SAN FRANCISCO / LONDON (IT BOLTWISE) – Forschende zeigen mit „AudioHijack“, wie nahezu unhörbare Veränderungen in Audiodaten Sprach-KI in die Befolgung versteckter Anweisungen lenken können. Die Angriffe funktionieren nicht nur gegen das reine Transkribieren, sondern gegen moderne Audio-zu-Action-Modelle, die zuhören, interpretieren und externe Tools nutzen. Besonders kritisch: Die Signale sind wiederverwendbar und müssen nicht auf den konkreten Nutzer-Prompt zugeschnitten sein. Damit rückt eine neue Prompt-Injection-Schwachstelle in den Fokus, die nicht beim Tippen beginnt, sondern bei Tonspuren aus Podcasts, Videos oder Meetings.
Sprachorientierte KI-Systeme bekommen derzeit eine neue Ebene als „Prompt“: den Ton. Was in Chat-Interaktionen als Prompt Injection seit Jahren diskutiert wird, verschiebt sich nun in Richtung Audiopfade. Forschende haben gezeigt, dass kleine, für Menschen kaum wahrnehmbare Modifikationen an einer Audioaufnahme genügen können, um Voice-Modelle zu einer vom Angreifer gewünschten Verhaltensweise zu bewegen – inklusive scheinbar legitimer Aktionen wie Websuchen, Datei-Downloads und dem Auslösen von E-Mails mit potenziell personenbezogenen Daten. Damit wird Audio nicht nur Eingabe, sondern ein Kanal mit realen Konsequenzen für Unternehmens-Workflows.
Der Angriff wurde als „AudioHijack“ beschrieben und auf einem Security-Track der IEEE Symposium on Security and Privacy in San Francisco vorgestellt. Technisch greift der Ansatz nicht an der Semantik von gesprochenen Worten an, sondern am Signal selbst: Die Forschenden verändern die Wellenform eines Audiosamples in einer Weise, die für Hörer wie natürliche Raumakustik oder normale Hall-Charakteristiken wirkt. Gleichzeitig wird das Modell in Richtung der angreiferseitig vorgegebenen Zielaktion „verschoben“. Das ist mehr als ein klassischer Speech-Recognition-Trick, denn die Angriffsfläche betrifft nun auch generative Audio-Langemodelle, die Anweisungen ableiten und anschließend Werkzeuge ausführen können.
In den Tests wurde der Angriff auf 13 offene Audio-KI-Modelle angewendet, darunter Qwen2-Audio, GLM-4-Voice, Phi-4-Multimodal, Voxtral-Mini und Kimi-Audio. Entscheidend für die Bewertung ist dabei die Übertragbarkeit: Die Forschenden berichten, dass sich der Ansatz auch auf kommerzielle Voice-Agenten übertragen lässt, darunter Systeme aus dem Umfeld von Microsoft Azure sowie von Mistral AI. Solche Resultate deuten darauf hin, dass die Sicherheitslogik nicht nur modellabhängig greift, sondern dass gemeinsame Induktionsschmerzen in der Verarbeitungskette existieren. Für Teams heißt das: Selbst „unbeeinflusste“ Modelle können als Ziel dienen, wenn die Audio-to-Tool-Integrationen ähnlich aufgebaut sind.
Historisch betrachtet gab es bereits jahrelange Forschung zu „inaudible voice commands“. Frühere Angriffe setzten häufig auf Ultraschallanteile, enge räumliche Bedingungen oder spezielle Gerätekonstellationen. „AudioHijack“ erweitert diesen Blickwinkel: Die Angreifer richten sich nicht nur gegen das Erkennen falscher Wörter, sondern gegen heutige Systeme, die Sprache als Steuerimpuls für nachgelagerte Aktionen interpretieren. Damit ähnelt die Bedrohung in der Wirkung dem Prompt-Injection-Problem aus Textform, nur dass der Inputkanal nun Wellenform-basierend ist. Lead-Autor Meng Chen stellte dabei laut Berichterstattung in Aussicht, dass das Training des Signals etwa eine halbe Stunde dauern kann und danach gegen dasselbe Zielmodell wiederverwendbar ist – ohne vorherige Kenntnis dessen, was der Nutzer sagt.
Für Startups, die Voice-Agenten für Kundenservice, Meeting-Unterstützung oder autonome Workflows aufbauen, ist das kein theoretisches Risiko. Viele junge Unternehmen setzen auf „mehr als Unterhaltung“: Sie verbinden KI mit Kalendern, Postfächern, Ticketsystemen, Browsern und internen Wissensbasen. Die Sicherheitsmodelle, die in frühen Prototypen oft für Textprompts und API-Aufrufe entworfen wurden, müssen nun auch Audio als untrusted input behandeln – egal ob die Spur vom Nutzer hochgeladen, aus einem Zoom-Call extrahiert oder aus einem Kundenservice-Recording übernommen wurde. Sobald Audio eine Aktion auslösen darf, wird Sound zur Input-/Policy-Grenze, die man wie unzuverlässige Daten behandeln muss, nicht wie „saubere Frontend“-Sprache.
Die Forschenden liefern zudem Hinweise, dass „klassische“ Härtungsmaßnahmen nicht ausreichen. Prompt-Hardening durch das Einspielen von Beispielen für bösartige Anweisungen soll Angriffe nur um etwa 7 Prozent reduziert haben; ein Ansatz, der das Modell aktiv prüfen lässt, ob die Antwort zur Nutzerintention passt, habe nur rund 28 Prozent der Attacken abgefangen. Diese Zahlen sollten Produktteams vor einer trügerischen Ein-Schicht-Strategie warnen. In der Praxis bedeutet das: Tool-Nutzung muss restriktiver und stärker verifizierbar werden. Teams sollten Audioanalyse und Befehlsausführung entkoppeln, sensible Aktionen bestätigen lassen und interne Modellentscheidungen überwachen, wenn Audio dominiert oder ungewöhnliche Signalmuster auf der Inputseite sichtbar werden.
Auch Plattformen geraten dadurch unter Druck. Wenn Audiodaten bei großen Ökosystemen wie Video- oder Podcast-Plattformen zirkulieren, stellt sich die Frage, ob und wie sich adversarial Audio vor der Auslieferung erkennen lässt. Das ist jedoch schwierig, weil Kompression, Normalisierung und Post-Processing solche Signale verändern können – gleichzeitig müssen entsprechende Systeme riesige Mengen legitimen Audios verarbeiten, das Musik, Effekte, Raumhall und Mikrofonartefakte enthält. Deshalb ist eine reine Plattform-Suche oft ein Kompromiss. Experten in der Branche verweisen zudem darauf, dass zusätzliche Safeguards in echten Deployments üblich sind: Microsoft habe laut Berichterstattung darauf hingedeutet, dass Produktionssysteme häufig weitere Schutzschichten um das Modell herum integrieren, doch die Verantwortung endet nicht beim Modellanbieter.
Aus regulatorischer und datenschutzrechtlicher Sicht verschärft sich das Bild. Wo Voice-Agenten Gespräche transkribieren, zusammenfassen oder in Tickets und E-Mails überführen, fließen potenziell personenbezogene Daten. In Europa bedeutet das: DSGVO-Anforderungen an Zweckbindung, Zugriffskontrolle und Protokollierung werden praktisch zu Sicherheitsanforderungen. Ein AudioHijack kann dabei nicht nur Integrität und Verfügbarkeit gefährden, sondern auch Vertraulichkeit, wenn unautorisiert Tool- oder Mail-Aktionen ausgelöst werden. Langfristig dürften deshalb strengere Berechtigungsmodelle, nachvollziehbare Audit-Logs und „human-in-the-loop“-Freigaben für riskante Schritte zum Standard werden. Der entscheidende Next Step wird sein, dass Anbieter Audio-Agenten als sicherheitsrelevante Inputkanäle betrachten und nicht nur als Komfortfeature.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "AudioHijack: Versteckte Befehle in Sprach-KI unterlaufen Sicherheitsgrenzen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "AudioHijack: Versteckte Befehle in Sprach-KI unterlaufen Sicherheitsgrenzen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »AudioHijack: Versteckte Befehle in Sprach-KI unterlaufen Sicherheitsgrenzen« bei Google Deutschland suchen, bei Bing oder Google News!