KI-Browser plaudern Passwörter aus

Ein simpler Denkfehler reicht offenbar aus, damit KI-gestützte Browser vertrauliche Informationen preisgeben. Sicherheitsexperten von LayerX haben eine Angriffsmethode dokumentiert, bei der die smarten Helfer für einen Moment vergessen, wo die Wirklichkeit endet und ein Spiel beginnt.

Vom Zahlenrätsel zum Datenklau

Alles beginnt mit einer präparierten Webseite, auf der ein vermeintliches Denksportspiel wartet. Ein Nutzer bittet seinen KI-Agenten, dieses Rätsel zu lösen. In der ersten Aufgabe verlangt das Spiel die Behauptung, zwei plus zwei ergebe fünf. Trägt der Agent die richtige Lösung ein, erscheint eine Rückmeldung, die den Sieg als Niederlage umdeutet. Die meisten Modelle beginnen zu grübeln und schließen daraus, dass hier bewusst nach einer falschen Antwort verlangt werde. Ab diesem Punkt hat der Angreifer gewonnen. Sobald der Agent die verdrehte Logik akzeptiert, verlässt er die üblichen Sicherheitsregeln. Das Spiel verlangt anschließend, eine bestimmte Adresse aufzurufen und den dort abgelegten Inhalt in ein Eingabefeld einzufügen. Im Versuchsaufbau landete der Agent bei SSH-Zugangsdaten. In der Praxis wären auch offene Tabs, private Repositories oder interne Werkzeuge eines Unternehmens leichte Beute.

Betroffene Browser und Reaktionen

Die Methode trägt den Namen Bioshocking, in Anlehnung an den Ego-Shooter aus dem Jahr 2007. Betroffen zeigten sich mehrere prominente KI-Browser, darunter ChatGPT Atlas, Perplexity Comet, Fellou, Genspark Browser, Sigma Browser sowie das Claude-Plugin für Chrome. OpenAI hat bei Atlas Vorkehrungen getroffen, Anthropic lieferte einen Patch, der die Lücke jedoch nicht vollständig schloss. Perplexity legte den Fall ohne Lösung zu den Akten. Von den übrigen Anbietern kam keine Rückmeldung. Nutzer sollten vor Einsatz alle nicht benötigten Dienste abmelden und dem Agenten nach getaner Arbeit die Rechte wieder entziehen.