Die Dateien, die einen KI-Agenten innerhalb eines Projekts konfigurieren: CLAUDE.md, AGENTS.md, Skills, Subagenten und Befehle, .claude/settings.json, .mcp.json, die Regeln von Cursor, Copilot und Windsurf sowie die Konfiguration von VS Code, Gemini CLI und Codex. Lege den Projektordner ab, bevor du ihn mit deinem Agenten öffnest: es wird gelesen, nichts wird ausgeführt, und die Dateien verlassen deinen Browser nicht und werden nicht gespeichert.
Hooks, im Voraus genehmigte MCP-Server, Befehle innerhalb von Skills, Aufgaben, die beim Öffnen des Ordners laufen … Das sind die Teile, die ohne jeden Klick von dir handeln, und deshalb stehen sie zuerst.
Ein Fakt ist ein konkreter Konfigurationsschlüssel (ein Hook, eine Berechtigung, eine URL): Er ist entweder da oder nicht. Ein Hinweis ist ein Satz in den Anweisungen, der wie ein Angriff aussieht. Hinweise erzeugen viele Fehlalarme: In einer Studie über 98.380 Skills war von hundert, die der beste Mustererkenner markierte, höchstens eine wirklich bösartig. Und ihnen entgeht auch einiges. Deshalb sind sie nie ein Urteil, und eine Datei ohne Hinweise ist keine sichere Datei.
Wenn das Projekt MCP-Server deklariert, klassifiziert das Tool sie und sagt, wie viele der drei Beine sie zusammen abdecken — private Daten, Inhalte, die du nicht kontrollierst, und ein Weg, um Daten hinauszuschleusen. Mit allen drei zugleich ist Diebstahl möglich; mit zweien nicht. Das Konzept erklärt, ausführlicher und mit dem Rest der Abwehrmaßnahmen, das Werkzeug Agenten.
Liest die Konfiguration, führt nichts aus. Unterscheidet zwischen Fakten (ein konkreter Schlüssel: ein Hook, eine Berechtigung, eine URL) und Hinweisen (Sätzen, die wie ein Angriff aussehen). Hinweise liegen oft falsch: eine Datei ohne Befunde ist keine sichere Datei.