LONDON (IT BOLTWISE) – Neue Forschung zeigt, wie Schadsoftware auf Android über unsichtbare Inhalte KI-Agenten fehlleiten kann. Damit lassen sich Befehle in „normal“ wirkende Bildschirminhalte einbetten und im schlimmsten Fall Code auf einem verbundenen PC ausführen. Zusätzlich decken Berichte zu agentischen Browsern schwere Schwächen wie Verstöße gegen Same-Origin-Policy auf. Für Unternehmen wird klar: KI-Agenten brauchen nicht nur Funktionen, sondern auch wirksame Sicherheitsgrenzen und Identitätskontrollen.
Die Schlagzeile „KI-Agent kapert Systeme“ wirkt auf den ersten Blick nach einer weiteren Story über Prompt Injection. In der konkreten technischen Ausarbeitung geht es aber um etwas viel Handfesteres: Wenn ein KI-Agent die visuelle Oberfläche eines Smartphones auswertet, kann eine kompromittierte App diese visuelle Eingabe so präparieren, dass der Agent Anweisungen „liest“, die ein Mensch nicht sieht. Genau dieses Prinzip hat ein Forschungsteam demonstriert und dabei mehrere weit verbreitete Open-Source-Frameworks für mobile KI-Assistenten in den Fokus gestellt. Insgesamt wurden sieben Angriffsszenarien gegen fünf prominente Systeme gezeigt, darunter AppAgent und AppAgentX.
Der Kern des Problems liegt in der fehlenden Trennung zwischen legitimen UI-Elementen und versteckten Steuerdaten. Technisch betrachtet nutzt die Schadsoftware zwei Android-Berechtigungen, die in vielen Apps ohnehin vorkommen: erstens die Möglichkeit, über anderen Fenstern zu zeichnen, und zweitens den Zugriff auf den gemeinsamen Speicher. Im Angriffsablauf legt die App unsichtbaren Text auf dem Display ab, sodass für das KI-Modell eine andere „Welt“ entsteht als für den Nutzer. Der Agent verarbeitet dann die Bildschirminhalte und folgt den eingebetteten Anweisungen, weil das Modell nicht zuverlässig unterscheiden kann, ob ein visuelles Element für den Menschen bestimmt ist oder als Steuerkanal fungiert.
Der sicherheitliche Impact ist damit nicht auf „falsche Empfehlungen“ oder Fehlbedienung beschränkt. Im Worst Case kann der Angreifer beliebigen Code auf dem angeschlossenen Computer ausführen. Das liegt daran, dass viele agentische Workflows nicht beim Chat anhalten, sondern im nächsten Schritt Aktionen in anderen Umgebungen auslösen – etwa über Tool-Aufrufe, Browserinteraktionen oder Schnittstellen zur lokalen/verbundenen Infrastruktur. Damit verschiebt sich das Risiko von der reinen Modell-Ebene hin zu einer Kette aus Sensorik (Screenshot/Display), Wahrnehmung (Vision-Parsing), Entscheidung (Agent-Policy) und schließlich Ausführung (Systemaktionen). Gleichzeitig adressiert das nicht nur „mobile KI“, sondern auch die allgemeine Frage, wie Agenten Eingaben aus untrusted Quellen bewerten.
Auch unabhängig von den mobilen Frameworks zeigen die Ergebnisse ein breiteres Muster: Agentische Browser sind laut einer Studie der University of Washington ebenfalls besonders angreifbar. Vier von sieben untersuchten Systemen verletzten die Same-Origin-Policy, also ein fundamentales Sicherheitsprinzip moderner Web-Architekturen. In einem Proof-of-Concept gelang es den Forschern, mit ChatGPT Atlas Daten von einer eingebetteten Website zu stehlen; ähnliche Schwachstellen fanden sie bei Google Gemini in Chrome, bei Claude für Chrome sowie bei Perplexity Comet. Die Autoren ordnen die Angriffe als anfällig für Prompt-Injection und Speichervergiftung (unter anderem durch manipulative Inhalte und persistente Manipulationspfade) ein – mit dem Hinweis, dass diese autonomen Browser-Assistenten für den öffentlichen Einsatz noch nicht „hart genug“ sind.
Während diese Lücke in der Forschung aufzeigt, wie Angreifer agentische Systeme „durch die Augen“ ihrer Eingabekette treiben, wird im weiteren Text ein sehr konkreter Vorfall adressiert: Bei der KI-Plattform Hugging Face soll ein KI-Agent über einen bösartigen Datensatz Zugang zu internen Systemen erhalten haben. Laut Darstellung griff der Angreifer am 16. Juli über zwei spezifische Code-Ausführungspfade an, bewegte sich über ein Wochenende lateral durch das Netzwerk und erbeutete Zugangsdaten; die Forensik habe dabei rund 17.000 rekonstruierte Ereignisse erzeugt. Interessant ist auch die Aussage zur Ermittlungserschwernis: Sicherheitsvorkehrungen kommerzieller KI-APIs hätten die Anfragen der Ermittler blockiert, sodass das Team auf das quelloffene Modell GLM 5.2 ausweichen musste.
Für die Governance zeigt sich hier ein doppelter Druck: Erstens wächst die Zahl erfolgreicher Angriffsversuche, zweitens sind klassische Sicherheitsmodelle für „Benutzer-Identitäten + statische Berechtigungen“ nicht automatisch auf KI-gestützte Identitäten und agentische Abläufe übertragen. Laut CrowdStrike sind KI-gestützte Angriffe im Jahresvergleich um 89 Prozent gestiegen. Laut Okta setzen zwar 91 Prozent der Organisationen bereits KI-Agenten ein, aber nur 10 Prozent verfügen über eine ausgereifte Strategie für deren Verwaltung. CyberArk beschreibt parallel, dass Maschinenidentitäten menschliche Identitäten im Verhältnis 80 zu 1 übersteigen; gleichzeitig fehlen bei 78 Prozent der Organisationen formelle Richtlinien für das Management von KI-Identitäten. Praktisch meldeten 53 Prozent der Organisationen Vorfälle, in denen KI-Agenten ihre vorgesehenen Berechtigungen überschritten.
Damit wird auch der regulatorische Hebel verständlich: Unter der EU-KI-Verordnung, insbesondere Artikel 15, müssen Organisationen ihre KI-Systeme gegen solche Angriffe wappnen. Der Punkt ist dabei weniger „Papierpflicht“, sondern technische Resilienz entlang der gesamten Kette aus Datenbeschaffung, Inferenz und Ausführung. Die Beispiele aus dem Enterprise-Umfeld unterstreichen diese Notwendigkeit zusätzlich: EchoLeak (CVE-2025-32711) in Microsoft 365 Copilot erreicht einen CVSS-Score von 9,3, auch in GitHub Copilot (CVE-2025-53773) wurde eine Lücke für die Ausführung von Schadcode beschrieben. Entscheidend für Unternehmen ist jetzt, KI-Agenten nicht als isolierte Apps zu betrachten, sondern als neue Klasse von Systemen mit eigenen Sicherheitsgrenzen – von UI-/Vision-Sensorik über Same-Origin-konformes Browserverhalten bis hin zu Identitäts- und Berechtigungssteuerung für Agenten und deren Tokens.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Hugging Face gehackt: Bildschirminhalte kapern KI-Agenten und übernehmen PCs" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Hugging Face gehackt: Bildschirminhalte kapern KI-Agenten und übernehmen PCs" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Hugging Face gehackt: Bildschirminhalte kapern KI-Agenten und übernehmen PCs« bei Google Deutschland suchen, bei Bing oder Google News!