Warum sind KI-Browser-Agenten so verwundbar?

Sicherheitsforscher decken ständig auf, wie sich KI-Browser-Agenten wie der neue Atlas-Browser von OpenAI durch Prompt-Injection und Datenexfiltration hacken lassen. Das bedeutet, dass eine Website einen KI-Assistenten unbemerkt dazu verleiten kann, Dinge in Ihrem Namen zu tun – etwa Cookies zu kopieren, Ihre E-Mails zu lesen oder auf schädliche Links zu klicken –, ohne dass Sie davon wissen. Die normalen Sicherheitsregeln des Internets gelten hier nicht. Wenn ein KI-Agent in Ihrem Namen handelt, während Sie angemeldet sind, könnte er Geld überweisen, E-Mails versenden oder auf sensible Unternehmensdaten zugreifen – und das alles nur aufgrund eines einzigen cleveren Prompts.

Ein von Brave veröffentlichter Bericht weist auf zentrale Probleme hin. Dazu gehört beispielsweise Prompt-Injection über Screenshots: Versteckter Text in Bildern kann von der KI im Browser als Befehl statt als Inhalt gelesen werden. Dadurch können böswillige Akteure unsichtbare Anweisungen einschleusen. Ein weiteres Problem ist die navigationsbasierte Injection: Es genügt, die KI zu bitten, eine Website zu öffnen. Anschließend übermittelt sie den Text dieser Seite an das Modell, als stamme er von Ihnen, wodurch sich der weitere Ablauf verändert. Das systemische Problem bei verschiedenen KI-Browsern besteht darin, dass die Grenze zwischen den Aussagen des Nutzers und den Inhalten der Website häufig verschwimmt, was Manipulationen Tür und Tor öffnet.

Die Forschung von Brave zeigt, dass diese Schwachstellen systemischer Natur sind und mehrere KI-Browser betreffen. Beim Atlas-Browser von OpenAI wurden beispielsweise Angriffe demonstriert, bei denen die KI versteckte Anweisungen ausführte, die in kaum sichtbarem Text verborgen waren. Ebenso bleibt Comet von Perplexity auch nach Behebungsversuchen anfällig. Forscher warnen, dass Nutzer Geld verlieren könnten, wenn Angreifer ihre Anmeldedaten missbrauchen.

Microsoft und seine Neuerungen im KI-Bereich

Im Zusammenhang mit Screenshots hat Microsofts neuer Gaming Copilot weitere Bedenken ausgelöst, da er zur Kontextgewinnung Screenshots des Spielgeschehens erstellt. Microsoft erklärt, dies diene einem besseren Verständnis der Spiele und nicht dem Training neuer Modelle. Nutzer beklagen, wie schwierig es ist, diese Funktion zu deaktivieren. Die Funktion sammelt Daten aus Spielinhalten, wodurch sich die Risiken für die Datensicherheit erhöhen.

Gleichzeitig sind sich Anleger über die tatsächlichen wirtschaftlichen Aspekte der Partnerschaft zwischen Microsoft und OpenAI weiterhin im Unklaren. Eine neue Kolumne im WSJ fordert transparentere Finanzangaben, und Kommentatoren auf Hacker News argumentieren, dass entscheidende Details in unklaren Posten oder weit gefassten Kategorien wie „other, net“ verborgen sind. Das Ergebnis ist, dass niemand weiß, wie viel Risiko, Engagement oder Gewinn tatsächlich zwischen den beiden Unternehmen fließt, falls das gesamte KI-Vorhaben scheitern sollte.

Microsoft gab nach der Umstrukturierung von OpenAI kürzlich einen Anteil von 27 % an OpenAI bekannt, der mit 135 Milliarden US-Dollar bewertet wird. Die Partnerschaft umfasst eine Verpflichtung über 250 Milliarden US-Dollar für Azure-Cloud-Dienste und verlängert Microsofts Rechte an den Modellen von OpenAI bis 2032. Microsoft wies in seinem Jahresbericht Kosten in Höhe von 4,7 Milliarden US-Dollar im Zusammenhang mit OpenAI aus, doch Kritiker verweisen auf den Mangel an detaillierten Aufschlüsselungen oder Bewertungen, was die Zweifel an der Transparenz verstärkt.

Wie lassen sich diese Probleme lösen?

All diese Fälle deuten auf eine wachsende „Vertrauenssteuer für KI“ hin. Die Vorfälle verdeutlichen, wie die Nutzererfahrung mit Agenten den Systemen vorauseilt, die sie absichern oder erklären sollen. Auf Produktseite benötigen Agenten stärkere Berechtigungssysteme und klarere Grenzen – siehe domänenspezifische Tests wie den neuen MLEB für juristische Embeddings –, bevor Unternehmen ihnen die Schlüssel zu Browsern oder internen Daten übergeben.

Auf Marktseite ist es unmöglich, das tatsächliche Risiko zu bewerten, wenn Unternehmen weiterhin massiv in KI investieren, während die finanziellen Details unklar bleiben. Sind die Gewinne real? Sind die Sicherheitskosten berücksichtigt? Wer zahlt, wenn etwas schiefgeht? Bislang haben wir noch keinen legitimen Fall zur KI-Sicherheit erlebt, der bis auf die höchsten Ebenen der rechtlichen Kontrolle eskaliert wurde, um ihn im Licht des Gesetzes zu prüfen, wie es etwa ein Oberstes Gericht tun würde. Bis dies geschieht, muss der Markt diese Angelegenheiten selbst regeln.

Wenn Agenten beispielsweise leicht missbraucht werden können, werden Unternehmen absolut sichere Berechtigungen, Herkunftsnachweise und überprüfbare Evaluationen verlangen. Dies verursacht reale Kosten und könnte die Margen verringern. Und wenn die Offenlegung von Risiken hinterherhinkt, können Anleger diese Kosten (Sicherheitsteams, Red-Teaming, Entschädigungen) oder Verbindlichkeiten (Datenlecks, Kontoübernahmen) nicht berücksichtigen, wodurch sich die Kluft zwischen der Erzählung und den GAAP-Zahlen vergrößert.

Kurzfristig gibt es einfache Lösungen für Web-Agenten: Halten Sie das Browsen durch die KI vom normalen Browsen getrennt, stellen Sie sicher, dass Nutzer ausdrücklich zustimmen, bevor ein Agent Websites besucht oder E-Mails liest, und machen Sie Sicherheit zur Standardeinstellung.

Für Entwickler bedeutet dies Browsen in einer Sandbox (Isolierung der Aktionen des Agenten), Positivlisten (Zugriff ausschließlich auf genehmigte Websites) und klare Aktivitätsprotokolle. Für Plattformen bedeutet es, Nutzern gut sichtbare Schalter bereitzustellen und anzuzeigen, welche Daten erfasst wurden, wann die Funktion aktiv ist und wie sie sich vollständig deaktivieren lässt.

Auf geschäftlicher Seite müssen Unternehmen wie Microsoft letztlich nicht nur zeigen, was sie mit KI verdienen, sondern auch, wie die Einnahmen durch das System fließen: von der Vermietung von GPUs über den Verkauf des Zugangs zu Modellen bis hin zur Bündelung von Copilot-Lizenzen. So können wir erkennen, ob KI echtes Wachstum erzeugt oder lediglich das Ergebnis kreativer Buchführung ist. Oder, wie wir es ausdrücken: ob wir eine echte „künstliche allgemeine Intelligenz“ aufbauen ... oder lediglich eine „künstliche allgemeine Inflation“.