Secrets in den Sitzungsprotokollen eines KI-Agenten: so wurde gemessen
Ein Betreiber, 70 Deployment-Secrets, vier Wochen Arbeit mit einem KI-Coding-Agenten. Am Ende standen 68 der 70 Werte im Klartext in dessen Sitzungsprotokollen. Hier steht, wie das gemessen wurde, was als exponiert gilt und wo die Messung ihre Grenzen hat.
Eckdaten
- Gemessen am 07.09.2026.
- Ausgewertete Protokolle: 10.08. bis 07.09.2026.
- Gegenstand: 70 Deployment-Secrets eines Betreibers, gespeichert in einer verschlüsselten Konfigurationsdatei (Ansible Vault).
- Datenbasis: alle lokalen Sitzungsprotokolle des KI-Coding-Agenten Claude Code auf dem Arbeitsrechner des Betreibers.
Wann ein Secret als exponiert gilt
Ein Secret gilt als exponiert, wenn sein vollständiger Wert unverändert im Klartext in mindestens einer Protokolldatei steht. Teilstücke, kodierte Formen wie Base64 und bloße Schlüsselnamen zählen nicht.
Ablauf
- Die 70 Werte aus der verschlüsselten Konfigurationsdatei entnehmen.
- Jeden Wert hashen, damit das Ergebnis jeden Wert benennen kann, ohne ihn im Klartext zu nennen.
- Alle Sitzungsprotokolle aus dem Zeitraum gegen diese Werte abgleichen und je Wert festhalten, in welchen Dateien er vorkommt.
- Für jeden Treffer den Weg bestimmen, auf dem der Wert ins Protokoll kam.
Ergebnis
68 der 70 Secrets standen im Klartext in mindestens einem Sitzungsprotokoll, verteilt auf 99 Dateien. Nur zwei Werte kamen in keinem Protokoll vor. Jeder Treffer geht auf einen von vier Wegen zurück, und auf jedem davon stand der Wert in der Ausgabe eines Werkzeugs, das der Agent aufgerufen hatte.
Die vier Wege ins Protokoll
- Eine Fehlermeldung des Deployment-Werkzeugs hat beim Auflösen eines Verweises den kompletten Satz an Konfigurationswerten in einen Traceback geschrieben.
- Die verschlüsselte Konfigurationsdatei wurde zur Kontrolle vollständig entschlüsselt angezeigt, statt gezielt einzelne Schlüssel abzufragen.
- Eine Suche mit grep lief über eine entschlüsselte Kopie der Datei und gab die Trefferzeilen samt Wert aus.
- Ein Merge-Konflikt in der verschlüsselten Datei wurde gelöst, indem die beteiligten Fassungen im Klartext zusammengeführt wurden.
Gemeinsam ist allen vier Wegen: was ein Werkzeug ausgibt, liest der Agent, und was der Agent liest, steht danach dauerhaft im Sitzungsprotokoll auf der Platte.
Grenzen der Messung
- Ein Betreiber, ein Rechner, ein Agent: die Zahl beschreibt diesen einen Fall und ist keine Quote für andere Teams.
- Ausgewertet wurden nur die lokalen Protokolle. Was beim Modellanbieter gespeichert ist, liegt außerhalb der Messung.
- Gezählt wurden nur unveränderte Werte. Kodierte oder zerlegte Vorkommen fehlen, weitere Treffer sind also möglich.
- Die Messung zeigt, wo ein Wert im Klartext lag, nicht, ob ihn jemand missbraucht hat.
- Gemessen hat der Anbieter von Erseni Vault, also eine Partei mit Eigeninteresse. Extern geprüft ist die Messung nicht.