Nordkoreas Hacker greifen KI-Entwickler über npm-Pakete an – so schützen Sie sich

Eine neue Offensive nordkoreanischer Cyberkrimineller zeigt, wie verwundbar KI-gestützte Entwicklungsumgebungen sind. Die Microsoft Threat Intelligence analysierte einen Angriff der Gruppe Sapphire Sleet (auch BlueNoroff), bei dem über 140 npm-Pakete im Mastra-KI-Ökosystem kompromittiert wurden. Diese Pakete waren nicht zufällig ausgewählt, sondern integraler Bestandteil der Abhängigkeitsstruktur, die Entwickler und KI-Tools wie Copilot oder Cursor aktiv nutzen.

Das Besondere an diesem Angriff: Die Hacker nutzten die Automatisierung von KI-gestützten Entwicklungstools aus. Diese Tools empfehlen nicht nur Codezeilen, sondern installieren manchmal auch automatisch empfohlene Abhängigkeiten. Ein einziger Klick auf einen Vorschlag genügt, um bösartigen Code auf dem eigenen System auszuführen – noch bevor der Entwickler die Empfehlung vollständig gelesen hat.

Wie der Angriff ablief: Methoden und Ziele

Laut Microsoft nutzte die Hackergruppe Sapphire Sleet bekannte npm-Pakete im Mastra-KI-Ökosystem, um schädliche Payloads einzuschleusen. Die Ziele waren klar definiert: Entwickler, die mit Mastra KI arbeiten, sowie automatisierte Entwicklungspipelines, die KI-gestützte Empfehlungen direkt verarbeiten.

Die genaue Vorgehensweise der Angreifer bleibt in der öffentlichen Analyse teilweise unklar. Es gibt jedoch Hinweise auf verschiedene Methoden:

• - Typosquatting: Erstellung von Paketen mit ähnlichen Namen wie legitime Bibliotheken (z. B. mastra-utils statt mastra-utils).
• - Abhängigkeitsverwirrung: Nutzung von Paketnamen, die zwar existieren, aber in anderen Kontexten bösartige Versionen enthalten.
• - Direkte Kompromittierung: Übernahme bestehender, aber wenig genutzter Pakete durch die Angreifer.

Ein entscheidender Faktor war die Automatisierung. KI-Tools wie Cursor oder GitHub Copilot installieren empfohlene Pakete oft ohne manuelle Bestätigung. Diese Automatisierung machte den Angriff besonders effektiv, da menschliche Kontrollen umgangen wurden.

Warum herkömmliche Sicherheitsmaßnahmen versagen

Die meisten Entwickler verlassen sich auf Standard-Tools wie npm audit, um Sicherheitsrisiken zu erkennen. Doch diese Tools haben klare Grenzen:

• - npm audit funktioniert nur bei Paketen mit bekannten CVEs. Frisch kompromittierte oder manipulierte Pakete werden nicht erkannt, da sie noch keinen Eintrag in Sicherheitsdatenbanken haben.
• - Lockdateien (wie package-lock.json) helfen nur bedingt. Sobald ein kompromittiertes Paket installiert und die Lockdatei committed wird, verbreitet sich die Malware im gesamten Team.
• - KI-Tools selbst sind Teil des Problems. Sie wurden darauf trainiert, Code und Pakete vorzuschlagen – nicht aber, deren Herkunft oder Vertrauenswürdigkeit zu überprüfen. Ein Tool wie Copilot kann ein Paket empfehlen, das erst gestern veröffentlicht wurde und null Downloads aufweist.

In automatisierten Umgebungen, in denen KI-Tools Shell-Befehle ausführen dürfen, gibt es oft keine menschliche Instanz mehr, die die Installation eines verdächtigen Pakets hinterfragt. Die Folge: Schädliche Software läuft auf dem System, bevor der Entwickler überhaupt reagiert.

Intelligente Abwehr: So funktioniert die Paketüberprüfung

Einige Sicherheitslösungen setzen genau an diesem Punkt an. Ein Beispiel ist SlopScan von Sentinel, das speziell für die Erkennung von manipulierten Paketen in KI-gestützten Entwicklungsumgebungen entwickelt wurde.

Der Prozess läuft wie folgt ab:

1. - Extraktion der Paketnamen: Jede KI-Empfehlung wird analysiert, und alle genannten Paketnamen werden extrahiert.
2. - Batch-Überprüfung: Die Paketnamen werden gegen Live-Daten von PyPI und npm geprüft, um deren Existenz und Vertrauenswürdigkeit zu bewerten.
3. - Risikobewertung: Das System klassifiziert die Pakete in verschiedene Risikostufen:

• - SAFE: Paket existiert und hat eine vertrauenswürdige Historie.
• - CAUTION: Paket ist neu oder hat ungewöhnlich wenige Downloads.
• - SUSPICIOUS: Paket existiert nicht im offiziellen Registry oder hat einen extrem niedrigen Vertrauensscore.
• - DANGEROUS: Paket ist als bösartig bekannt oder ein offensichtliches Typosquatting.

Ein Beispiel für eine solche Analyse zeigt, wie der Prozess in der Praxis aussieht:

{
  "request_id": "req_9f3a21bc4d",
  "security": {
    "action_taken": "clean",
    "threat_score": 0.03,
    "package_scan": {
      "action": "flagged",
      "hits": [
        {
          "name": "mastra-agent-tools",
          "ecosystem": "npm",
          "trust_score": 0,
          "risk": "SUSPICIOUS",
          "flags": ["not_in_registry"]
        },
        {
          "name": "mastra-memory-adapter",
          "ecosystem": "npm",
          "trust_score": 2,
          "risk": "CAUTION",
          "flags": ["new_package", "zero_downloads"]
        }
      ]
    }
  }
}

Selbst wenn die KI-Empfehlung selbst keine direkte Bedrohung darstellt (wie in diesem Beispiel mit action_taken: clean), kann das Paket-Scan-Ergebnis trotzdem Alarm schlagen. In automatisierten Umgebungen wird diese Information genutzt, um Installationen zu blockieren oder Entwickler zu warnen, bevor Schaden entsteht.

Integration in bestehende Workflows

Die Implementierung einer solchen Lösung erfordert nur wenige Schritte. Ein typischer Integrationsablauf in einer Python-Umgebung sieht wie folgt aus:

import httpx

response = httpx.post(
    "
    json={"content": llm_output, "tier": "standard"},
    headers={"X-Sentinel-Key": "sk_live_..."},
)

result = response.json()
package_scan = result["security"].get("package_scan")

if package_scan:
    action = package_scan["action"]
    if action in ("flagged", "blocked"):
        hits = package_scan["hits"]
        # Installation abbrechen und Entwickler warnen
        raise PackageScanException(
            f"Paket-Scan {action}: {[h['name'] for h in hits]}"
        )

Die Aktivierung erfolgt über das Dashboard der Sicherheitslösung unter Einstellungen → Slopsquatting Protection (verfügbar für Pro+- und Enterprise-Kunden).

Fazit: KI-gestützte Entwicklung braucht neue Sicherheitsansätze

Der Angriff auf das Mastra-KI-Ökosystem ist ein Weckruf für Entwickler und Unternehmen. Er zeigt, dass traditionelle Sicherheitsmaßnahmen in KI-gestützten Entwicklungsumgebungen nicht ausreichen. Die Automatisierung, die eigentlich die Produktivität steigern soll, wird hier zum Einfallstor für Angriffe.

Unternehmen müssen proaktiv handeln: KI-Tools sollten nur mit strengen Sicherheitsrichtlinien eingesetzt werden, und jede Paketempfehlung muss automatisch auf Vertrauenswürdigkeit geprüft werden. Nur so lässt sich verhindern, dass Schadcode unbemerkt in die Entwicklungsumgebung eindringt.

Die Zukunft der Softwareentwicklung ist untrennbar mit KI verbunden – doch ohne angemessene Sicherheitsvorkehrungen wird diese Verbindung zum Risiko.