Eine neue Art von Prompt-Injection-Angriff zeigt, warum beim Zugriff von KI-Assistenten auf Browser, Code-Tools und private Daten besondere Vorsicht geboten ist.
KI-Forscher beschreiben „Kryptografische Kontextinjektion“ – einen Angriff, bei dem schädliche Anweisungen in verschlüsselten Daten versteckt werden. Die KI wird dann dazu gebracht, diese Daten mithilfe ihres eigenen Code-Ausführungswerkzeugs zu entschlüsseln. Dadurch kann die KI den resultierenden Text als vertrauenswürdige interne Information behandeln.
Eine Prompt-Injektion ist vergleichbar mit dem Einfügen einer gefälschten Anweisung in ein Dokument, die ein KI-Assistent lesen soll. Anstatt nur der Anfrage des Nutzers zu folgen, kann der Assistent dazu verleitet werden, Anweisungen eines Angreifers auszuführen, die in einer Webseite, E-Mail oder Datei versteckt sind.
Wie wir bereits vor Monaten berichteten , warnen Experten davor, dass Prompt-Injection-Angriffe ein Problem darstellen, das möglicherweise nie vollständig gelöst werden kann. Prompt-Injection funktioniert, weil KI-Modelle nicht zuverlässig zwischen legitimen Anweisungen und den Anweisungen eines Angreifers unterscheiden können und daher manchmal die falschen Anweisungen befolgen.
Um dieses Risiko zu reduzieren, statten KI-Anbieter ihre Modelle mit Schutzmechanismen aus: Diese sollen verhindern, dass KI-Systeme Dinge tun, die sie nicht tun sollten, sei es absichtlich oder unabsichtlich.
Die Forscher fanden heraus, dass sich schädliche Anweisungen durch Verschlüsselung vor einigen KI-Schutzmechanismen verbergen lassen. Die KI selbst könnte dann mithilfe ihrer Codierungswerkzeuge dazu gebracht werden, diese Anweisungen zu entschlüsseln.
Als die Anweisungen lesbar wurden, hatten sie die ersten Sicherheitsprüfungen bereits passiert. Die KI konnte sie dann fälschlicherweise für legitime Anweisungen halten und ihnen folgen.
Es ist so ähnlich, als würde man Schadcode in einer Sprache verstecken, die das Sicherheitssystem nicht versteht. Die KI übersetzt ihn erst, nachdem er die Sicherheitsprüfungen bestanden hat, und kann ihn dann ausführen.
Die Forscher testeten ihre Methode an zwei KI-Systemen mit unterschiedlichen Ergebnissen. Bei Grok konnte der Angriff laut den Forschern Informationen wie den Namen des Nutzers, seinen ungefähren Standort, sein Abonnement und seinen Gesprächsverlauf stehlen. Bei Gemini nutzten sie die Technik, um Sicherheitsvorkehrungen zu umgehen und Inhalte zu generieren, die das Modell normalerweise nicht erstellen würde.
„In Grok stiehlt eine gewöhnliche ‚Seite zusammenfassen‘-Funktion ohne Klick oder Warnung die Chatdaten des Nutzers. In Gemini wird Inhalt generiert, den das Model normalerweise ablehnt. Beide Systeme arbeiten mit Live-Produktion.“
Die Forscher gaben keine vollständigen Details bekannt, da xAI nach der Meldung des Fehlers in Grok im Juni 2026 keine Maßnahmen ergriffen hatte. Gemini hingegen hat zwar Verbesserungen vorgenommen, die Sicherheitslücke aber noch nicht vollständig geschlossen.
Wie man sicher bleibt
Ein KI-Assistent kann hilfreich sein, aber man sollte ihm nicht automatisch sensible Daten oder leistungsstarke Werkzeuge anvertrauen.
- Seien Sie vorsichtig mit KI-Zusammenfassungen unbekannter Webseiten, Dokumente und geteilter Links, insbesondere wenn der Assistent Code durchsuchen oder ausführen kann.
- Fügen Sie keine Passwörter, Wiederherstellungscodes, API-Schlüssel, Finanzinformationen oder sensible Gesundheits- und Arbeitsdaten in KI-Chats ein, es sei denn, Sie verstehen, wie mit diesen Informationen umgegangen wird.
- Überprüfen Sie die verbundenen Tools und Berechtigungen eines KI-Assistenten. Entfernen Sie unnötige Zugriffsrechte, insbesondere für E-Mail, Cloud-Speicher, Quellcode-Repositories und externe Integrationen.
- Seien Sie skeptisch, wenn ein KI-Tool Sie im Rahmen einer scheinbar alltäglichen Aufgabe auffordert, Daten zu entschlüsseln, zu dekodieren, ein Skript auszuführen, einen neuen Link zu öffnen oder Daten hochzuladen.
- Halten Sie Browser und KI-Anwendungen auf dem neuesten Stand und beachten Sie die Sicherheitshinweise der Hersteller, wenn Sie Funktionen wie Browsing, autonome Agenten oder Codeausführung nutzen.
- Verwenden Sie eine aktuelle Echtzeit -Antimalware-Lösung, um schädliche Downloads und verdächtige Verbindungen zu erkennen und zu blockieren.
Stimmt da etwas nicht? Überprüfen Sie es, bevor Sie klicken.
Mit Malwarebytes Guardkönnen Sie verdächtige Links, Texte und Screenshots sofort überprüfen.
Erhältlich mitMalwarebytes Premium für alle Ihre Geräte sowie in derMalwarebytes für iOS Android.
