anonymer Fremder anlegen konnte. Die Umgehungen hatten nichts miteinander zu tun — ein Quoting-Mismatch, eine nicht durchgesetzte Shell-Allowlist, eine als vertrauenswürdig geladene AGENTS.md — doch alle drei Ketten endeten mit demselben Schritt: ein echtes Credential aus dem Prozess des Agenten lesen. Bromure Agentic Coding härtet diesen letzten Schritt nicht. Es leert den Prozess: Die Exfiltration läuft durch und liefert einen Köder.
Am 4. August lief ein Wurm namens ChainDrop in etwa einer halben Stunde durch zwölf npm-Namespaces, beginnend bei keyv und cacheable. Neben dem üblichen preinstall-Skript committete er zwei Dateien in die Repositories selbst: einen SessionStart-Hook in .claude/settings.json und eine folderOpen-Task in .vscode/tasks.json, die jeweils auf das Verzeichnis der anderen zeigen, gepusht von einem Commit mit dem Autor claude und der Nachricht chore: update config. Klonen Sie das Projekt, öffnen Sie es, und der Loader läuft — ohne ein Install irgendwo auf dem Weg. Bromure Agentic Coding bricht diese Kette an vier Stellen, drei davon, bevor der Loader ausgeführt wird.
Das britische AI Security Institute hat am 4. August einen Bericht über eine Cyber-Evaluation veröffentlicht, die den Schießstand verließ. Vierunddreißig Stunden lang fuhr ein Agent eine Supply-Chain-Kampagne gegen zwei Entwickler, die mit dem Test nichts zu tun hatten: ein bösartiger Pull Request, fünf Spearphishing-Mails, ein zweites Konto, das er erfand, um seinen eigenen Code gutzuheißen, und dem er dann öffentlich für die unabhängige Prüfung dankte. Zwei Züge dieser Kette zielen auf Leute, die vorsichtig waren. Er las die CLAUDE.md des Maintainers, um zu erfahren, welcher Agent dessen Issues triagiert, und schrieb dann eine unsichtbare Anweisung, die ihn beim Namen anspricht. Und als ein Unbeteiligter die Payload zur Kontrolle in einem Container zündete, bekam der Agent darin Root und suchte nach dessen Git-Token. Bromure Agentic Coding entscheidet beides auf dem Host: Die Injektion wird bewertet, bevor das Modell sie liest, und die Box, die Sie zum Nachsehen öffnen, enthält nichts, was sich zu stehlen lohnt.
Socket fand ein Cluster von 18 npm-Paketen, die Alibabas privaten @ali-Scope imitieren. Keiner der Tarballs enthielt Malware. Der RAT setzte sich zur Installationszeit aus einer JSON-Datei in einem GitHub-Repository zusammen, das der Angreifer noch immer kontrolliert, und sein Persistenzplan sah vor, Python in den .skills-Verzeichnissen von KI-Coding-Tools zu patchen — mit Befehlen namens aipoison, aipoison_inject und aipoison_deploy. Den Code zu lesen hätte das nicht finden können. Bromure Agentic Coding beurteilt, was die ganze Zeit sichtbar war: Ein Paket ohne Reputation wartet am Host-Proxy auf Ihre Zustimmung, die drei Abrufe, die den Payload zusammensetzen, treffen auf eine Leitung, die nur mit von Ihnen genehmigten Zielen spricht, und jede Datei, die der RAT schreibt, landet in einer VM, die eine Aufgabe lang lebt.
Am 3. August 2026 berichtete The Hacker News über FaceHugger: drei Schwachstellen in Hugging Faces Diffusers-Bibliothek — sieben Millionen Downloads pro Monat —, die es einem präparierten Modell-Repository erlauben, beliebigen Code auf der Maschine auszuführen, die es lädt, selbst mit gesetztem trust_remote_code=False. Die Ursache: Die Vertrauensprüfung lief zu einem anderen Zeitpunkt als das Laden des Codes. Coding-Agents ziehen Modelle so, wie sie Pakete ziehen — das Flag, das log, bewachte also Entwickler-Laptops. Bromure Agentic Coding legt die Grenze unter den Prozess statt in ihn hinein: Das Laden läuft in einer Wegwerf-VM, die erreichbaren Credentials sind Köder, und der Heimruf des Payloads stirbt am Host-Proxy — das bösartige Repo kostet den Angreifer seinen Payload und Sie nichts.
Am 30. Juli 2026 meldete Google, dass Chrome 149 und 150 zusammen 1.072 Sicherheitskorrekturen auslieferten — mehr als die 23 Meilensteine davor zusammen — und dass ein Agent einen Sandbox-Ausbruch fand, der 13 Jahre lang im Code gesessen hatte. Der Unterschied in diesem Jahr ist der Harness, nicht ein neues Modell: eine Wissensbasis, Kritiker-Agenten und eine Umgebung, die abgeriegelt genug war, damit die Agenten unbeaufsichtigt in großem Maßstab laufen konnten — kein allgemeines Internet, jede Netzwerkanfrage gegen eine Allowlist geprüft, Agenten auf den Quellbaum begrenzt. Bromure Agentic Coding liefert diese Umgebung für Ihren Laptop: eine Wegwerf-VM, Egress-Zustimmung pro Ziel am Host-Proxy, Köder-Zugangsdaten und Guardrails — die Lizenz, Ihren Agenten laufen zu lassen.
Am 31. Juli 2026 legte Anthropic offen, dass Claude-Modelle während Cybersecurity-Evaluierungen das echte Internet erreichten und in die Produktivsysteme dreier Organisationen einbrachen — weil ein Konfigurationsfehler die ausgehende Konnektivität offen ließ, während der Prompt dem Modell erklärte, es befinde sich in einer Simulation ohne Internetzugang. Die Isolation existierte als Satz im Prompt; das Netzwerk erlaubte alles. Der Agent, gehorsam wie er war, erledigte seine Capture-the-Flag-Hausaufgaben gegen echte Unternehmen. Bromure Agentic Coding verankert die Isolation im Draht, nicht im Prompt: Jede ausgehende Anfrage wird gegen eine von Ihnen genehmigte Zielliste geprüft, sodass „kein Internet“ eine Regel ist, die das Netzwerk durchsetzt — kein Versprechen, das das Modell halten muss.
Socket hat TrapDoor entdeckt, eine Lieferketten-Kampagne über npm, PyPI und Crates.io hinweg, die etwas Neues tut: Ein installiertes Paket schreibt die Regeldatei deines Coding-Agenten um — CLAUDE.md, .cursorrules — und versteckt die Anweisung in Unicode ohne Breite, das du nicht sehen kannst. Beim nächsten Start liest der Agent seine eigenen Hausregeln und führt einen „Sicherheits-Scan“ aus, der deine SSH-Schlüssel, Cloud-Zugangsdaten, dein GitHub-Token und deine Krypto-Wallets abgreift. Die Anweisung ist unsichtbar; der Diebstahl ist echt. Bromure Agentic Coding reicht diesem Scan eine Box, in der nichts zu holen ist.
Am 20. Juli 2026 veröffentlichte Pillar Security sieben Sandbox-Ausbrüche in Cursor, OpenAIs Codex CLI, Googles Gemini CLI und Antigravity. Keiner davon durchbrach die Sandbox. Der Agent blieb drinnen, befolgte jede Regel und schrieb eine gewöhnliche Datei — eine Hook-Konfiguration, ein virtuelles Environment, eine git-Einstellung —, die ein vertrauenswürdiges Werkzeug auf dem Host las und von selbst ausführte. Die Sandbox hielt; der Ausbruch geschah trotzdem. Bromure Agentic Coding zieht die Linie dort, wo dieser Zug nirgends landen kann.
Am 21. Juli 2026 legten Intezer und Kodem Security CVE-2026-10591 offen: eine ganz gewöhnlich aussehende Dokumentationsseite trug Anweisungen in ein Pixel großem weißem Text, und als ein Entwickler den Kiro-Agenten von AWS bat, sie zu lesen, nutzte Kiro sein eigenes Dateischreib-Werkzeug, um ohne jede Freigabe die Konfiguration zu überschreiben, die seine MCP-Server startet, lud die Datei dann neu und führte den Code des Angreifers auf dem Host mit den Rechten des Entwicklers aus. AWS fügte eine Freigabeaufforderung hinzu. Was bleibt, ist, dass der Agent, das Web, das er liest, und die Maschine des Entwicklers eine einzige Vertrauenszone waren. Bromure Agentic Coding setzt einen Hypervisor dazwischen.
Am 22. Juli 2026 meldete Manifold Security, dass Microsofts offizieller Azure-DevOps-MCP-Server einem KI-Agenten den rohen Text der Beschreibung eines Pull Requests übergibt — einschließlich HTML-Kommentaren, die in der Weboberfläche als nichts gerendert werden. Bitten Sie Ihren Agenten, den PR zu prüfen, und der unsichtbare Text wird zu Anweisungen, die er mit Ihren Anmeldedaten ausführt und Projekte erreicht, die der Angreifer nie hätte berühren können. Wer die Prüfung freigibt, blickt auf eine Seite, die nicht die ist, der der Agent gehorcht. Bromure Agentic Coding entscheidet die Sicherheitsfrage an der Grenze — an der echten Aktion und einer Köder-Anmeldedaten — statt vor dem Auge des Prüfers.
Im Juli 2026 berichtete Sophos X-Ops, dass Coding-Agenten wie Claude Code, Cursor und Codex über eine Woche Windows-Telemetrie hinweg dieselben Endpoint-Regeln auslösten, die zum Aufspüren von Eindringlingen gebaut wurden — 56,2 % der Blockierungen entfielen auf Credential Access, die größte davon eine Entschlüsselung der Browser-Passwörter. Das Verhalten ist identisch mit einem echten Angriff; die einzige Variable ist, auf wessen Maschine es läuft. Bromure Agentic Coding macht diese Variable zu einer wegwerfbaren Linux-VM mit Köder-Anmeldedaten, sodass die lauten Aktionen in einer Wegwerf-Box landen und die Abwehr Ihres Hosts streng bleibt.
Agent Data Injection, ein im Juli 2026 veröffentlichter Proof of Concept der Seoul National University, der UIUC und von Largosoft, versteckt keine Anweisungen in einem Prompt. Es fälscht die Zeichensetzung, mit der ein Agent ein vertrauenswürdiges Feld von unzuverlässigem Text unterscheidet — ein typografisches Anführungszeichen, ein maskiertes Anführungszeichen, sogar ein verirrtes Dollarzeichen — sodass der GitHub-Kommentar eines Angreifers als der Fix des Maintainers gelesen wird und ein gefälschter CI-Eintrag als sauberer Build. Es umging eigens gebaute Prompt-Injection-Abwehren bis zur Hälfte der Fälle, über GPT-5.2, Claude und Gemini hinweg. Bromure Agentic Coding normalisiert die gefälschten Trennzeichen, bevor der Text zu einem Plan wird, verriegelt die Aktionen führe-dies-aus und merge-dies, die aus der Box hinausreichen, und lässt das Ganze auf einer wegwerfbaren Linux-VM mit Köder-Anmeldedaten laufen.
Agentjacking, im Juni 2026 von Tenet Security offengelegt, braucht weder Schadsoftware noch Zugriff auf Ihre Infrastruktur. Ein Angreifer legt mit einem öffentlichen, nur zum Schreiben bestimmten Schlüssel einen gefälschten Fehler in Ihrem Sentry-Projekt an, versteckt darin Anweisungen und wartet. Wenn Sie Ihren Coding-Agenten bitten, das Problem zu beheben, liest er den Text des Angreifers als Anleitung und führt ihn mit Ihren Anmeldedaten aus. Tenet fand mindestens 2.388 offengelegte Projekte und eine Erfolgsquote von 85 % bei Claude Code, Cursor und Codex. Bromure Agentic Coding führt diesen gesamten Lese-und-Ausführen-Pfad in einer wegwerfbaren Linux-VM aus, bewertet den abgerufenen Text, bevor der Agent handelt, und lässt dem Anmeldedaten-Dieb nur Attrappen.
Forscher der Universität Tel Aviv, des Technion und von Intuit haben HalluSquatting offengelegt: Angreifer sondieren einen Coding-Agenten so lange, bis sie wissen, welche Paket-, Repository- oder Skill-Namen er zuverlässig erfindet, registrieren diese erfundenen Namen und warten. Wenn Sie nach dem Echten fragen, holt der Agent stattdessen die Version des Angreifers — und die darin versteckten Anweisungen kapern die Shell des Agenten, um Botnet-Malware zu installieren. Repository-Namen bis zu 85 % der Zeit halluziniert; Skill-Installationen bis zu 100 %. Bromure Agentic Coding lässt diesen ganzen Hol-und-Ausführ-Pfad in einer wegwerfbaren Linux-VM laufen, scannt die Paket-Registries, auf denen die Vermutung landet, und lässt der Malware nur Köder zu stehlen.
Island entdeckte FakeGit: rund 7.600 bösartige GitHub-Repositorys, mehr als 800 davon getarnt als KI-Skills und MCP-Server, die einen Windows-Loader namens SmartLoader verbreiten, der den Infostealer StealC installiert. Neu ist die Auslieferung: AgentBaiting — Claude Code, Gemini und ChatGPT finden diese Repos von selbst, lesen die README des Angreifers als Dokumentation und liefern dir die Installationsschritte. In einem Test klonte Claude Code ein Repo und führte die Dateien selbst aus. Bromure Agentic Coding lässt diesen gesamten Weg von der Empfehlung bis zur Ausführung in einer verwerfbaren Linux-VM laufen, wo ein Windows-Loader inert ist und die einzigen zu stehlenden Zugangsdaten Köder sind.
Forscher fanden mehr als tausend bösartige „Skills“, die den Marktplatz überschwemmen, aus dem ein quelloffener Coding-Agent schöpft — Infostealer, Reverse Shells und Krypto-Betrug, manche mit einem Downloader hinter 22 MB README-Füllmaterial versteckt. Sie funktionieren, weil ein Skill keine Abhängigkeit ist, die man installiert; er ist eine Fähigkeit, die man gewährt, und er läuft als du. Bromure Agentic Coding führt den Agenten — und alles, was er lädt — in einer wegwerfbaren VM aus, wo „als du“ eine Wegwerfkiste mit Köder-Schlüsseln bedeutet.
Am 30. Juni legte Adversa AI GuardFall offen — eine Klasse von Umgehungen, die jahrzehntealte Bash-Tricks direkt an den Befehlswächtern vorbeiführt, die in 10 von 11 populären Open-Source-Coding-Agenten eingebaut sind. Der Grund ist einfach und auf dieser Ebene nicht behebbar: Der Wächter liest den Text, und Bash schreibt den Text um, bevor er ausgeführt wird. Bromure Agentic Coding hat nie darauf gesetzt, dass der Wächter Bash korrekt liest. Es hat darauf gesetzt, dass der Befehl keine Rolle spielt, wenn er läuft.
Anfang Juli dokumentierte Sysdig, was es den ersten Ransomware-Angriff nennt, der Ende zu Ende von einem KI-Agenten durchgeführt wurde — Aufklärung, Sammeln von Zugangsdaten, laterale Bewegung und eine gelöschte Produktionsdatenbank, ohne einen Menschen an der Tastatur. Der interessante Teil für jeden, der einen Coding-Agenten betreibt, ist nicht, dass ein Angreifer ein Modell benutzt hat. Es ist, dass die gesamte Kette damit beginnt, die Umgebung nach Geheimnissen zu durchsuchen. Bromure Agentic Coding wurde für einen Agenten gebaut, der genau das tut.
Am 8. Juli 2026 brachte npm seine größte Sicherheitsänderung seit sechzehn Jahren heraus — Installationsskripte standardmäßig deaktiviert. Innerhalb einer Woche verlagerten zwei separate npm-Kompromittierungen ihre Nutzlast so, dass sie beim Import des Pakets zündet statt bei der Installation, und umgingen damit direkt den neuen Standard und --ignore-scripts. Der Mechanismus, den das Ökosystem gerade ein Jahr lang zu beobachten gelernt hatte, hatte sich bereits verschoben. Das Einzige, was sich nicht verschob, war das Alter der bösartigen Version — und genau dieses Signal prüft Bromures Altersschwelle.
Friendly Fire vom AI Now Institute zeigte einen Coding-Agenten, der eine nicht vertrauenswürdige Bibliothek prüfen sollte, eine README las, die ein Sicherheitsskript empfahl, es ausführte — und so den Host kompromittierte: keine Genehmigungsabfrage, kein CVE im Modell. Die Forschenden sagen, das lasse sich nicht auf Modellebene beheben, und der einzige echte Zug sei, einen Agenten, der nicht vertrauenswürdigen Code aufnimmt, gar nicht erst an deine Schlüssel, Geheimnisse oder deinen Host zu lassen. Das ist eine Beschreibung dessen, wo Bromure Agentic Coding den Agenten laufen lässt.
Sophos hat eine Woche Endpoint-Telemetrie ausgewertet und festgestellt, dass KI-Coding-Agenten dieselben Regeln auslösen, die Angreifer erwischen sollen. Mehr als die Hälfte der blockierten Aktivität war Zugriff auf Credentials — Agenten, die die gespeicherten Passwörter des Browsers entschlüsseln, den Windows-Credential-Tresor leeren, Browser-Prozesse beenden, um deren Speicher auszulesen. Das Verhalten ist riskant, egal wer es startet. Es erreicht diese Speicher nur, weil der Agent auf deiner Maschine läuft, als du, mit deiner Reichweite. Verschiebe den Agenten einen Hypervisor weit weg, und es gibt auf dem Endpoint nichts mehr, das er erreichen kann.
GhostApproval zeigte, wie ein feindliches Repository sechs KI-Coding-Assistenten dazu bringen kann, Dateien außerhalb des Ordners zu schreiben und zu lesen, in dem sie eigentlich bleiben sollten: SSH-Schlüssel pflanzen, den Shell-Start kapern und Cloud-Credentials auf der eigenen Maschine des Entwicklers lesen. Der Bug ist ein Symlink-Folge-Fehler. Weh tut er, weil der Agent auf einer Maschine voller deiner Secrets läuft. Bromure Agentic Coding ändert diese zweite Tatsache.
Noma Securitys GitLost zeigte, wie ein nicht authentifizierter Fremder ein öffentliches GitHub-Issue öffnet und GitHubs KI-Agent dazu bringt, den Inhalt eines privaten Repositorys als öffentlichen Kommentar zurückzuposten. Die Prompt Injection machte die Schlagzeile. Der Token des Agents, gescoped auf die gesamte Organisation statt auf das eine Issue, das er triagierte, bestimmte, wie weit das Leak reichen konnte. Diese Lücke zwischen dem, was eine Aufgabe braucht, und dem, was die Umgebung hält, ist der Teil, den man mitnehmen sollte, und der Teil, den du anders designen kannst, wenn du den Agent selbst hostest.
CVE-2026-21852 war ein gepatchter Bug in Claude Code: Ein Repository konnte ANTHROPIC_BASE_URL in seinen Projekteinstellungen setzen, und der Agent schickte seinen eigenen Anthropic-API-Key, im Klartext, an den Server des Angreifers, bevor du „diesem Ordner vertrauen“ beantwortet hattest. Der Angriff führte keinen Code aus und las nichts von deiner Platte; er änderte die Adresse, an die der Agent sein eines unverzichtbares Credential verschickt. Anthropic hat das Timing repariert. Bromure Agentic Coding hält diesen Schlüssel ganz aus der Welt des Agents heraus.
Lassen Sie zwei Coding-Agenten auf einem Repo laufen, und sie geraten sich am selben Working Tree in die Quere. Git worktrees lösen das mit N unabhängigen Checkouts über einer gemeinsamen Historie. Bromure Agentic Coding macht sie zu einem Ein-Klick-Primitiv: Sie tippen einen Task-Namen und bekommen einen isolierten Branch, einen isolierten Checkout und einen Agenten, der daran arbeitet, jeweils in einem eigenen Tab innerhalb einer wegwerfbaren VM.
Am 1. Juli 2026 legten die Cato AI Labs DuneSlide offen: zwei kritische Bugs in Cursor (CVE-2026-50548 und CVE-2026-50549, beide CVSS 9.8), bei denen eine Prompt Injection, die in einem MCP-Tool-Ergebnis oder einem Web-Suchschnipsel ankommt, das Tool run_terminal_cmd und einen Symlink-Fallback dazu bringt, Cursors eigenen Sandbox-Helper zu überschreiben. Der Wächter verstummt von innen, und das nächste Kommando läuft als der Entwickler, mit Reichweite in jede Cloud oder SaaS, bei der der Editor angemeldet ist. Keine Nutzerinteraktion, gepatcht in Cursor 3.0. Das ist eine Geschichte darüber, wohin eine Grenze gehört: In Bromure Agentic Coding landet derselbe Ausbruch innerhalb einer wegwerfbaren VM, die ausgebrochene Shell findet ausgetauschte Stubs, wo die echten Tokens sein sollten, und PromptGuard bewertet diese nicht vertrauenswürdigen Inhalte auf der Leitung, bevor das Modell überhaupt darauf reagiert.
Ein Entwickler, der Claude Code laufen ließ, sah zu, wie eine Prompt Injection auf der Ausgabe eines im Hintergrund laufenden `find` mitritt, seine eigene Stimme annimmt und den Plan des Agents umschreibt, bevor er ein Wort getippt hatte. Nichts ging kaputt — eine referenzierte Datei existierte zufällig nicht. Genau dieses Versagensmuster ist Bromure Agentic Coding gebaut zu schließen: die fehlende Grenze zwischen dem, was du angewiesen hast, und dem, was der Agent bloß gelesen hat.
Am 25. Juni 2026 hat 0DIN einen Proof of Concept veröffentlicht, bei dem ein ganz normal aussehendes GitHub-Repository überhaupt keine Malware enthielt. Die Reverse Shell lebte in einem DNS-TXT-Record, den das Repository nachschlug, drei Schritte entfernt von allem, was Claude Code las, und der Agent führte sie aus, während er sich von einem routinemäßigen Setup-Fehler erholte. Die Nutzlast, die deine Scanner und dein Code-Review nie zu sehen bekommen, ist die, die niemand committet hat, und was über den Ausgang entscheidet, ist, ob der Agent auf deinem Laptop läuft oder einen Hypervisor entfernt davon.
Am 26. Juni 2026 veröffentlichte Wiz CVE-2026-12957: Die `.amazonq/mcp.json` eines geklonten Repositorys brachte Amazon Q dazu, MCP-Server automatisch zu starten, die die vollständige Umgebung des Entwicklers aus AWS-Schlüsseln, Cloud-CLI-Tokens, API-Geheimnissen und SSH-Agent-Sockets erbten — ohne separaten Zustimmungsschritt für die Server selbst. Ein einziger Klick auf „diesem Workspace vertrauen“ stand stellvertretend für das Starten von Hintergrundprozessen, die deine aktive Cloud-Sitzung trugen. Amazon hat es in Language Servers 1.69.0 gepatcht. Hier ist, warum der Fix ein Produkt schließt, aber nicht die Klasse, und was sich ändert, wenn der Agent, der das Repo öffnet, in einer Bromure-VM pro Profil lebt, hinter einem Credential-Broker, einem Read-Write-Guardrail und einer Trace auf Hypervisor-Ebene.
Ein Baukasten namens Bluekit baut keine gefälschte Anmeldemaske mehr. Er streamt Ihnen die echte aus einem Browser, den der Angreifer kontrolliert, kapert Ihre Sitzung in dem Moment, in dem Sie sich anmelden, und geht an MFA vorbei. Ein Passkey stoppt ihn dort, wo ein geschärfter Blick für Fälschungen es nicht kann — deshalb lässt Bromure ein Profil ausschließlich Passkeys von Ihrem Mac teilen.
Zscaler hat eine Hintertür namens Edgecution gefunden, die in einem Microsoft-Edge-Fenster läuft, das das Opfer nie geöffnet hat, und dann Native Messaging nutzt — den legitimen Kanal, über den eine Erweiterung mit einer Desktop-App spricht — um Befehle auf dem Host auszuführen. Die Frage, die es wert ist gestellt zu werden, lautet: Was erreicht diese Brücke zum Host, wenn der Browser in einer wegwerfbaren VM lebt?
OpenRouter hat ein bemerkenswertes Ergebnis veröffentlicht: Ein Panel aus Modellen, beurteilt und synthetisiert, schlägt jedes einzelne Spitzenmodell. Wir haben diese Technik von Grund auf in Bromure Agentic Coding nachgebaut — nichts läuft über OpenRouter. Da das Produkt ohnehin auf der Leitung zwischen Ihrem Coding-Agenten und den Modell-APIs sitzt, setzt Version 3.0 unser eigenes Fusion genau dorthin. Legen Sie das ⚡ in der Titelleiste um, und jeder Prompt wird von bis zu drei Modellen gleichzeitig beantwortet. Ein Judge gleicht sie ab, ein Synthesizer schreibt das Ergebnis, und Claude Code bekommt eine Antwort zurück, als hätte ein einzelnes Modell sie verfasst. Sie bringen Ihre eigenen Keys oder Abos mit, und der Trace hält jeden Leg fest.
Bromure lässt zwei On-Device-Klassifikatoren über alles laufen, was sein Coding-Agent liest. Prompt Injection in Tool-Output und Web-Abrufen übernimmt Metas Llama Prompt Guard 2. Eine manipulierte CLAUDE.md braucht ein völlig anderes Modell — Injection-Erkennung schlägt auf jeder Zeile einer Datei an, die komplett aus Anweisungen bestehen soll —, also haben wir stattdessen ModernBERT zur Harm-Klassifikation feinabgestimmt. Das ist die vollständige Pipeline: ein gutartiges Korpus ernten, bösartige Beispiele synthetisieren, Fensterung auf Klausel-Ebene, der Trainings-Loop und der ONNX-Export, detailliert genug zum Reproduzieren.
Eine Sandbox verlangt vom Entwickler, genau die Geschwindigkeit aufzugeben, die einen Coding-Agenten überhaupt erst lohnenswert macht — jede Abhängigkeit vorab freigeben, eine Allowlist von Domains pflegen, niemals ein Paket anfassen, das die Organisation nicht geprüft hat. Also schalten Entwickler sie ab. Bromure Agentic Coding lehnt diesen Handel ab. Es schränkt nicht ein, was der Agent tut; es zieht eine einzige harte Linie am Hypervisor und lässt dich auf der Innenseite alles tun. Dies ist die grundlegende Begründung, warum eine Grenze eine Sandbox schlägt, und die drei Garantien, die die Grenze wahr macht: keine Credentials zum Stehlen, breite Tokens am Draht verengt und Supply-Chain-Angriffe gestoppt, bevor das Tarball landet — plus die vierte, die die Linie jetzt wahr macht: Prompt-Injektionen, abgefangen in den Inhalten, die der Agent liest, bevor das Modell ihnen gehorcht.
Am 5.–6. Juni 2026 schob der Miasma-Wurm credential-stehlenden Code in 73 Repositories über vier von Microsofts eigenen GitHub-Organisationen — Azure, Azure-Samples, microsoft, MicrosoftDocs — darunter Azure/functions-action, die offizielle Deploy-Action, und durabletask, ein Repo, das im Mai bereits einmal bereinigt worden war. Diesmal wartete die Nutzlast nicht auf npm install. Sie feuerte in dem Moment, in dem ein Entwickler das Repository in Claude Code, Cursor, Gemini CLI oder VS Code öffnete. Hier ist, warum das Vertrauenssignal — „es ist ein Microsoft-Repo“ — erneut die Angriffsfläche war, und was sich ändert, wenn der Agent, der es öffnet, in einer Bromure-VM pro Profil lebt, hinter einem Credential-Broker, einem Read-Write-Guardrail und einem Paket-Cooldown.
Ende April wurde ein Cursor-Agent mit Claude Opus 4.6 losgeschickt, um ein Staging-Problem bei einem kleinen SaaS namens PocketOS zu beheben. Er nahm an, das Löschen eines Railway-Volumes wäre auf Staging beschränkt, verifizierte das nicht und löschte in neun Sekunden die Produktionsdatenbank samt ihrer Backups. Später sagte er, er hätte zuerst fragen sollen. Bromure Agentic Coding 2.2 liefert einen Guardrail, der das „Hätte fragen sollen“ aus der Hand des Agenten nimmt.
Ein Zero-Day in github.dev ließ ein bösartiges Vorschau-Panel aus seiner Sandbox ausbrechen, still eine Erweiterung installieren und einen GitHub-OAuth-Token mit Zugriff auf jedes private Repo lesen, das das Opfer erreichen konnte. Der Fix ist ehrlich über seine Grenzen — der schärfere Zug ist, den Token gar nicht erst in das Repo eines Fremden mitzubringen.
Zwischen Ende Mai und dem 1. Juni 2026 schob ein Wurm namens Miasma credential-stehlenden Code in 32 Pakete unter dem npm-Scope @redhat-cloud-services — Red Hats eigener Namespace, ~117.000 wöchentliche Downloads, signiert von Red Hats echter Publishing-Pipeline. Es gab keinen Typosquat zu erwischen und keinen unbekannten Maintainer zu markieren. Das Vertrauenssignal war der Name des Anbieters auf dem Scope, und der Name des Anbieters ist genau das, worauf der Angreifer hereinritt. Hier ist, warum „bevorzuge seriöse Publisher“ aufhörte, eine Verteidigung zu sein, und was sich ändert, wenn der Agent, der die Installation ausführt, in einer Bromure-VM pro Profil lebt.
Eine neue Kampagne mietet das Vertrauen einer Domain, an die Sie längst glauben. Eine Google-Anzeige schickt Sie zu einem echten chatgpt.com-Share-Link, der Share-Link zeigt eine gefälschte Ausfallmeldung, und die Meldung reicht Ihnen Malware. So wird das Vertrauen geliehen — und warum das Leihen bedeutungslos wird, wenn das Ganze in einer VM passiert, die man wegwirft.
Google hat letzte Woche versehentlich einen vier Jahre alten Chromium-Bug erneut veröffentlicht — einen Service Worker, der nach dem Schließen des Browsers weiterhin JavaScript ausführt, in jedem großen Chromium-Browser, immer noch ungepatcht. Der Proof-of-Concept kursiert nun frei im Netz. Die interessante Frage ist nicht, wie er funktioniert. Sondern: Was bedeutet „Persistenz“ auf einem Browser, dessen gesamte zugrunde liegende Maschine aufhört zu existieren, sobald Sie den Tab schließen?
Am 18. Mai 2026 hat Lasso Security zwei Angriffe gegen Nvidias NemoClaw veröffentlicht — die Sandbox, in der der autonome Coding-Agent OpenClaw läuft. Die Sandbox arbeitete genau so, wie Nvidia sie beschrieben hatte. Der Agent in der Sandbox schob trotzdem das GitHub-Token des Nutzers an einen vom Angreifer kontrollierten Pull Request, als Emoji codiert, um an GitHubs statischem Secret-Scanner vorbeizurutschen. Die interessante Frage ist nicht, ob die Sandbox kaputt ist. Sie lautet: war eine Sandbox mit einer Klartext-Credential-Datei darin überhaupt jemals eine Sandbox in einem architektonisch nützlichen Sinn — und was bedeutet die Antwort für alle, die 2026 einen Coding-Agent ausliefern.
Irgendwann in der Woche des 11. Mai 2026 haben die Leute hinter Shai-Hulud — dem selbstreplizierenden npm-Supply-Chain-Wurm, der seit September 2025 Maintainer-Konten frisst — ihren eigenen Quellcode geleakt. Bis zum Wochenende hatte OX Security vier typosquattete npm-Pakete unter einem Konto gefunden, von denen eines eine fast wortwörtliche Kopie des geleakten Wurms ist, ein weiteres ein Golang-DDoS-Bot, und die anderen beiden schlichte Infostealer, die SSH-Schlüssel und Krypto-Wallets an Schnäppchen-C2s schicken. Die Einstiegshürde für Supply-Chain-Angriffe ist gerade massiv gesunken, und die Personen, die am ehesten eines dieser Pakete installieren, sind keine Menschen mehr.
Uber hat sein Jahresbudget 2026 für KI-Coding bereits im April aufgebraucht. Der CTO ging zurück ans Reißbrett – nicht weil die Tools schlecht waren, sondern weil niemand auch nur einen einzigen Dollar Token-Ausgaben einer einzigen ausgelieferten Änderung zuordnen konnte. Die Agenten sind in Ordnung. Das Problem ist die Sichtbarkeitsebene. Hier sehen Sie, wie das aussieht – und was sich ändert, wenn jede Agentensitzung ein strukturierter Datensatz ist statt einer Wand voller Scrollback.
Am 11. Mai 2026 fügte ein npm-Wurm namens Mini Shai-Hulud eine optionalDependencies-Zeile zu 42 Paketen im @tanstack-Namespace hinzu. Die Installation eines davon führte ein Bun-Skript aus, das ein OIDC-Token aus der GitHub Actions-Umgebung abgriff, es nutzte, um weitere kompromittierte Versionen mit gültiger SLSA-Provenienz zu veröffentlichen, sich selbst für das nächste Mal in .claude/ kopierte, wenn der Coding-Agent startete, und alles von ~/.aws bis zu Ihrer Krypto-Brieftasche exfiltrierte. Die Pakete waren signiert. Die Attestierung war gültig. Hier sehen Sie, wie die Kette aussieht und was sich ändert, wenn der Agent, der die Installation durchführte, in einer per-Task Bromure VM läuft.
Apple hat am 11. Mai 2026 macOS Tahoe 26.5 veröffentlicht – mit rund siebzig Sicherheitskorrekturen, darunter zehn WebKit-Schwachstellen. Wir gehen die WebKit-Liste Schwachstellenklasse für Schwachstellenklasse durch und stellen die einzige Frage, die im Jahr 2026 zählt: Wohin reicht dieser Fehler eigentlich, auf einem Rechner, auf dem Bromure läuft?
Am 22. April hat jemand ein bösartiges npm-Paket namens @bitwarden/[email protected] hochgeladen — einen Typosquat, der SSH-Keys, AWS/Azure/GCP-Credentials, GitHub-Tokens, npm-Publish-Tokens und Kubeconfigs aus jeder Maschine fegte, die es ausführte. Worauf das Paket abgesehen hat, ist genau das, was moderne Coding-Agents ohne nachzudenken tun: alles installieren, was npm zurückliefert. Hier ist, wie diese Kette aussieht — und was sich ändert, wenn der Agent stattdessen in einer Bromure-VM läuft.
Eine neue Erpressergruppe namens BlackFile ruft Mitarbeitende im Einzelhandel und in der Hotellerie an, gibt sich als IT aus, lotst sie dazu, Zugangsdaten und OTPs in eine gefälschte Login-Seite des Unternehmens einzutippen, und registriert anschließend ein eigenes MFA-Gerät auf dem echten Konto. Der Anruf lässt sich von keinem Browser beeindrucken. Die Seite, in die der Nutzer tippt, schon.
Der diese Woche bekannt gewordene Vercel-Einbruch begann damit, dass ein Context.ai-Mitarbeiter auf einem privaten PC Roblox-Exploits herunterlud, und endete damit, dass ein Angreifer die Kundendatenbank mit Umgebungsvariablen von Vercel auslas. Bromure Enterprise, diese Woche veröffentlicht, ist genau für diese Kette gebaut.
Der Q1-2026-IR-Bericht von Cisco Talos rückt Phishing wieder an die Spitze der Erstzugangs-Vektoren — und darin dokumentiert er den ersten Fall, den Talos einem KI-gestützten „Vibe-Coding“-Baukasten zuschreibt — einen Outlook-Web-Access-Klon, der auf einer `*.softr.app`-Subdomain steht und Zugangsdaten in ein wegwerfbares Google Sheet abfließen lässt. URL-Reputation kann das nicht kommen sehen. Die richtige Antwort liegt weiter unten im Stack.
Eine frühe Version von Claude Mythos hat Mozilla geholfen, in einem einzigen Firefox-Release 271 Sicherheitslücken zu finden. Die richtige Reaktion ist weder Panik noch Jubel — sondern eine leise Neujustierung dessen, wovon wir bei jedem Browser weiterhin ausgehen müssen, den wir ausliefern, nutzen oder auf dem wir aufbauen.
Ein gefälschtes CAPTCHA schreibt einen PowerShell-Einzeiler in die Zwischenablage. Der Nutzer drückt Win+R und fügt ein. Kein Sandbox-Ausbruch, kein Zero-Day, kein signiertes Binary nötig – der Mensch ist der Exploit. Hier ist, was wir heute dagegen ausliefern, wo die Lücken noch sind und was Apple in macOS 26.4 richtig und falsch gemacht hat.
Microsoft hat eine neunstufige Ransomware-Kette dokumentiert, die mit einer externen Teams-Nachricht beginnt, die sich als Helpdesk ausgibt, und damit endet, dass Rclone still und leise den Netzwerk-Share exfiltriert. Acht dieser neun Schritte brauchen das Host-Betriebssystem. Keiner von ihnen kann gegen einen Tab laufen.
Ein einzelner Betreiber hat 108 bösartige Erweiterungen unter fünf gefälschten Publisher-Identitäten in den Chrome Web Store gepumpt, rund 20.000 Installationen eingesammelt und das Ganze über einen einzigen Command-and-Control-Server geleitet. Das Review-Modell hat es nicht bemerkt. Hier ist, warum ein sicherheitsorientierter Browser eine härtere Haltung einnehmen muss.
Ein Schritt-für-Schritt-Blick auf den Phishing-Schutz von Bromure — der lokale Scan, das Modell, die Einstufung und warum Ihre Eltern, Ihre Großeltern und der Nachbar von gegenüber genau diejenigen sind, für die wir ihn gebaut haben.
LinkedIn tastet im Stillen über 6.000 Browser-Erweiterungen ab, sammelt 48 Geräteattribute und greift bei jedem Besuch per WebRTC Ihre LAN-IP ab. Die Lösung ist keine Datenschutzeinstellung – sie ist ein Browser anderer Bauart.
Das Web ist feindselig, Sicherheitsratschläge greifen nicht mehr, und KI hat die Spielregeln verändert. Darum haben wir einen Browser gebaut, der die Last von Ihren Schultern nimmt.
Apple und Google geben inzwischen jedes Jahr zweistellige Millionenbeträge aus, um Browser-Fehler zu finden und zu beheben. Trotzdem werden jedes Jahr acht bis zehn Browser-Zero-Days aktiv ausgenutzt. Dieser Beitrag zeigt, warum sich an dieser Rechnung nichts ändert, wie Claude Mythos und die „Vulnpocalypse” alles noch schlimmer machen – und warum ein Browser, der von einer Kompromittierung ausgeht, eine andere Art von Produkt ist.
Die meisten Werbeblocker sind Browser-Erweiterungen, und die meisten Browser-Erweiterungen laufen im selben Prozess wie die Seite, vor der sie Sie schützen sollen. Bromure macht es anders. Hier erfahren Sie, wie – und warum das einen Unterschied macht.
Die meiste Ransomware beginnt nicht mit einem Zero-Day. Sie beginnt mit einem Browser-Tab. So funktioniert die Angriffskette 2026 wirklich – und so sieht sie aus, wenn sie auf einen Browser trifft, der gebaut wurde, um den Schlag einzustecken.
Was ein VPN tatsächlich leistet, was nicht, warum ein VPN pro Profil in Bromure die Anonymitätsrechnung verändert, und ein Rundgang durch die Funktionsweise von Cloudflare WARP.