LONDON (IT BOLTWISE) – Forschende zeigen, wie offene Android-Agent-Frameworks mithilfe von nahezu unsichtbarem Text aus Screenshots Befehle auf den Host-PC durchreichen können. Dafür reicht ein präpariertes App-Verhalten, das über ADB getippte Kommandos aus dem Modell heraus ausführt. Entscheidend ist dabei weniger die KI selbst als die fehlende Absicherung in den Kontroll- und Input-Pfaden. Für Teams, die solche Agenten in Tests oder Produktivumgebungen nutzen, entsteht damit ein konkretes Risiko-Bild für Angriffsketten über Dateipfade, Overlay-Tricks und Broadcast-Mechanismen.
Android-Agenten aus Open-Source-Bausteinen versprechen oft „hands-off“ Abläufe: Das Gerät beobachtet Inhalte, plant nächste Schritte und führt sie aus – häufig über ADB-unterstützte Steuerpfade, die als Brücke zwischen KI-Entscheidung und Systemaktionen dienen. Genau an dieser Brücke setzt die aktuelle Sicherheitsanalyse an. Die Forschenden demonstrieren mehrere Angriffsketten, bei denen ein Android-Ausschnitt, der für das menschliche Auge unsichtbar bleibt, trotzdem als Textsignal in die KI-Eingabe wandert. Von dort landet er – je nach Framework – als Eingabezeile oder als OS-Kommando in der Host-Umgebung, die den Agenten über ein laufendes Setup auf dem PC steuert.
Technisch betrachtet ist die Schwachstelle weniger „Prompt Injection“ im luftleeren Raum, sondern eine klassische Unzulänglichkeit in der Umsetzung: In mindestens einem untersuchten Framework wird ein Modell-Output nahezu direkt in die ADB-Shell eingebettet. Im Detail läuft es so, dass ein Controller den ADB-Befehl über einen Shell-Interpreter startet und dabei die Textdaten ohne hinreichende Sanitization als Parameter an adb shell input text übergibt. Dadurch reichen bereits Metazeichen aus, um den vom Modell gelieferten Inhalt nicht als reinen Text, sondern als potenziell ausführbaren Shell-Fragmentstrom zu interpretieren. Der Weg „Screenshot-Text → Modell → Shell-Kommando“ wirkt deshalb so plausibel, weil der Codepfad am Ende eine „Shell-first“-Entscheidung trifft, obwohl der Anfang als reines Wahrnehmungsproblem gedacht war.
Die Analyse erweitert das Bild um mehrere Pfade, die jeweils an unterschiedlichen Stellen des Agenten-Stacks angreifen. Ein Kernproblem ist der Umstand, dass einige Frameworks erst lokal auf dem Gerät ein PNG erzeugen und danach per ADB in separaten Schritten auslesen. Zwischen „Datei schreiben“ und „Datei holen“ entsteht ein Zeitfenster (TOCTOU-ähnlich), in dem ein Hintergrundprozess die Bilddatei ersetzen oder verfälschen kann. Die Forschenden quantifizieren diese Lücke über alle fünf untersuchten Agenten-Frameworks: In ihren Messungen liegen die Zeitabstände je nach Framework zwischen 50 und 500 Millisekunden, mit einem Mittelwert um 210 Millisekunden über 100 Läufe. In einem Teil der Fälle führt diese Manipulation in nahezu allen Versuchen dazu, dass der Agent die veränderte Bildinformation verarbeitet. Zusätzlich wird die Bildmanipulation durch Overlay-basierte Täuschung gestützt: Eine unscheinbare, nur mit sehr geringer Deckkraft gerenderte Meldung kann ein „Warte“ oder „Sync läuft“-Narrativ erzeugen und damit genau den Moment verlängern, in dem das Dateiexfiltrationsfenster offen bleibt.
Besonders riskant wird es, wenn die Agentenmodelle selbst unsichtbare Inhalte zuverlässig „lesen“. In den Labortests erkennen die sechs geprüften Vision-Modelle in einer großen Mehrzahl der Versuche Text, der mit 2%-Deckkraft in den Screenshots steht. Das Ergebnis ist im Kontext wichtig: Die Erkennungsquote steigt nicht linear, wenn der Text sichtbarer gemacht wird, weil die Tests bereits am oberen Rand der jeweiligen Modellleistung beginnen. Damit kippt das Security-Verständnis: Was für Menschen visuell nicht auftaucht, kann für die Pipeline praktisch gleichwertig sein. Neben reinen Overlay-Tricks zeigen die Forschenden auch Hardware-nahe Effekte: Smartphones runden Gehäuseseiten ab und schneiden Kameraaussparungen aus, aber der Frame Buffer bleibt typischerweise rechteckig. Pixel, die unter dem sichtbaren Rahmen liegen, landen dennoch im Screenshot, sodass ein Angreifer kurze, versteckte Payloads in diese Randbereiche platzieren kann. In einem Beispiel auf einem Pixel-Gerät entspricht das in einer Ecke einem Bereich von rund 78 „verdeckten“ Pixeln, genug für einen kurzen Befehl, und alle fünf Agenten-Frameworks lesen solche Payloads aus.
Daneben existieren Angriffsvarianten, die nicht auf Stealth angewiesen sind, sondern auf der Logik der User-Interaktion. Über Barrierefreiheitsdienste kann eine gefälschte Eingabeoberfläche eingeblendet werden, auf die der Agent dann Nutzeranmeldedaten eintippt. In den Versuchen zögert die Agenten-Pipeline bei unerwarteten Passwort-Prompts offenbar nicht, und die Attacken funktionieren über 100 Trials hinweg gegen alle fünf betroffenen Frameworks. Noch deutlicher wird der Unterschied zu „klassischer Sicherheit“, wenn man auf Broadcast-Mechanismen schaut: Ein untersuchtes Setup nutzt eine Broadcast-Route für Textinput (ein Testautomation-Tool, das Eingaben über einen impliziten Broadcast empfängt). Das ist zwar dokumentierte Funktionalität – aber genau diese Kopplung verwandelt ein Test-Subsystem in produktionsrelevanten Eingabehebel. Andere Frameworks nutzen ADB-Eingabevarianten mit eingeschränkter Zeichenauswahl, aber auch das löst das Problem nicht vollständig, sondern verlagert es: Unterschiedliche Implementierungen erzeugen verschiedene Failure Modes, etwa dass Nicht-ASCII-Zeichen in Einzelzeichenfolgen aufgeteilt und über einen anderen ADB-Pfad gesendet werden.
Entscheidend ist für die Praxis die Frage: Was wäre eine echte Abwehr, und was nur „Schadensbegrenzung“? Zwei der untersuchten Frameworks gelten in der Analyse als näher an „richtig“: Ein Agent streamt Screenshots über einen Exec-out-Pfad und vermeidet damit ein Geräteseitiges Datei-Race; ein anderer übergibt ADB-Parameter als Listen, wodurch Shell-Metazeichen als literale Inhalte behandelt werden statt als auswertbarer Shell-Text. Für Teams mit eigenen Agenten-Implementierungen wird daraus eine klare Prioritätenliste: Shell-Interpreter aus dem Eingabepfad entfernen (insbesondere das Vermeiden von shell=True), Screenshots direkt als Stream statt als schreib- und tauschbaren Dateipfad bereitstellen, Broadcast-Mechanismen mit strikten Berechtigungen absichern oder durch explizite Intents ersetzen, und zudem die Vordergrund-App vor und nach jeder Aktion vergleichen und nur eine Paket-Allowlist für erwartete Zielanwendungen zulassen. Auch Kontrastverbesserung vor der Modellwahrnehmung kann das Risiko reduzieren, wird in der Analyse jedoch explizit als unzureichend betrachtet, weil es nicht gegen Täuschung über Overlays, nicht gegen UI-Spoofing und nicht gegen Screenshot-Tampering im Kern wirkt.
Unbequem ist zudem, dass ein „Bestätigungsprompt“ nicht gegen alle Ketten hilft. Wenn die Attacke den Agenten dazu bringt, eine Aktion bereits in seiner eigenen Wahrnehmungslogik für „nicht sensibel“ zu halten, ist der Bestätigungsmechanismus wirkungslos – denn es existiert keine zu bestätigende Benutzeraktion, um die Textmanipulation zu stoppen. Genau in diesem Punkt verschiebt sich der Fokus von der Modell-Interpretation hin zur Ausführungsumgebung. Zusätzlich berichten die Forschenden, dass mehrere dieser Angriffe echte Voraussetzungen benötigen: eine bereits installierte App, ein laufender Agent im „mid-task“-Zustand sowie aktivierte USB- oder Wireless-Debugging-Modi. Für Security-Teams heißt das: Das Risiko ist nicht „jederzeit aus dem Nichts“, aber in realistischen Betreiber-Szenarien kann die Hürde sehr niedrig sein, sobald Debug-Zugriff und die passenden Agentenpfade aktiv sind. Eine weitere Variante zeigt, dass sich Payloads auch ohne Installation einer bösartigen App über Bilddaten als Träger in Chrominanzkanälen platzieren lassen – und der betroffene Agent dann im Rahmen seiner eigenen Screenshot-Funktion den Inhalt „herausliest“.
Die Branche kennt diese Muster längst aus der Prompt-Injection-Literatur, aber die vorliegende Analyse ergänzt eine letzte, oft übersehene Stufe: nicht nur „Modell bekommt falsche Anweisungen“, sondern „Modelloutput gelangt in einen Host-Ausführungsmechanismus“. In der Praxis bedeutet das: Wenn KI-Agenten über Debug-Interfaces, Broadcasts oder Shell-Aufrufe in Systemaktionen übersetzen, ist die KI-Entscheidungslogik kein Sicherheitsboundary. Offene Frameworks können schneller iterieren und mehr Transparenz bieten, aber sie bringen auch häufiger vorkonfigurierte „Bequemlichkeitswege“ mit, die in einer echten Bedrohungslandschaft zur Angriffsfläche werden. Für die Verantwortlichen in der KI-Entwicklung und in Plattform-Teams führt das zu einer sehr konkreten Konsequenz: Der größte Hebel liegt nicht im Training besserer Modelle, sondern in der Härtung der Input- und Ausführungspfade – vom Screenshot-Transport bis zur ADB-Befehlssemantik.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Unsichtbarer Text und Screenshot-Payloads: Open-Source Android-KI-Agenten riskieren Code auf Host-PCs" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Unsichtbarer Text und Screenshot-Payloads: Open-Source Android-KI-Agenten riskieren Code auf Host-PCs" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Unsichtbarer Text und Screenshot-Payloads: Open-Source Android-KI-Agenten riskieren Code auf Host-PCs« bei Google Deutschland suchen, bei Bing oder Google News!