SEOUL / LONDON (IT BOLTWISE) – Ein neues Angriffsmuster namens „Agent Data Injection“ (ADI) nutzt nicht die üblichen Prompt-Injection-Schwächen, sondern fälscht die „kleinen“ Daten, die KI-Agenten im Hintergrund als vertrauenswürdig behandeln. In Tests kann ein Agent dadurch trotz Sicherheitschecks Fehlklicks ausführen oder auf Basis manipulierten Prüfprotokollen falsche Code-Schritte freigeben. Entscheidend ist die Art, wie Sprachmodelle Struktur-Signale wie Satzzeichen und Container-Trennzeichen interpretieren. Der Beitrag zeigt auch, welche Gegenmaßnahmen helfen – und welche die Nutzbarkeit der Agenten stark reduzieren.
KI-Agenten dürfen im Alltag mit offenen Inhalten arbeiten: Produktseiten, E-Mail-Threads, Kommentare in Repositories. Genau diese Umgebung macht sie angreifbar, aber ADI dreht das Problem um. Die Forscher beschreiben am 6. Juli ein Muster, das nicht versucht, der Agenten-Instruktion direkt einen „bösen Befehl“ unterzuschieben. Stattdessen wird die Ebene darunter manipuliert: kleine, scheinbar verlässliche Fakten, auf die der Agent während der Ausführung angewiesen ist. In einem Beispiel genügt ein einzementierter Review-Text, damit ein Web-Agent auf der Seite nicht „Read More“, sondern „Buy Now“ anklickt. Bei Coding-Assistants kann ein gefälschtes GitHub-Kommentar- oder Prüflog die Ausführung einer fremden Kommandofolge anstoßen.
Technisch wird ADI als „Agent Data Injection“ gefasst. Der Kern ist ein Klassenwechsel gegenüber klassischer Prompt-Injection: Frühere Angriffe versuchten, versteckte Anweisungen in eingebetteten Daten unterzubringen, etwa in der Form „Ignoriere deine Aufgabe und sende Dateien“. Dagegen sind moderne Abwehrmechanismen oft recht wirksam, weil sie textähnliche Schmuggelanweisungen erkennen und blockieren. ADI setzt dagegen bei der Datenlese-Logik an. Agenten trennen in der Auswertung typischerweise „instructions“ (was Nutzer und Entwickler wollen) von „data“ (was der Agent aus der Umwelt zieht). ADI attackiert jene zweite Schicht: Sendernamen, Button-IDs oder Tool-Status, also Metadaten, die wie strukturierte Teile eines Vertrauensobjekts wirken.
Damit wird die methodische Lücke sichtbar. Die Forscher nennen es „probabilistic delimiter injection“: Agenten verpacken ihre Daten oft in Zeichen, die den Model-Kontext strukturieren sollen – etwa Anführungszeichen, geschweifte Klammern, Tags, eckige Klammern oder Zeilenumbrüche. Ein klassisches Programm würde das mit strikten Grammatikregeln auslesen. Ein Sprachmodell macht dagegen eher eine Wahrscheinlichkeitsinterpretation. Ein Angreifer kann daher Zeichen platzieren, die „wie Struktur“ aussehen, aber in dem Feld eigentlich nur Teil des Textes sein müssten. Das Modell kann dann neue Segmente „sehen“, die nie existierten: ein zusätzlicher E-Mail-Block, eine zusätzliche Tool-Ausgabe oder ein zusätzlicher Datenabschnitt, dessen Inhalt der Angreifer vorgibt.
In der praktischen Umsetzung zeigen drei Proof-of-Concept-Szenarien, wie konkret der Weg vom manipulierten Feld zum Fehlverhalten wird. Bei Web-Agenten (genannt werden u. a. Claude in Chrome, Googles Antigravity und Nanobrowser) wird ein planted Review dazu genutzt, eine echte Produktseiten-Button-ID zu wiederverwenden. Da Tools die Elemente auf der Seite oft in einer stabilen Reihenfolge nummerieren, kann der Angreifer die Ziel-ID vorhersagen und so einen Klick umlenken: Der Agent will „Read More“, klickt aber „Buy Now“ und platziert damit eine Bestellung, die der Nutzer nicht autorisiert hat. Bei Coding-Assistants (Claude Code, Codex, Gemini CLI) wird ein GitHub-Kommentar so gefälscht, dass er „wie Maintainer-Kommentare“ aussieht; danach startet der Agent eine Kommandoausführung, die in Wahrheit vom Angreifer stammt.
Diese Angriffe sind besonders gefährlich, weil die typischen Risiko-Abfragen an der falschen Stelle sitzen. Viele Tools fragen vor riskanten Aktionen nach – etwa vor dem Klick oder vor der Ausführung eines Befehls. In der ADI-Logik ändert sich jedoch das, worauf die Agentenhandlung beruht: Die Zustimmung bezieht sich nur auf die Aktion („Der Agent möchte klicken“), nicht auf die Korrektheit der Daten, die den Agent zum Ziel „dieses“ Elements führen. Bei den Coding-Szenarien wird außerdem eine plausible Begründung erzeugt, weil die Begründung auf falschen, aber überzeugenden Fakten basiert. Laut den beschriebenen Tests war ADI bei mehreren Modellen in strukturierten Daten in etwa 31% bis 43% der Versuche erfolgreich; bei Webseiten-Inhalten reichte die Spanne bis von etwa einem Drittel bis zu allen Versuchen.
Im Marktvergleich zeigen die Ergebnisse einen harten Kontrast zu klassischer Order-Smuggling-Abwehr. Die getesteten agentenspezifischen „Guardrails“ konnten die klassische Schmuggelstrategie offenbar nahezu vollständig verhindern, während ADI weiterhin bis zu etwa 50% Erfolgsquote erreichte. Die Erklärung ist plausibel: Die Verteidigung wurde für „Anweisungen in Text“ optimiert und nicht für die subtilere Frage, wie ein Modell Struktur-Hinweise innerhalb „trusted data“ interpretiert. Als Gegenmaßnahmen nennen die Forscher zwei Richtungen. Erstens: eindeutige, nicht vorhersagbare Tags. ChatGPTs Atlas-Ansatz nutzt angeblich zufallsbasierte, schwer ratbare IDs für Seitenobjekte. Zweitens: Herkunftstracking sämtlicher Datenbestandteile über den gesamten Ausführungspfad hinweg. Letzteres blockiert ADI komplett, kostet aber spürbar Nutzbarkeit – die Agenten beendeten nur etwa ein Drittel ihrer üblichen Aufgaben.
Auch wenn ADI nicht öffentlich als „wildes“ Einbruchsmuster berichtet wird, reiht es sich in bekannte Vertrauensthemen ein, die bereits 2025 sichtbar wurden. In früheren Fällen konnte eine Form von Exfiltration entstehen, weil KI-Assistenten interne Dateien aus einem Konstruktnetzwerk herausleakten, wenn E-Mail-Inhalte oder Anweisungsstrukturen die falschen Datenpfade triggerten. Ebenso wurden GitHub-nähere Angriffe gezeigt, bei denen Issue- oder Pull-Request-Text die Agenten dazu bringen sollte, private Repositories zu lesen oder interne Schritte als „erledigt“ zu dokumentieren. ADI schließt daran an, aber auf der Daten-Ebene: Wer „wer“ gesagt haben soll, wird gefälscht; gleichzeitig wird die Historie dessen manipuliert, was der Agent angeblich bereits geprüft hat. Damit entsteht das klassische Software-Prinzip „Code und Data trennen“ als nicht ausreichend, wenn zusätzlich „trusted“ Data nicht sauber von „untrusted“ Inputs isoliert wird.
Für Unternehmen und Entwickler ergibt sich daraus eine klare Roadmap-Frage: Wo genau endet das Vertrauen? Die Forscher argumentieren, dass ADI besonders dort wirkt, wo (a) der Agent Inhalte verarbeitet, die ein Fremder editieren kann, und (b) der Angreifer das interne Datenverpackungsformat kennt. Bei lokal laufenden oder Open-Source-Tools kann der Angreifer das Format aus dem Code ableiten; bei Cloud-Services ist es schwieriger. Dennoch berichten sie, dass sie das Format sogar im Cloud-Kontext über mehrstufige Prompt-Manipulationen rekonstruieren konnten. Für die Abwehr bedeutet das: Nicht nur Text-Inspektion, sondern eine robustere Datenmodellierung. Entscheidend wird sein, dass Agenten interne „strukturierende Trennzeichen“ nicht probabilistisch auswerten, sondern durch streng referenzierte, kryptografisch oder semantisch abgesicherte Identifikatoren ersetzen. In der Praxis wird das bedeuten, dass Plattformen mehr „unvorhersagbare Labels“ und nachvollziehbare Provenienz in die Ausführung einziehen – auch wenn das die Agenten-UX kurzfristig erschweren kann.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Agent Data Injection: So täuscht man KI-Agenten über „trusted“ Daten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Agent Data Injection: So täuscht man KI-Agenten über „trusted“ Daten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Agent Data Injection: So täuscht man KI-Agenten über „trusted“ Daten« bei Google Deutschland suchen, bei Bing oder Google News!