LONDON (IT BOLTWISE) – Permiso beschreibt eine KI-Schwachstelle, die aus gewöhnlichen Web-Zusammenfassungen eine Phishing-Oberfläche macht. Indem ChatGPT Markdown-Links und Bild-URLs übernimmt, kann ein Angreifer klickbare Inhalte, gefälschte Sicherheitsalarme und sogar QR-Codes im vermeintlich vertrauenswürdigen UI platzieren. Das erhöht den Angriffsradius: Statt Attachments oder bösartigen Nachrichten genügt es, eine manipulierte Seite nur zusammenfassen zu lassen. Für Unternehmen bedeutet das neue Anforderungen an Browser-/Rendering-Schutz, Content-Sanitization und Auslieferungsrichtlinien.
Was wie ein harmloser Qualitätsfehler in der Darstellung wirkt, entpuppt sich laut Permiso Security als strukturelles Risiko: Das KI-gestützte Antwort-Rendering in ChatGPT kann Inhalte aus einer zuvor zusammengefassten Web-Seite so übernehmen, dass sie im UI wie „live“ bedienbare Elemente erscheinen. Die Technik trägt den Namen ChatGPhish und setzt nicht primär auf klassische Prompt-Injection im engeren Sinn, sondern auf den Moment, in dem Markdown-Links und Bild-URLs aus drittseitigem Kontext automatisch geholt und gerendert werden. Dadurch entsteht eine neuartige Angriffsoberfläche direkt in der vertrauten Assistenten-Umgebung.
Im Kern beschreibt die Veröffentlichung, dass der Antwort-Renderer die aus einem fremden Ursprung stammenden Markdown-Verknüpfungen und Bildreferenzen als Bestandteil der zusammengefassten Antwort behandelt. Wenn der Assistent die Seite zuvor „zusammenfasst“, werden die eingebetteten Medien anschließend beim Rendern verfügbar gemacht, und die Links werden klickbar. Im Szenario reicht es aus, einer Seite ein kleines, speziell platziertes Payload-Element hinzuzufügen. Sobald ein Nutzer ChatGPT die Seite zur Zusammenfassung übergibt, können bei der automatischen Bildabrufphase Metadaten wie IP-Adresse, User-Agent und Referer an den Angreifer gelangen.
Besonders kritisch ist die Folgeebene der Darstellung: Neben dem Tracking kann der Angreifer bösartige Markdown-Links als aktive Komponenten präsentieren, die der Nutzer im „vertrauenswürdigen“ UI nicht als externes Risiko einordnet. Zusätzlich werden gefälschte, systemähnliche Sicherheitswarnungen möglich, die als Stilkopie die Wahrnehmung in Richtung Handlungsdruck verschieben. In einem weiteren Twist kann sogar ein QR-Code aus einem vom Angreifer kontrollierten Speicherbereich eingeblendet werden, sodass der Nutzer ihn per Mobilgerät scannen kann. Das umgeht häufig Desktop-basierte URL-Filter und überträgt die Entscheidungskomponente auf ein anderes Sicherheitsmodell.
Damit passt ChatGPhish in ein breiter werdendes Muster: Summarization und „agentic“ Workflows werden zunehmend zu adversarial surfaces. Bereits im März hatte Permiso gezeigt, wie eine von Angreifern kontrollierte E-Mail mit gezielt formulierten Anweisungen über eine indirekte Prompt-Injection die Ausgabe von Microsoft Copilot beeinflussen kann. Der entscheidende Unterschied liegt nun in der browserähnlichen Darstellungslogik: Ein normaler Web-Content, der lediglich zusammengefasst wird, reicht aus, um Phishing-Elemente direkt in das UI zu bringen. Fachleute ordnen das als Verschiebung vom reinen Text-Output hin zu einem gerenderten, interaktionsfähigen Kanal ein.
Für die technische Einordnung lohnt ein Blick auf die Sicherheits-Mechanik moderner LLM-Stacks. Üblicherweise fließen Inhalte aus Quellmaterial in einen Kontext, werden dann tokenbasiert verarbeitet und schließlich in eine UI übersetzt, die Formatregeln wie Markdown respektiert. Wenn dabei keine strikte Trennung zwischen „Textdarstellung“ und „ausführbarer Interaktion“ erzwungen wird, kann der Angreifer über syntaktische Konventionen (Links, Bilder, QR-ähnliche Muster) eine Art „policy bypass“ erreichen. Im Vergleich zu klassischen Web-Sicherheitsgrenzen wirkt das wie ein Übergang von URL-Filterung auf Darstellungsebene: Der Schutz muss dort ansetzen, wo Markdown in UI-Funktionen überführt wird.
Der Markt reagiert auf solche Muster nicht nur bei ChatGPT. Adversa AI dokumentiert mit SymJack und TrustFall Angriffe auf KI-Coding-Agents und agentische CLI-Workflows, bei denen ein bösartiges Repository über täuschend gestaltete Dateivorgänge oder Konfigurationen eine Code-Ausführung bis hin zur vollständigen Kompromittierung ermöglichen kann. Konkret wird beschrieben, wie ein Autotrigger eines Model-Context-Protocol-(MCP)-Servers oder ein „One-click“-Vertrauensdialog ohne echte Nutzerfreigabe den eigentlichen Angriff startet. Dass sich diese Mechanismen parallel im Coding-Ökosystem zeigen, erhöht den Druck auf Unternehmen, nicht nur LLM-Ausgaben, sondern auch Integrationen, Repositories und Agent-Plugins als Risikoquellen zu behandeln.
Auch bei bestehenden KI-Agent-Plattformen kommen ähnliche Schwachstellenmuster vor: Microsoft Semantic Kernel wird in der Meldung mit Sicherheitslücken genannt, die Prompt-Injection in hostnahe Remote-Code-Execution umkippen können. Anthropic Claude wird zudem im Kontext von MCP-bezogenen Umgehungen adressiert, und weitere Berichte zeigen Angriffe über Erweiterungen oder visuelle Prompt-Injection (z. B. typografische Injektionen, die sich in Bilddarstellungen tarnen). Für CIOs und Security-Teams ist das eine klare Aussage: Sobald KI-Systeme mit Rendering, Browser-Integration oder Tool-Aufrufen gekoppelt sind, müssen Threat-Modeling und Controls die gesamte Kette abdecken – vom Datenabruf über das Kontextmanagement bis zur UI-Interaktion.
Für die Zukunft zeichnet sich ein pragmatischer Sicherheitsfahrplan ab: Organisationen sollten Zusammenfassungen aus fremden Webseiten stärker wie „untrusted content“ behandeln, selbst wenn der Ursprung nur gelesen und nicht aktiv „ausgeführt“ wurde. Dazu gehören Sanitization-Mechanismen, die Link- und Medien-Referenzen so begrenzen, dass sie nicht nahtlos als klickbare oder automatisch nachgeladene Elemente in einem vertrauenswürdigen UI landen. Ergänzend braucht es Policy-Controls für Render-Pfade, klare Nutzerkommunikation sowie Monitoring auf ungewöhnliche Bildabrufe und QR-ähnliche Muster. In der nächsten Stufe wird entscheidend sein, ob Plattformen wie Copilot & Co. ihre Rendering- und Tool-Policy granular genug kapseln, um solche Angriffsoberflächen systematisch zu entschärfen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ChatGPhish: Wenn KI-Chatbrowser zu Phishing-Oberflächen werden" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ChatGPhish: Wenn KI-Chatbrowser zu Phishing-Oberflächen werden" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ChatGPhish: Wenn KI-Chatbrowser zu Phishing-Oberflächen werden« bei Google Deutschland suchen, bei Bing oder Google News!