OpenAI warnt: KI-Browser bleiben anfällig für nicht lösbare Prompt-Angriffe

Cyberkriminelle brauchen heute nicht immer Schadsoftware, um Systeme zu kompromittieren. Oft reichen gezielt platzierte Worte – und genau davor warnt OpenAI nun offen.

Prompt Injection als dauerhaftes Risiko für KI-Browser

OpenAI räumt in einem aktuellen Blogbeitrag ein, dass sich sogenannte Prompt-Injection-Angriffe vermutlich nie vollständig beseitigen lassen. Dabei werden versteckte Anweisungen in Webseiten, Dokumenten oder E-Mails platziert, die Menschen meist übersehen, KI-Agenten jedoch ausführen. Liest eine KI diese Inhalte, kann sie zu schädlichem Verhalten verleitet werden.

OpenAI vergleicht das Problem mit Betrug und sozialer Manipulation: Man kann das Risiko verringern, aber nicht komplett aus der Welt schaffen. Besonders kritisch sei der „Agentenmodus“ im hauseigenen Browser ChatGPT Atlas, da er die Angriffsfläche vergrößere. Je mehr eine KI eigenständig für Euch erledigt, desto größer ist der mögliche Schaden bei Fehlverhalten.

Der ChatGPT-Atlas-Browser wurde im Oktober gestartet, kurz darauf begannen Sicherheitsexpert:innen mit intensiven Tests. Bereits nach wenigen Stunden zeigten Demonstrationen, dass einige gezielt platzierte Worte in einem Google-Dokument das Verhalten des Browsers beeinflussen können. Am selben Tag veröffentlichte der Browser-Anbieter Brave eine Warnung und bezeichnete indirekte Prompt Injection als strukturelles Problem für KI-Browser, das auch Werkzeuge wie Comet von Perplexity betrifft.

Auch Behörden sehen das als generelle Gefahr: Das Nationale Zentrum für Cybersicherheit im Vereinigten Königreich erklärte kürzlich, dass sich Prompt-Injection-Angriffe gegen generative KI-Systeme wahrscheinlich nie vollständig eindämmen lassen.

OpenAIs Verteidigungsstrategie und automatisierte Angreifer-KI

OpenAI betrachtet Prompt Injection als langfristige Sicherheitsaufgabe, die dauerhaftes Gegensteuern erfordert. Das Unternehmen setzt auf schnellere Update-Zyklen, kontinuierliche Tests und gestaffelte Schutzmechanismen. Damit liegt es grob auf einer Linie mit Anbietern wie Anthropic und Google, die für agentenbasierte Systeme auf architektonische Kontrollen und laufende Stresstests pochen.

In einem Punkt verfolgt OpenAI jedoch einen anderen Ansatz: eine „LLM-basierte automatisierte Angreiferin“. Dafür wurde eine KI trainiert, sich wie ein Hacker zu verhalten. Mithilfe von Verstärkungslernen sucht dieses Angreifer-Bot nach Wegen, schädliche Anweisungen unbemerkt in die Arbeitsabläufe eines KI-Agenten einzuschleusen.

Die Angriffe laufen zunächst in Simulationen. Das System sagt voraus, wie die Ziel-KI wahrscheinlich schlussfolgern würde, welche Schritte sie unternimmt und wo sie scheitern könnte. Auf Basis dieses Feedbacks verfeinert der Bot die Angriffsmuster und versucht es erneut. Da OpenAI Einblick in die interne Entscheidungslogik der KI hat, soll dieses Verfahren Schwachstellen schneller sichtbar machen als reale Angreifer:innen.

Trotz dieser Maßnahmen bleiben KI-Browser unsicher. Sie verbinden zwei Aspekte, die Angreifer:innen besonders schätzen: Autonomie und Zugriff. Anders als klassische Browser zeigen sie nicht nur Inhalte an, sondern lesen E-Mails, scannen Dokumente, öffnen Links und führen Aktionen in Eurem Namen aus. Ein einziges bösartiges Prompt in einer Webseite, einem Dokument oder einer Nachricht kann so das Verhalten der KI beeinflussen, ohne dass Ihr es bemerkt. Selbst mit Schutzmechanismen gilt: Diese Agenten vertrauen massenhaft Inhalten – und genau dieses Vertrauen lässt sich manipulieren.

So könnt Ihr das Risiko bei der Nutzung von KI-Browsern senken

Prompt-Injection-Angriffe lassen sich zwar nicht komplett verhindern, ihr Schaden kann aber durch bewusste Nutzung begrenzt werden. Gebt einem KI-Browser nur Zugriff auf Daten, die er wirklich benötigt. Verknüpft nicht ohne Not Eure Haupt-E-Mail, Cloud-Speicher oder Zahlungsmittel. Je mehr eine KI sehen kann, desto wertvoller wird sie als Ziel. Begrenzte Zugriffe verringern den Schaden, falls etwas schiefgeht.

Erlaubt einem KI-Browser niemals, E-Mails zu versenden, Käufe zu tätigen oder Kontoeinstellungen zu ändern, ohne Euch vorher zu fragen. Bestätigungen unterbrechen lange Angriffsketten und geben Euch Zeit, verdächtiges Verhalten zu erkennen. Viele Prompt-Injection-Angriffe setzen darauf, dass eine KI unbeobachtet im Hintergrund agiert.

Ein Passwortmanager hilft, für jedes Konto ein einzigartiges, starkes Passwort zu verwenden. Falls ein KI-Browser oder eine schädliche Seite ein Kennwort preisgibt, kann es nicht für andere Dienste genutzt werden. Viele Passwortmanager verweigern zudem das automatische Ausfüllen auf unbekannten oder verdächtigen Seiten und warnen Euch so vor möglichen Fallen.

Nützlich ist auch ein Prüfdienst, der Eure E-Mail-Adressen gegen bekannte Datenlecks abgleicht. Wird ein Treffer gemeldet, solltet Ihr betroffene, wiederverwendete Passwörter sofort ändern und diese Konten mit neuen, eindeutigen Kennwörtern absichern. Parallel schützt Sicherheitssoftware vor schädlichen Skripten, unautorisierten Systemänderungen oder verdächtigem Netzwerkverkehr. Moderne Antivirus-Lösungen überwachen Verhaltensmuster und nicht nur Dateien, was bei KI-gestützten oder skriptbasierten Angriffen entscheidend ist.

Wichtig ist zudem, KI-Browser nicht mit zu weit gefassten Anweisungen zu steuern. Sagt nicht einfach „Erledige alles Nötige“, sondern grenzt klar ein, was die KI darf und was nicht. Je präziser Ihr formuliert, desto schwieriger wird es für versteckte Prompts, die Agenten zu manipulieren. Behandelt Aktionen von KI-Browsern als Entwürfe oder Vorschläge und prüft sie, bevor Ihr sie freigebt.

Haltet Eure KI-Browser stets aktuell. Sicherheitsupdates reagieren auf neue Angriffstechniken, und wer sie verzögert installiert, lässt bekannte Schwachstellen länger offen. Automatische Updates sorgen dafür, dass Schutzmaßnahmen greifen, auch wenn Ihr einzelne Ankündigungen überseht.

Der Markt für KI-Browser wächst rasant. Neben OpenAIs Atlas arbeiten auch Dia von The Browser Company und Comet von Perplexity an entsprechenden Lösungen. Gleichzeitig integrieren bestehende Browser wie Chrome und Edge verstärkt KI- und Agentenfunktionen. Trotz potenzieller Vorteile befindet sich die Technologie noch in einer frühen Phase. Es kann sinnvoll sein, den Entwicklungen aufmerksam zu folgen, ohne Euch von der aktuellen Welle überrollen zu lassen.

Via: https://www.foxnews.com
Titelbild: OpenAI / Screenshot

Den Beitrag in unserem Forum kommentieren