LONDON (IT BOLTWISE) – Sicherheitsforscher zeigen mit „BioShocking“, dass KI-Browser im Agentenmodus über manipulierte Spiel- oder Puzzle-Seiten Login- und sogar SSH-Zugangsdaten aus eingeloggen Sessions exfiltrieren können. In Tests wurden sechs KI-Browser und Assistenten dazu gebracht, Anweisungen zu befolgen, die als harmloser Inhalt getarnt waren. Betroffen waren unter anderem ChatGPT Atlas, der Comet-Browser von Perplexity und eine Claude-Extension von Anthropic. Entscheidend ist dabei eine Form der indirekten Prompt-Injection, bei der Webseiten die Eingabe-Logik der Agenten in Textstreams mitsteuern.
KI-Browser, die im „Agentenmodus“ arbeiten, sind in den letzten Monaten vom Komfort-Feature zur Sicherheitsfrage geworden. Der Hintergrund: Sobald ein Agent für Sie klickt, tippt und innerhalb Ihrer laufenden Browser-Session auf Inhalte zugreift, besitzt er faktisch dieselben Rechte wie Ihr eingeloggtes Konto. Genau diese Brücke schlägt eine neue Angriffsrichtung namens „BioShocking“, die eine Sicherheitsfirma als Methode beschreibt, um manipulierte Webseiten dazu zu bringen, Zugangsdaten aus der Sitzung eines Opfers zu kopieren. In einem Test wurden sechs KI-Browser und -Assistenten so „überlistet“, dass am Ende Anmeldedaten an einen Angreifer gingen.
Technisch betrachtet beginnt der Angriff nicht mit klassischem Credential-Stealing über Phishing-Formulare, sondern mit der Art, wie Agenten Webseiten lesen. Laut LayerX kommen die Webseitensnippets und die Nutzeranweisungen in einem Agenten-Betrieb als zusammenhängender Textstream an. Dieser Stream enthält dann sowohl „normalen“ Inhalt als auch unauffällige Steueranweisungen, die der Agent nicht zuverlässig als Fremdlogik erkennt. Forscher bezeichnen dieses Muster als „indirect prompt injection“: Der Angreifer tarnt die eigentliche Aufforderung in Content, der wie Regeln eines Spiels oder einer Aufgabe wirkt. Dadurch wird Sicherheitslogik umgangen, die oft nur auf offensichtlich bösartige Prompts reagiert.
Der Proof-of-Concept ist bewusst spielerisch designt. LayerX setzt auf eine Puzzle-Seite mit einer dystopischen Spielwelt, in der falsche Antworten belohnt werden. Beispielhaft führt die Aufgabe den Agenten dazu, „2 + 2 = 5“ als vermeintlich richtigen Zug zu akzeptieren. Sobald der Agent dieses Regelwerk internalisiert hat, folgt er im nächsten Schritt „game logic“ statt „safety logic“. Der finale Teil der Puzzle fordert dann den Zugriff auf Credentials und lässt dabei die entscheidende Schwelle offen: In dem beschriebenen Test erkannte keiner der sechs betroffenen Agenten den Schritt als etwas, das er verweigern müsste. Das ist der Knackpunkt: Kontextwechsel, der wie Spielregeln aussieht, kann reale Handlungen triggern.
Besonders gefährlich wird es dort, wo der Agent die Daten nicht nur liest, sondern „greift“. In einem beschriebenen Szenario wurde dem Opfer ein Link zu einem Arbeits-GitHub-Repository gegeben. Der Agent folgte dem Link und rief innerhalb der Browser-Session SSH-Logininformationen aus dem Zielkontext ab. Danach leitete er die Daten an den Angreifer weiter. Entscheidend ist außerdem, dass LayerX in der Demonstration zwar eine harmlose Klartext-Datei verwendete, aber das Muster prinzipiell auf andere Ressourcen übertragbar ist, die der Agent in derselben Session erreichen kann: offene Tabs, eingeloggt erfasste Konten oder interne Tools. LayerX betont damit sinngemäß, dass ein „funktionierender“ Agent nicht zögert, wenn die Aufgabe aus seiner Perspektive plausibel wirkt.
Aus Marktsicht zeigt die Meldung vor allem, dass Agenten-Sicherheit nicht allein durch Prompt-Filter entsteht. Die Reaktionen der Anbieter verliefen laut LayerX unterschiedlich: OpenAI habe eine Korrektur für „ChatGPT Atlas“ umgesetzt; Perplexity habe den Bericht zwar erhalten, aber geschlossen, ohne dass ein Fix nach außen sichtbar umgesetzt worden sei. Anthropic habe versucht, über eine Patch-Strategie an der Claude-Extension nachzusteuern, allerdings ohne nach LayerX-Angaben dauerhaft standzuhalten. Zudem blieben Rückmeldungen von Fellou, Genspark und Sigma in der Darstellung offen. In der Praxis bedeutet das: Sobald ein Agentenmodus breit genutzt wird, kann eine einzelne Klassenlücke in der „Read-and-Act“-Kette schneller skalieren als traditionelle Schwachstellen.
Ein zentraler Unterschied zu klassischen Browser-Angriffen ist die Angriffsfläche: Nicht die Website stiehlt Daten direkt, sondern sie überredet den Agenten zu Handlungen. LayerX beschreibt das als „keys to signed-in accounts“-Problem und formuliert in der eigenen Darstellung sinngemäß: „Wenn der Agent die Schlüssel zu Ihrer eingeloggen Session bekommt, wird aus einem Jailbreak echte Zugriffsfähigkeit.“ Der Satz trifft den Kern für Sicherheitsverantwortliche. Vergleichbare Konzepte gab es früher bei „Prompt Injection“ im reinen Textverkehr; neu ist hier, dass Agenten zusätzlich über Session-Kontext und Tool-Zugriff verfügen. Damit wandert die Sicherheitsdebatte weg vom Chatbot-Content hin zu Identity, Least Privilege und Zugriffskontrolle auf Agent-Ebene.
Was bedeutet das für die Verteidigung? LayerX fordert als Gegenmaßnahme, dass KI-Browser vor dem Lesen aus eingeloggenen Accounts aktiv nachfragen sollen. Ein Beispiel für eine solche Bremse wäre eine explizite Rückfrage nach dem Muster: „Ich kopiere gerade Daten aus Ihrem GitHub-Repository. Fortfahren?“ Genau solche One-Shot-Confirmation-Dialoge würden die Kettenlogik aus Puzzle-Regeln und Credential-Abruf unterbrechen. Zusätzlich sollten Agenten erkennen, wenn eine Seite die „normalen Regeln“ absichtlich verschiebt, und Nutzer harte Limits setzen lassen, welche Bereiche ein Agent anfassen darf. „Winning a game“ ist dann kein Grund mehr, private Repositories zu öffnen oder Session-Secrets zu exportieren.
Für Anwender ist die Empfehlung praktisch und nicht spektakulär: Agentenmodus nur dann aktivieren, wenn der Arbeitskontext klar eingegrenzt ist. Da der Agent alles sehen und erreichen kann, womit Sie gerade eingeloggt sind, entscheidet am Ende Ihre „Permission Hygiene“. Sobald die Aufgabe erledigt ist, sollten Sie den Agentenmodus beenden, Session-Zugriffe minimieren und Zugriffe auf sensible Systeme zurücknehmen. Für Unternehmen skaliert dieselbe Logik: Ein Agent im Agentenmodus ist wie ein zusätzliches Benutzerkonto mit Zugriff auf Unternehmenssysteme. Daher sollten Sicherheits- und Identity-Teams restriktive Rollen- und Token-Policies durchsetzen, damit der Agent nur die Rechte bekommt, die zur Aufgabe nötig sind. In einer Welt mit KI-gestützter Automatisierung wird sonst aus einem Umweg in der UI schnell ein echter Zugriff.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "BioShocking: Wie KI-Browser über „indirect prompt injection“ an Zugangsdaten kommen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "BioShocking: Wie KI-Browser über „indirect prompt injection“ an Zugangsdaten kommen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »BioShocking: Wie KI-Browser über „indirect prompt injection“ an Zugangsdaten kommen« bei Google Deutschland suchen, bei Bing oder Google News!