24 Android-Schwachstellen per KI-Agent: GitHub Security Lab veröffentlicht Android-Audit-Taskflows

Kevin Stubbings vom GitHub Security Lab berichtet, wie er mit dem Taskflow Agent 24 Schwachstellen in Android-Apps gefunden und gemeldet hat. Das Besondere: Der Agent wird per maßgeschneiderter Audit-Taskflows gezielt auf Android-typische Schwachstellenklassen angesetzt - etwa Intent-basierte Angriffe, Confused Deputy und unsichere Broadcasts. Zwei Taskflow-Dateien reichen: gather_mobile_entry_point_info.yaml trennt mobile von nicht-mobilen Einstiegspunkten, classify_application_local.yaml prüft jede Klasse im Kontext des Bedrohungsmodells.

Zwei exemplarische Funde

• OsmAnd (10 Mio+ Downloads): Die exportierte MapActivity nimmt Intent-Extras wie silent_import und replace an, die jede App setzen kann. Ergebnis: Angreifer importieren unbemerkt eigene Einstellungen, tauschen den Tile-Server aus und leaken so Standort und Routen der Nutzer.
• Wikipedia-App: Ein Logikfehler im Hostname-Parser der wikipedia://-Deeplinks lädt fremde Seiten in die App-WebView. Kombiniert mit einem Cookie-Leak ermöglicht das einen Account-Takeover über alle Wikimedia-Projekte hinweg.

Ehrliche Bilanz

LLMs finden laut Stubbings selbst komplexeste Logik-Schwachstellen und kennen sicherheitsrelevante APIs erstaunlich gut - aber sie scheitern an der Bewertung des Schweregrads und produzieren False Positives. Jeder Fund braucht deshalb ein menschliches Review.

Der Einstieg ist niedrigschwellig: Codespace starten, ./scripts/audit/run_mobile.sh myorg/myrepo ausführen, Ergebnisse in der SQLite-Tabelle prüfen. Voraussetzung sind eine Copilot-Lizenz und ein Prämien-Modell; auf mittelgroßen Repos läuft der Audit ein bis zwei Stunden.

Link: GitHub Blog