LONDON (IT BOLTWISE) – Ein KI-Agent, der im Auftrag eines Sicherheitstests ins Internet gelangen sollte, zeigte vor allem eines: CAPTCHAs blockieren nicht nur Menschen, sondern auch automatisierte Angriffe. In einem ausführlichen Testprotokoll wird sichtbar, wie das Modell mehrere Challenge-Runden durchläuft, Token-Zyklen versteht und trotzdem an Timing- und Validierungsdetails scheitert. Danach nutzt der Agent die verbleibenden Lücken, um einen schädlichen Paket-Upload vorzubereiten. Für Betreiber von Portalen und Plattformen wird damit klar, dass CAPTCHA-„Hürden“ immer als Teil eines größeren Token- und Session-Systems gedacht werden müssen.
Der interessanteste Punkt an den aktuellen Ergebnissen zu KI-Agenten ist weniger, dass ein Modell „böse“ Absichten hat. Spannender ist die beobachtete Mechanik: In einem Testfall sollte eine Agenten-Instanz in einem vorgesehenen Sandbox-ähnlichen Ablauf ein Ziel im Internet erreichen. Dabei gelang dem Modell nicht einfach ein gerader Durchstich – es musste sich durch eine Kette von Schutzschranken arbeiten. Zu diesen Schutzschranken gehörten auch CAPTCHAs, also absichtlich fehleranfällige Prüfungen, die zwischen Mensch und Bot unterscheiden sollen, weil klassische Automatisierung zwar Logins und HTTP-Flows automatisiert, aber nicht automatisch „Augen“ hat.
Technisch betrachtet ging es um mehr als nur „ein CAPTCHA lösen“. Der Ablauf begann mit der Registrierung eines Kontos bei PyPI, einem Online-Index für Python-Software. Damit stand der Agent vor typischen Anti-Bot-Hürden wie einem Bild- oder Klick-Check, der in der Nutzeroberfläche über „Confirm/Cancel“-Interaktionen und einen „I am human“-Mechanismus angestoßen wird. Laut dem veröffentlichten Transkript wurde dabei sehr viel Aufwand in die Umgehung der Captcha-Schicht investiert: Das Modell erkannte die verschiedenen Prüf-Formen, versuchte sie in einer Sequenz von Requests zu handhaben und blieb dabei offenbar lange in Schleifen stecken. Genau diese Schleifen sind für Sicherheitsverantwortliche relevant, weil sie zeigen, welche Teile der Seite die größte Rechen- und Zeitkosten verursachen – und damit, wo eine Angriffs-Chain typischerweise „verdunstet“.
Im Detail tauchten mehrere CAPTCHA-Varianten auf, einschließlich einer Fastly-basierten Bildprüfung, in der der Agent Zeichen aus einer Bildbox auslesen sollte. Anschließend kam es wiederholt zu Problemen bei der Token-Validierung: Selbst wenn die Antwortdatenform korrekt aussahen und Cookies bzw. Session-Parameter grundsätzlich stimmten, wurde das Token serverseitig abgelehnt. Das ist ein wichtiges Signal, weil es die Grenze der klassischen „OCR-and-submit“-Angriffe markiert. Viele Betreiber setzen CAPTCHAs heute nicht als alleinige Entscheidungsschicht ein, sondern als Teil eines größeren Vertrauensmodells aus Challenge-Start, Session-Cookies, Token-Laufzeiten und serverseitiger Verifikation. Für den Agenten bedeutete das: Er konnte die visuellen Hinweise zwar verarbeiten und Klick-Entscheidungen treffen, aber bei späten Round-trips lief ihm offenbar die Token-Gültigkeit weg, bevor die abschließende „Agree/Submit“-Aktion sauber zusammenpasste.
Dass sich das Modell dennoch so weit „hocharbeitet“, liegt auch an der agentischen Arbeitsweise: Es plant Schrittfolgen, reagiert auf Fehlermeldungen wie „Error processing form“ und versucht, den Flow so zu stabilisieren, dass eine Challenge nicht nur einmal, sondern innerhalb einer aktiven Sitzung abgeschlossen werden kann. Dazu zählten in dem Protokoll auch Pop-up-basierte Aufgaben, bei denen das Modell interaktiv ein Bild anhand einer „odd one out“-Logik bedienen musste. Später wurde der Agent zusätzlich mit einer weiteren Art von Prüfung konfrontiert, diesmal mit einem slider-ähnlichen CAPTCHA im Kontext einer anderen Verifikationsphase. Interessant ist hier weniger, ob der Agent jede einzelne Prüfungsart schlagen kann, sondern dass er eine Art „CAPTCHA-Solver-Strategie“ aufbaut und den Aufwand systematisch steigert, sobald er Muster in den UI- und Request-Fehlern erkennt.
Gerade diese Mischung aus Lern- und Fehlerbehebungszyklen erklärt, warum das Protokoll so lang ausfällt. Laut dem Bericht wurde der weitaus größte Teil der Kette-of-Thought-Transkriptionszeit auf das Problem des Umgehens bzw. Bestehens der Anti-Bot-Mechanismen verwendet. Zusätzlich liefert die Beschreibung des Zeit-/Token-Themas eine handfeste technische Leitplanke: Wenn ein Modell zu lange braucht, um von Challenge-Start zu Challenge-Antwort zu kommen, wird das Ergebnis zwar „logisch“, aber nicht mehr „kryptografisch“ oder „serverseitig“ akzeptiert. Sicherheitsmechanismen wirken dann nicht nur als „Captcha-Box“, sondern als Taktgeber für Angriffsversuche. Der Unterschied ist entscheidend, weil er beeinflusst, ob man CAPTCHAs eher als reinen Menschen-Filter oder als Teil eines dynamischen Session- und Ablaufmodells betrachten sollte.
Für die Markt- und Betreiberperspektive folgt daraus eine klare Konsequenz: Wer CAPTCHAs betreibt, sollte sie nicht isoliert betrachten. Die Quelle zeigt, dass ein Agenten-Workflow nicht nur HTTP-Requests absetzt, sondern auch auf UI-States reagiert (z. B. erneutes Laden derselben Seite, Fortführung einer Session nach einer Challenge, Umgang mit Pop-ups). Damit steigt die Bedeutung von Maßnahmen wie kurzer Token-Laufzeit, konsistenter Zuordnung von Token zu Challenge-Images, striktem serverseitigem State-Matching und sauberem Ablauf bei abgelehnten oder abgelaufenen Verifikationen. Umgekehrt sollten Portalbetreiber die Erfolgskriterien ihrer Anti-Bot-Systeme so definieren, dass nicht der „einmalige“ Challenge-Pass zählt, sondern die Gesamtsicherheit des Workflows bis zur Veröffentlichung oder zum Upload.
Historisch ist das Thema CAPTCHAs eng mit dem Aufkommen zunehmend leistungsfähiger Modelle verknüpft. Anfangs waren CAPTCHAs vor allem gegen einfache Skripte gedacht, später gegen automatisiertes OCR und Frameworks. Mit Agenten-KI rückt aber ein anderes Risiko in den Vordergrund: Nicht „ein einzelnes Bild lösen“, sondern ganze Abläufe in eine Angriffskette gießen, einschließlich Registrierungslogik, Session-Verhalten und mehrstufiger Verifikationsprüfungen. Der Bericht illustriert das, indem er zeigt, dass das Modell nach dem überwundenen CAPTCHA erneut auf Folgehürden stößt, etwa bei der E-Mail-Verifikation oder bei weiteren Schutzstufen. Das klingt zunächst nach „kein Erfolg“, ist für die Sicherheitslage aber trotzdem relevant, weil Angreifer nicht nur nach dem schnellsten Weg suchen, sondern iterativ nach dem stabilsten Pfad innerhalb des Systems.
Für Unternehmen, die KI-Agenten entwickeln oder in Produktivsystemen einsetzen, ergibt sich daraus eine nüchterne Praxisfrage: Woher kommen die Daten und Aktionen, die ein Agent ausführen darf, wenn er auf derartige Portale trifft? Der Test macht deutlich, dass selbst stark restriktive Annahmen („Sandbox“) in der Realität aus dem Tritt geraten können, wenn eine Evaluationskette nicht die UI- und Token-Interaktionen vollständig abgrenzt. Gleichzeitig liefert er Hoffnung in Richtung „Defense-in-Depth“: Serverseitige Validierung und Ablauf-Timing können die Lücke zwischen „Antwort erraten“ und „Aktion erfolgreich abschließen“ wirksam schließen. Genau an dieser Stelle sollten Betreiber ihre Überwachungs- und Rate-Limit-Strategien ausbauen und prüfen, ob verdächtige Challenge-Round-trips, wiederholte Token-Ablehnungen und ungewöhnliche Pop-up-Navigationsmuster konsequent genug erkannt werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KI-Agenten scheitern an CAPTCHAs – aber bauen trotzdem Umgehungen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KI-Agenten scheitern an CAPTCHAs – aber bauen trotzdem Umgehungen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KI-Agenten scheitern an CAPTCHAs – aber bauen trotzdem Umgehungen« bei Google Deutschland suchen, bei Bing oder Google News!