LONDON (IT BOLTWISE) – Sicherheitsforscher zeigen, dass Prompt Injection nicht auf E-Mail oder Kalender beschränkt ist: Auch Benachrichtigungen auf Android können als Einfallstor dienen, wenn ein KI-Assistent Inhalte aus Notifications vorliest. Im Beispiel nutzt der Angreifer harmlose Anfragen, kombiniert sie jedoch mit versteckten bzw. anderssprachigen Anweisungen, die beim Bestätigen unbemerkt aktiviert werden. Google hat die betroffene Stelle serverseitig bereits im November gepatcht. Für Unternehmen bedeutet das: Schutzkonzepte für KI-Assistenten müssen auch Messaging- und Notification-Kanäle einbeziehen.
Prompt Injection gilt in der IT-Sicherheitswelt inzwischen als eine der hartnäckigsten Bedrohungen für KI-Assistenten, weil sie die Logik moderner Sprachmodelle direkt ausnutzt: Das System unterscheidet nicht zuverlässig zwischen „Daten“ und „Anweisungen“. Was in der Vergangenheit vor allem bei E-Mails oder Kalendern diskutiert wurde, lässt sich nun auch in der alltäglichen Benachrichtigungswelt demonstrieren. Forschende haben gezeigt, dass auf Android nicht nur einzelne Apps, sondern insbesondere KI-Funktionen gefährdet sein können, die Notifications auslesen und interpretieren. Damit verschiebt sich das Risiko von „klassischen“ Textkanälen hin zu Kommunikationsmustern, die Nutzer tagtäglich verwenden – von Messaging bis hin zu Work-Chat.
Im Zentrum der aktuellen Demonstration steht ein Angriffsszenario, in dem der KI-Assistent des Android-Geräts Benachrichtigungen verarbeitet. Der Angriffsmechanismus folgt dem gleichen Grundmuster wie bei anderen Prompt-Injection-Fällen: In eine scheinbar harmlose Nachricht wird ein versteckter oder kontextuell „maskierter“ Befehl eingebettet, der erst durch die Zielaktion des Assistenten relevant wird. Or Yair, einer der Forschenden, beschreibt das Problem dabei besonders anschaulich: Sobald der Assistent Aufgaben ausführen soll, weil der Nutzer ihn bittet, Inhalte aus Notifications „zu lesen“ oder zu sortieren, kann er ungewollt die eingebetteten Anweisungen übernehmen. Das ist weniger ein Modell-Fehler als ein Integrations- und Policy-Fehler.
Technisch wird die Verwundbarkeit damit erklärbar, dass die Pipeline zwischen empfangener Nachricht und KI-Kontext häufig „zu breit“ ist. Wenn die Architektur keine strikte Trennung zwischen Nachrichtentext (Daten) und Instruktionskontext (Befehle) vornimmt, entsteht ein klassisches Prompt-Injection-Vektorproblem. In dem Beispiel wird die Benachrichtigung als zweigeteilte Eingabe aufgebaut: Eine Komponente wirkt wie eine harmlose Rückfrage in Englisch, die andere Seite enthält die eigentliche Schadenslogik in einer fremden Sprache. Der Angreifer versucht, die Kontrolle über die weitere Interaktion zu übernehmen, indem er die erwartete Nutzerantwort als Genehmigung für beides nutzt – also für die legitime und die bösartige Aktion.
Der entscheidende Moment ist die scheinbar einfache Benutzeraktion. Der Angreifer formuliert die harmlose Frage so, dass der Nutzer typischerweise „Ja“ bestätigt, etwa um ein kurzes Dialogende zu erzeugen. In dem Demonstrationsaufbau wird jedoch genau diese Zustimmung zur Aktivierung beider Teile verwendet: Die KI kann dabei aus der Nachricht ableiten, dass sie nicht nur die harmlose Rückmeldung verarbeiten soll, sondern auch eine weitergehende Extraktion oder Übertragung durchführen soll. In der Beschreibung wird das Prinzip anhand eines konkreten Missbrauchsziels verdeutlicht: Kontakte aus einem Konto zu extrahieren und an eine externe Zieladresse zu senden. Für die Defensive ist das die harte Realität: Selbst eine „kurze Bestätigung“ kann zu einem Policy-Bypass werden.
Als Reaktion hat Google die betroffene Stelle serverseitig gepatcht. Laut den vorliegenden Informationen erfolgte die Offenlegung gegenüber dem Hersteller bereits im August, und der Fix wurde im November umgesetzt, ohne dass Nutzer dafür ein klassisches App-Update installieren mussten. Das ist aus Unternehmersicht bemerkenswert, weil es zeigt, wie wichtig serverseitige Steuerung für KI-Integrationen ist: Content-Filter, Kontextregeln oder Routing-Logiken lassen sich zentral anpassen und reduzieren das Risiko, dass Endgeräte „hängen bleiben“. Gleichzeitig bleibt die Frage, ob ein serverseitiger Patch allein ausreicht, sobald neue Kanäle, neue Notification-Formate oder neue Assistenz-Aktionen hinzukommen.
Vergleicht man das mit anderen großen Ökosystemen, wird der Markttrend deutlich: Auch konkurrierende Assistenten wie Apples Siri oder Microsoft Copilot werden in Unternehmensumgebungen zunehmend in Kommunikations- und Produktivitätsworkflows eingebunden. Sobald ein System z. B. Benachrichtigungen vorliest, Zusammenfassungen erstellt oder Freigaben aus Dialogen ableitet, entstehen ähnliche Angriffsflächen. Branchenexperten berichten, dass Prompt Injection nicht an einzelne Hersteller gebunden ist, sondern an das wiederkehrende Muster: KI-Features greifen auf untrusted Input zurück und interpretieren ihn innerhalb eines gemeinsamen Kontextfensters. Die Wettbewerbsperspektive lautet daher weniger „Wer hat zuerst gepatcht?“, sondern „Wer kann die Kontextgrenzen konsequent durchsetzen?“
Historisch betrachtet begann das Problem im Kleinen: Frühe Demonstrationen zeigten Prompt Injection in Chat-Umgebungen, später kamen „versteckte“ Eingaben hinzu, etwa über Formatierungen, die Menschen schwer erkennen. Der Schritt in den Notification-Bereich ist besonders kritisch, weil Benachrichtigungen oft als „vertrauenswürdig“ wahrgenommen werden. Nutzer erwarten, dass die App-UI oder das Betriebssystem bereits gefiltert hat, und sie nehmen deshalb Interaktionen schneller als „harmlos“ wahr. Genau hier setzt der Angriff an: Er nutzt die menschliche Fehlerannahme, dass fremdsprachige oder ungewöhnliche Dialogelemente ein Fehler sein könnten. Wenn die UI keine klare Unterscheidung zwischen Information und Handlungssignalen bietet, sinkt die Wahrscheinlichkeit für eine Abwehrentscheidung.
Für die Praxis in Unternehmen folgt daraus ein mehrschichtiger Sicherheitsansatz. Erstens müssen KI-Assistenzfunktionen so integriert werden, dass untrusted Texte aus Nachrichtenkanälen nicht ohne strikte Policy-Regeln als Instruktionen in den Action-Kontext gelangen. Zweitens braucht es Auditierbarkeit: Wenn ein Assistent zustimmungsbasierte Handlungen auslöst, muss nachvollziehbar sein, welcher Kontext die Entscheidung getroffen hat. Drittens sollte die Nutzerinteraktion so gestaltet werden, dass Genehmigungen granular und transparent sind, statt pauschal „Ja“ auf Dialogebene zu akzeptieren. In Zukunft ist zu erwarten, dass Anbieter stärker auf Kontextklassifikation, sprach- und formatbasierte Erkennung sowie serverseitige Enforcement-Mechanismen setzen, während Angreifer gleichzeitig neue Kanäle und mehrstufige Bestätigungsflows ausprobieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Prompt Injection über WhatsApp- und Slack-Benachrichtigungen: Android-Gemini im Fokus" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Prompt Injection über WhatsApp- und Slack-Benachrichtigungen: Android-Gemini im Fokus" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Prompt Injection über WhatsApp- und Slack-Benachrichtigungen: Android-Gemini im Fokus« bei Google Deutschland suchen, bei Bing oder Google News!