KI-Browser sind das nächste große Ziel für Hacker

KI-Browser wie Atlas von OpenAI und Comet von Perplexity versprechen Komfort. Aber sie bringen erhebliche Cybersicherheitsrisiken mit sich und bilden einen neuen Spielplatz für Hacker.

KI-gestützte Webbrowser konkurrieren mit traditionellen Browsern wie Google Chrome und Brave und zielen darauf ab, Milliarden von täglichen Internetnutzern anzuziehen.

Vor einigen Tagen veröffentlichte OpenAI Atlas, während Perplexitys Comet seit Monaten verfügbar ist. KI-gestützte Browser können durch Seiten tippen und klicken. Benutzer können ihm sagen, einen Flug zu buchen, E-Mails zusammenzufassen oder sogar ein Formular auszufüllen.

Im Grunde sind KI-gestützte Browser so konzipiert, dass sie als digitale Assistenten agieren und autonom im Web navigieren. Sie werden als der nächste große Schritt in der Online-Produktivität gefeiert.

Sicherheitsforscher weisen auf Mängel in KI-Browsern hin

Die meisten Verbraucher sind sich der Sicherheitsrisiken, die mit der Nutzung von KI-Browsern einhergehen, nicht bewusst. Solche Browser sind anfällig für ausgefeilte Hacks durch ein neues Phänomen namens Prompt-Injektion.

Hacker können KI-Webbrowser ausnutzen, auf die angemeldeten Sitzungen der Benutzer zugreifen und unbefugte Aktionen durchführen. Zum Beispiel können Hacker auf E-Mails, Social-Media-Kontole zugreifen oder sogar Bankdetails einsehen und Gelder bewegen.

Laut aktueller Forschung von Brave können Hacker versteckte Anweisungen in Webseiten oder sogar Bildern einbetten. Wenn ein KI-Agent diesen Inhalt analysiert und die versteckten Anweisungen sieht, kann er dazu gebracht werden, sie auszuführen, als wären es legitime Benutzerbefehle. KI-Webbrowser können nicht zwischen echten und gefälschten Benutzeranweisungen unterscheiden.

Brave-Ingenieure experimentierten mit Perplexitys Comet und testeten dessen Reaktion auf Prompt-Injektion. Comet verarbeitete unsichtbaren Text, der in Screenshots versteckt war. Dieser Ansatz ermöglicht es Angreifern, Browser-Tools zu steuern und Benutzerdaten mühlos zu extrahieren.

Brave-Ingenieure nannten diese Schwachstellen eine „systemische Herausforderung für die gesamte Kategorie der KI-gestützten Browser“.

Prompt-Injektion ist schwer zu beheben

Sicherheitsforscher und Ingenieure sagen, dass Prompt-Injektion schwer zu beheben ist. Das liegt daran, dass KI-Modelle nicht verstehen, woher Anweisungen stammen. Sie können nicht zwischen echten und gefälschten Prompts unterscheiden.

Traditionelle Software kann zwischen sicherer Eingabe und schädlichem Code unterscheiden, aber Large Language Models (LLMs) haben damit Schwierigkeiten. LLMs verarbeiten alles, einschließlich Benutzeranfragen, Website-Text und sogar versteckte Daten, und behandeln es als einen großen Gesprächsverlauf.

Deshalb ist Prompt-Injektion gefährlich. Hacker können leicht gefälschte Anweisungen in Inhalten verstecken, die sicher aussehen, und sensible Informationen stehlen.

KI-Unternehmen geben zu, dass Prompt-Injektion eine ernsthafte Bedrohung ist

Perplexity erklärte, dass solche Angriffe nicht auf Code oder gestohlenen Passwörtern basieren, sondern den „Denkprozess“ der KI manipulieren. Das Unternehmen hat mehrere Verteidigungsschichten um Comet herum aufgebaut, um Prompt-Injektionsangriffe zu stoppen. Es verwendet Machine-Learning-Modelle, die Bedrohungen in Echtzeit erkennen, und hat integrierte Guardrail-Prompts, die die KI auf die Benutzerabsicht fokussiert halten. Darüber hinaus erfordert der Browser eine obligatorische Benutzerbestätigung für sensible Aktionen wie das Senden einer E-Mail oder den Kauf eines Artikels.

Sicherheitsforscher sind der Ansicht, dass KI-gestützte Browser nicht mit sensiblen Konten oder persönlichen Daten vertraut werden sollten, bis größere Verbesserungen umgesetzt sind. Benutzer können KI-Webbrowser weiterhin nutzen, jedoch ohne Zugriff auf Tools, mit deaktivierten automatisierten Aktionen und sollten sie vermeiden, wenn sie bei Bankkonten, E-Mails oder Gesundheits-Apps angemeldet sind.

Der Chief Information Security Officer (CISO) von OpenAI, Dane Stuckey, erkannte die Gefahren von Prompt-Injektion an und schrieb auf X: „Ein aufkommendes Risiko, das wir sorgfältig erforschen und abschwächen, sind Prompt-Injektionen, bei denen Angreifer bösartige Anweisungen in Websites, E-Mails oder anderen Quellen verstecken, um den Agenten dazu zu bringen, sich auf ungewollte Weise zu verhalten.“

Er erklärte, dass das Ziel von OpenAI darin besteht, Menschen dazu zu bringen, „ChatGPT-Agenten zu vertrauen, Ihren Browser zu nutzen, genau wie Sie Ihren kompetentesten, vertrauenswürdigsten und sicherheitsbewussten Kollegen oder Freund vertrauen würden“. Stuckey sagte, das Team bei OpenAI „arbeite hart daran, das zu erreichen.“