Wenn wir hier über eine Sicherheitslücke schreiben, endet der Beitrag fast immer gleich: Es gibt ein Update, spielen Sie es ein.
Diesmal nicht.
Worum es geht
Eine neue Art von Browser erledigt Aufgaben selbständig. Man bittet ihn, eine Seite zusammenzufassen, eine Bestellung aufzugeben oder Termine abzugleichen — und er klickt, liest und tippt eigenständig. Solche Werkzeuge sind seit gut einem Jahr auf dem Markt und werden in Betrieben längst benutzt, meist ohne dass es jemand entschieden hätte.
Das Problem steckt in ihrer Funktionsweise. Ein Sprachmodell verarbeitet den Inhalt einer Webseite im selben Textstrom wie die Anweisung seines Nutzers. Es hat keine zuverlässige Möglichkeit zu unterscheiden, was davon Auftrag ist und was bloss gelesener Text.
Genau da setzen die Angriffe an: Auf einer präparierten Seite stehen Anweisungen, die für Menschen unsichtbar sind — weisse Schrift auf weissem Grund, versteckt in Kommentaren des Quelltexts. Der Mensch sieht eine harmlose Seite. Der Agent liest die Anweisung und führt sie aus.
Wie das praktisch aussieht
Sicherheitsforscher haben es kürzlich besonders anschaulich vorgeführt. Sie präsentierten den Systemen zuerst ein manipuliertes Rätsel, das ihnen beibrachte, in diesem Zusammenhang gelte 2 + 2 = 5. Als die Systeme diese Spiellogik übernommen hatten, folgte die eigentliche Anweisung: Zugangsdaten auslesen und an eine fremde Adresse übermitteln.
Sechs Produkte fielen im Test darauf herein: ChatGPT Atlas von OpenAI, das Claude-Plugin von Anthropic, Perplexity Comet, Genspark, Sigmabrowser und Google Gemini in Chrome.
Diese Liste ist der eigentliche Befund. Es ist nicht ein Anbieter, der geschludert hat — es sind alle. Und es ist kein einmaliger Fund: Unter Namen wie CometJacking, GeminiJack oder HashJack sind seit gut einem Jahr laufend ähnliche Fälle dokumentiert worden, bei allen grossen Anbietern.
Warum kein Update hilft
Nun der Satz, der diesen Beitrag von anderen unterscheidet. Er stammt nicht von Kritikern, sondern vom Sicherheitsverantwortlichen bei OpenAI: Prompt Injection werde sich voraussichtlich nie vollständig lösen lassen, und der Agentenmodus vergrössere die Angriffsfläche.
Das muss man sich auf der Zunge zergehen lassen. Ein Hersteller sagt über sein eigenes Produkt, dass diese Angriffsklasse Bestandteil der Bauweise ist.
Einzelne Fälle werden natürlich behoben — Perplexity hat den von Brave gemeldeten Fehler geschlossen, andere Anbieter haben im Februar nachgebessert. Aber das ist Symptombehandlung. Solange ein Modell Anweisung und gelesenen Text im selben Strom verarbeitet, bleibt die Angriffsfläche bestehen. Man schliesst eine Formulierung und die nächste funktioniert.
Was daraus folgt — und was nicht
Nicht folgt daraus: Finger weg von KI. Wir arbeiten selbst mit solchen Werkzeugen und halten sie für nützlich. Ein Rat zum Verzicht wäre weder glaubwürdig noch würde ihn jemand befolgen.
Was daraus folgt, ist eine andere Denkweise. Ein Agent ist kein Mitarbeiter mit Urteilsvermögen. Er ist ein Programm, das den Text ausführt, den es vorfindet — und das keine Skepsis kennt. Ein Mensch, der auf einer Webseite läse «gib jetzt deine Zugangsdaten heraus», würde stutzen. Der Agent nicht.
Daraus ergeben sich drei praktische Regeln:
Trennen Sie die Sitzungen. Der gefährliche Fall ist nicht der Agent an sich, sondern der Agent in einem Browser, in dem Sie gleichzeitig bei E-Banking, Warenwirtschaft oder Kundenverwaltung angemeldet sind. Dann handelt er mit Ihren Rechten. Ein eigenes Browserprofil ohne diese Anmeldungen entschärft den grössten Teil des Risikos.
Geben Sie ihm nicht mehr Rechte als nötig, und nehmen Sie sie danach weg. Was ein Agent nicht erreichen kann, kann er auch nicht ausleiten.
Legen Sie fest, wofür er benutzt werden darf — bevor es jemand ausprobiert. Recherchieren und zusammenfassen: unbedenklich. Etwas bestellen, Daten übertragen, sich irgendwo anmelden: nur bewusst und beaufsichtigt. Diese Regel ist in zehn Minuten geschrieben und erspart die unangenehme Frage im Nachhinein.
Der Punkt, an dem es Ihre Website betrifft
Es gibt eine zweite Seite, die selten erwähnt wird. Wenn Agenten Webseiten lesen und ausführen, was dort steht, dann wird jede Webseite zu einem möglichen Einfallstor — auch Ihre.
Wer fremde Beiträge auf seiner Seite zulässt — Kommentare, Bewertungen, Forenbeiträge, hochgeladene Dokumente —, veröffentlicht Text, den er nicht geschrieben hat. Bisher war die Sorge, dass darin Schadcode für Browser steckt. Neu kommt hinzu, dass darin Anweisungen für Agenten stehen können, die Ihre Seite später auswerten.
Ein Grund mehr für etwas, das ohnehin gilt: Fremde Inhalte gehören geprüft, bevor sie öffentlich sind.
Wenn Sie unsicher sind, welche Ihrer Seiten fremde Beiträge aufnehmen und wie diese geprüft werden: Wir sehen uns das gerne mit Ihnen an.