Cybersecurity-onderzoekers hebben details onthuld van een kwetsbaarheid in Amazon Kiro, een door kunstmatige intelligentie (AI) aangedreven, agentic geïntegreerde ontwikkelomgeving (IDE), die data-exfiltratie via snelle injectie en Kiro Powers zou kunnen vergemakkelijken.
Het beveiligingslek, dat geen CVE-identificatie heeft, werkt volgens Mindguard tegen Kiro IDE 0.7.45 op Windows. De nieuwste versie van de IDE is 1.0.337.
“Door het probleem kon de door de aanvaller gecontroleerde repository-inhoud de Kiro-agent beïnvloeden en er uiteindelijk voor zorgen dat gevoelige lokale informatie naar een extern eindpunt werd verzonden”, zei beveiligingsonderzoeker Fergal Glynn in een rapport gedeeld met The Hacker News.
Kiro Powers gaat verder dan vaardigheden door Model Context Protocol (MCP) serverconfiguraties, stuurbestanden (“POWER.md”), hooks en contextuele kennis te bundelen. Het stuurbestand is als een ‘onboardinghandleiding’ die blijvende context biedt en de AI-agent vertelt welke MCP-tools beschikbaar zijn en wanneer deze moeten worden gebruikt.
Volgens Mindguard vereist succesvolle exploitatie twee gebruikersacties: de gebruiker moet het kwaadaardige project openen via een werkruimtebestand met behulp van Bestand → Werkruimte openen vanuit bestand in plaats van de map rechtstreeks te openen en vervolgens een bericht naar de agent te sturen. De kwetsbaarheid is reproduceerbaar tegen zowel vertrouwde als niet-vertrouwde werkruimten.
Zodra aan deze voorwaarden is voldaan, kunnen gevoelige werkruimtegegevens naar de aanvaller worden geëxfiltreerd “zonder dat de gebruiker expliciet vraagt dat Kiro deze opent of verzendt”. De exploitatiemoeilijkheid wordt als laag ingeschat.
Wat deze fout opmerkelijk maakt, is dat de gebruiker geen kwaadaardige prompt hoeft in te dienen of naar de door de aanvaller beheerde inhoud hoeft te verwijzen. Zodra het gemaakte werkruimtebestand is geopend, is het verzenden van een bericht voldoende om de kwetsbare stroom te activeren.
“De kwetsbaarheid doet zich voor wanneer de door de aanvaller gecontroleerde projectinhoud wordt geïnterpreteerd als instructies, en die instructies mogen beveiligingsgevoelige operaties elders in de IDE beïnvloeden”, aldus Mindguard.
“Het falen van de vertrouwensgrens treedt op in de gehele reeks. Door repository bestuurde inhoud beïnvloedt de agent, de agent leest gevoelige lokale informatie, de agent schrijft die informatie in een voor de veiligheid relevante IDE-configuratie, en een daaropvolgende IDE-mogelijkheid verandert de gewijzigde configuratie in netwerkactiviteit.”
Omdat AI-ontwikkelomgevingen steeds vaker interpretatie en uitvoering binnen dezelfde workflow samenbrengen, kunnen repositorybestanden worden gebruikt om context aan een model te geven, terwijl de agent bestanden kan lezen, tools kan aanroepen en andere functionaliteit in de applicatie kan activeren, wat mogelijk kan leiden tot vertrouwensgrenzen.
Na verantwoorde openbaarmaking werd door Amazon een oplossing voor de fout geïmplementeerd in Kiro IDE versie 0.8.140. De kwetsbaarheid bouwt ook voort op een eerdere bug die door Mindguard werd benadrukt, waardoor richtlijnen voor stuurbestanden ervoor konden zorgen dat lokale informatie werd opgenomen in een Markdown-afbeeldingsverzoek en naar een externe server werd verzonden.
“Door zorgvuldig een stuurbestand te maken dat een lokaal bestand leest en een Markdown-afbeelding weergeeft, kan een aanvaller de AI dwingen gevoelige gegevens naar een externe server te sturen”, merkte Mindguard destijds op.
Dit is niet de eerste keer dat er kwetsbaarheden in Kiro worden onthuld. In juni 2026 heeft Amazon een onvoldoende toegangscontrolefout verholpen (CVE-2026-10591, CVSS-score: 8,8) waardoor een niet-geauthenticeerde actor op afstand willekeurige opdrachten had kunnen uitvoeren via vervaardigde instructies die schrijfbewerkingen naar uitvoeringsgevoelige paden veroorzaken, zoals “.vscode/tasks.json” of “~/.kiro/settings/mcp.json”, en automatische uitvoering bij geopende map vergemakkelijken.
“Door verborgen instructies in een webpagina te plaatsen die Kiro leest, kan een aanvaller Kiro zijn eigen MCP-serverconfiguratiebestand (Model Context Protocol) laten herschrijven en willekeurige code-uitvoering op de machine van de ontwikkelaar verkrijgen”, aldus Intezer. “Er wordt nooit een verdachte goedkeuringsprompt aan de gebruiker getoond. Het enige dat de ontwikkelaar aan Kiro vroeg, was een legitieme actie uitvoeren.”
De bevindingen komen ook tegen de achtergrond van een aantal beveiligingsproblemen die zijn ontdekt in AI-tools:
- Een kwetsbaarheidsketen in OpenAI Codex CLI voor Windows die misbruik maakt van promptinjectie via web.run om een routinematige zoekopdracht op internet om te zetten in geheime opdrachtuitvoering op hostniveau buiten de ingebouwde sandbox-functie
- Een zero-click-kwetsbaarheid voor het uitvoeren van externe code in Cursor CLI die gebruikmaakt van indirecte promptinjectie om een kwaadaardig uitvoerbaar bestand naar de werkruimte te schrijven en uit te voeren
- Een kwetsbaarheid voor het uitvoeren van willekeurige code in Cursor, GitHub Copilot CLI, Google Gemini CLI en de Codex-app voor Windows als gevolg van het kapen van zoekopdrachten, waardoor een aanvaller een kwaadaardig binair bestand met dezelfde naam als een externe afhankelijkheid (bijv. “git.exe” en “welke.exe”) in de huidige werkmap kan plaatsen vóór vertrouwde systeempaden
- Een kwetsbaarheid die invloed heeft op Anthropic Claude Code (CVE-2026-35603), Cursor, Codex CLI en Google Gemini CLI en die misbruik maakt van een Windows-map die door deze tools wordt vertrouwd (“C:ProgramData
“) om een configuratiebestand te verwijderen (“managed-settings.json”, “hooks.json”, “system-defaults.json” en “config.toml”) en een aanvaller met weinig bevoegdheden toe te staan zijn opdrachten uit te voeren binnen de sessie van een andere gebruiker op de machine zonder enige prompt, waarschuwing of verhoogde toegang - Een sandbox-ontsnappingsbeveiliging in Claude Code (CVE-2026-25725, CVSS-score: 7,7) waarmee een aanvaller met code-uitvoering in de sandbox een kwaadaardig “.claude/settings.json”-bestand kan maken met een hook met willekeurige opdrachten die wordt uitgevoerd op de onderliggende host bij een volgende uitvoering van Claude Code
- Een reeks kwetsbaarheden in Gemini CLI waardoor een aanvaller in een sandbox aan de containergrens kan ontsnappen en willekeurige code op het hostsysteem kan uitvoeren, en diefstal van het Google OAuth-token van de gebruiker mogelijk kan maken
- Een kwetsbaarheid in de sandbox van Codex CLI die ervoor zorgt dat de vertrouwensgrens instort door een LLM-toolaanroep naar “apply_patch”, die bestanden in de .codex-map van de werkmap mag maken en wijzigen, via directe of indirecte promptinjectie en opdrachtuitvoering op de host kan bewerkstelligen
- Een kwetsbaarheid in NVIDIA NemoClaw (CVE-2026-65105, CVSS-score: 8.1) waardoor een aanvaller controle kan krijgen over de lokale Ollama-modelserver via een enkel bezoek aan een door de aanvaller bestuurde webpagina op de machine van het slachtoffer en verborgen instructies in de chatsjabloon van het model kan plaatsen, zodat deze op elk volgend gesprek worden toegepast
- Een kwetsbaarheid in OpenClaw waardoor elke website de volledige controle kan krijgen over de AI-agent van een ontwikkelaar zonder dat plug-ins, extensies of gebruikersinteractie vereist zijn door misbruik te maken van de mogelijkheid van de gateway om verbindingen van localhost via een WebSocket te accepteren, en elke website kan een WebSocket-verbinding met localhost openen
- Een kwetsbaarheid in het MCP-installatiedialoogvenster van Microsoft Visual Studio Code (CVE-2026-41613, CVSS-score: 8.8, ook bekend als Envade) dat, met een enkele klik op een vervaardigde deeplink, volledige code-uitvoering op het systeem van een ontwikkelaar mogelijk maakt of MCP-toolaanroepen via het account van een aanvaller routeert
- Een kwetsbaarheid in Claude Desktop genaamd PromptFiction die, met een enkele klik op een vervaardigde link, de AI-agent zou kunnen misleiden om onbedoelde acties uit te voeren, waaronder het verzamelen van gevoelige gegevens of het uitvoeren van willekeurige code
“De bevindingen van Kiro leggen een probleem bloot dat verder reikt dan één IDE of één openbaarmakingsprogramma”, aldus Mindguard. “AI-kwetsbaarheden kunnen voortkomen uit interacties tussen modelinterpretatie, applicatielogica, tools, configuratie en externe bronnen, waardoor ze moeilijk te evalueren zijn met behulp van openbaarmakingsprocessen die zijn ontworpen rond duidelijker gedefinieerde softwarefouten.”
“Naarmate AI-systemen meer tools krijgen en communiceren met meer applicatiestatussen, moeten programma’s voor het onthullen van kwetsbaarheden de uitvoeringspaden op hetzelfde detailniveau evalueren als de onderzoekers die ze ontdekken.”
