LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor „ChatGPhish“: Beim Zusammenfassen beliebiger Webseiten kann ChatGPT Markdown-Links und Bild-URLs aus fremden Seiten automatisch nachladen und als klickbare Elemente im vertrauten Chat-Interface darstellen. Dadurch lassen sich IP-, User-Agent- und Referer-Daten abgreifen, gefälschte Security-Alerts einblenden und sogar QR-Codes so platzieren, dass Desktop-Filter wirkungslos werden. Die Erkenntnis ordnet sich in eine breitere Welle von Angriffen auf agentische KI-Werkzeuge ein, die von Code-Ausführung bis zum Token-Diebstahl reichen.
Mit „ChatGPhish“ rückt ein Detail in den Fokus, das in vielen Unternehmen bisher zu harmlos wirkte: das Rendering von Inhalten innerhalb von KI-Assistenten. Die Sicherheitsforscher von Permiso Security beschreiben, wie ChatGPT-Webzusammenfassungen zum Phishing-Vektor werden können, weil das Interface Markdown-Links und Markdown-Bild-URLs aus einer zuvor zusammengefassten Drittseite als vertrauenswürdig behandelt. Entscheidend ist nicht allein die Prompt-Injection selbst, sondern die Art, wie die vom Angreifer eingebetteten Anweisungen anschließend als klickbare Elemente, „live“ nachgeladene Medien und nutzerfreundliche Interaktionsoberflächen in der Antwort erscheinen. Damit verlagert sich die Angriffsfläche vom Attachment und der Mail hin zum Browser—einer Umgebung, in der Beschäftigte täglich selbstverständlich arbeiten.
Technisch greift das Muster am Rendering-Mechanismus an: Wird eine präparierte Webseite vom Nutzer zur Zusammenfassung an das Modell übergeben, kann eine beigefügte Payload dafür sorgen, dass beim Anzeigen der Antwort automatisch externe Ressourcen nachgeladen werden. Im Bericht wird beschrieben, dass der Assistent URLs aus dem zusammengefassten Kontext fetchen kann und die Antwort dann echte, klickbare Linkziele sowie Bildquellen innerhalb der „trusted“ Chat-Oberfläche zeigt. Im Beispiel drohen dadurch Datenabflüsse wie IP-Adresse, User-Agent und Referer—weil das System beim Rendern unbemerkt zu attacker-hosteten Bildern Kontakt aufnimmt. Parallel können Angreifer bösartige Markdown-Links platzieren, manipulierte Sicherheitsmeldungen im Stil legitimer Warnbanner einblenden und QR-Codes aus einem fremden Storage nachreichen, die Nutzer mobil scannen.
Dass Summarization gleichzeitig als Transportkanal für Angriffe dienen kann, ist in der Branche kein Einzelfall, sondern passt zu einer Entwicklung: KI-Modelle werden zunehmend in Workflows integriert, in denen Inhalte nicht nur „beantwortet“, sondern dynamisch verarbeitet und in UI-Komponenten überführt werden. Wie Permiso betont, erweitert sich die Angriffsfläche damit deutlich: „Der Schritt von der E-Mail zum Browser vergrößert die potenzielle Angriffsoberfläche“, heißt es in der Analyse, und weiter wird argumentiert, dass Nutzer nicht zwingend eine verdächtige Nachricht öffnen oder eine gefährliche Anlage anklicken müssen. Vergleichbar reagieren auch andere KI-Ökosysteme auf das Risiko agentischer Oberflächen: Microsoft Copilot wurde bereits in einem verwandten Kontext als Ziel von Cross-Prompt-Injection-Mechanismen genannt, während in der Code-Welt Schwachstellen in Claude-Workflows und Tool-Integrationen gezeigt werden. Ergänzend ordnen weitere Findings in dieser Breite Angriffe auf agentische Programmier-CLIs und Coding Agents ein, bei denen die UI-Freigabe oder die Vertrauensstellung von Repositories zum Auslöser für schädliche Aktivitäten wird.
Besonders bedenklich ist aus Verteidigersicht, dass viele dieser Angriffe auf einer Mischung aus Kontextmissbrauch und Interaktionsdesign beruhen. Adversa AI beschreibt etwa „SymJack“ und „TrustFall“ als Muster, bei denen ein präpariertes Repository eine scheinbar harmlose Dateioperation auslöst, die in Wirklichkeit eigene Konfigurationen überschreibt oder einen MCP-Server (Model Context Protocol) ohne wirklich gezielte Nutzerinteraktion startet. Damit wird eine Kette möglich, die von der Repository-Erkennung über das Vertrauen in Ordnerdialoge bis hin zu einem nativen Prozess mit vollständigen Nutzerrechten reicht. In der Summe illustriert das eine zentrale Sicherheitsfrage für Enterprise-Setups: Selbst wenn ein Modell „keine“ gefährlichen Befehle ausführen dürfte, kann der Integrationslayer (Browser-Renderer, Erweiterungslogik, Skill-Ökosystem, Agenten-Runbooks) genau diese Lücke öffnen. Dazu kommt, dass weitere in den Berichten genannte Verfahren (etwa typografische Prompt-Injection via Bilder, Umgehungen über richtungsbezogene Unicode-Steuerzeichen oder Umleitung von MCP-Endpunkten) darauf zielen, Sicherheitsfilter nicht nur textuell, sondern auch über visuelle und semantische Darstellungswege zu überlisten.
Für die Markt- und Compliance-Perspektive bedeutet das: Unternehmen müssen das Bedrohungsmodell um „UI-Rendering“ und „Content-Fetching“ erweitern, statt sich ausschließlich auf klassische URL-Filter oder E-Mail-Gateway-Regeln zu verlassen. Die Konsequenz ist nicht nur ein technisches Hardening—etwa durch restriktive Policies für externe Fetches, Content-Sanitization, und strikte Trennung zwischen „zusammengefasstem Inhalt“ und „interaktivem Inhalt“—sondern auch ein Governance-Thema für Datenschutz und Nachvollziehbarkeit. Wenn ein Assistent beim Rendern externe Ressourcen nachlädt, kann das die Datenflüsse von IP und Client-Attributen aus dem Netzwerk in Richtung dritter Server verändern; das sollte in Risikoanalysen und in Datenschutzfolgenabschätzungen entsprechend berücksichtigt werden. Parallel wächst der Druck, die Agentenfähigkeiten stärker zu begrenzen: Freigaben sollten möglichst granular, nachvollziehbar und nicht über UI-„Ja/Vertrauen“-Dialoge trivial sein. Die Berichte verweisen zudem auf eine wachsende Angriffsfläche im Skills-Ökosystem—mit messbaren Prozentanteilen kritischer Schwachstellen—was die Notwendigkeit von Zertifizierungs-, Scanning- und Vetting-Prozessen unterstreicht.
Blickt man nach vorn, ist der zentrale Hebel weniger die reine Modellqualität als die Sicherheitsarchitektur der gesamten Plattform. Frontier-Modelle und agentische Systeme machen es Angreifern leichter, bekannte Muster zu automatisieren und schneller zu iterieren; gleichzeitig können Unternehmen durch bessere Sandbox-Grenzen, deterministische Policies für Toolaufrufe und robuste Validierung der Kommunikationswege zwischen UI, Modell und Integrations-Endpunkten gegensteuern. Ein realistisch erwartbarer Entwicklungspfad ist, dass Provider stärker „render-fähige“ Daten von „nur zu lesenden“ Daten trennen und klickbare Elemente strenger an Herkunft und Trust-Zustände koppeln. Für Entwickler entsteht daraus zugleich ein positives Feld: Wer KI-Integrationen baut, kann frühzeitig auf sichere Rendering-Engines, URL-Blocklisten, Fetch-Domänen-Fensterung und testbare Injection-Resilienz setzen. Kurz gesagt: ChatGPhish macht sichtbar, dass das Modell allein nicht die einzige Angriffsfläche ist—sondern die gesamte Kette von Prompt bis Interface, die in modernen KI-Workflows immer eng verzahnt wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ChatGPhish: Wie ChatGPT-Textausgaben zum Phishing-Vektor werden" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ChatGPhish: Wie ChatGPT-Textausgaben zum Phishing-Vektor werden" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ChatGPhish: Wie ChatGPT-Textausgaben zum Phishing-Vektor werden« bei Google Deutschland suchen, bei Bing oder Google News!