Die Sicherheitsfirma LayerX hat eine neue Angriffstechnik namens BioShocking entdeckt, die AI Browser und Assistenten dazu bringt, Benutzerdaten preiszugeben. Das Prinzip ist bemerkenswert einfach: Überzeugt man den AI Browser, dass er ein Spiel spielt, gibt er bereitwillig Anmeldedaten heraus.
Wie der Angriff funktioniert
BioShocking nutzt einen psychologischen Trick: Die Attacke redet dem AI-System ein, es befinde sich in einem gamifizierten Kontext. Unter diesem falschen Eindruck kopieren die betroffenen Browser automatisch Benutzer-Credentials und senden sie an den Angreifer. Die Attacke funktioniert, weil AI-Modelle Context nicht kritisch hinterfragen und Instruktionen aus der Umgebung folgen – besonders wenn sie in einem spielerischen Rahmen präsentiert werden.
Betroffene Systeme
LayerX konnte insgesamt sechs AI Browser und Assistenten kompromittieren, darunter etablierte Anwendungen:
- ChatGPT Atlas (OpenAI)
- Comet (Perplexity)
- Claude Browser Extension (Anthropic)
Das ist bemerkenswert, da diese Systeme von führenden AI-Unternehmen entwickelt wurden, die sich intensiv mit Security beschäftigen.
Das Kernproblem
Die Verwundbarkeit offenbart ein grundsätzliches Design-Problem: AI Browser sind oft zu bereitwillig, Benutzeraktionen auszuführen, wenn sie plausibel formuliert sind. Sie führen Operationen durch, ohne ausreichend zu validieren, ob der Request tatsächlich vom Benutzer stammt oder ob die Situation vertrauenswürdig ist.
Das Problem ist nicht neu – ähnliche Angriffsmuster gab es bereits bei ChatGPT-Plugins. Aber BioShocking zeigt, dass auch neuere Browser-Integration anfällig bleibt.
Implikationen
Die Attacke unterstreicht, dass AI Browser eine kritische Schnittstelle zwischen Modell, Benutzer und sensiblen Systemen darstellen. Hier müssen stärkere Sicherheitsmechanismen gelten:
- User Confirmation: Sensible Operationen sollten explizite Benutzerbestätigung erfordern
- Context Validation: Das System sollte den legitimaten Context überprüfen
- Sandboxing: Browser sollten mit eingeschränkten Berechtigungen laufen
- Logging: Jede Credential-Aktivität sollte protokolliert werden
Nächste Schritte
LayerX hat die betroffenen Unternehmen informiert. Die Hersteller müssen nun schnell reagieren und ihre Browser-Implementierungen gegen diese Attackvektoren absichern. Gleichzeitig sollten Nutzer vorsichtig sein: Auch von vertrauenswürdigen AI-Tools sollte man keine Login-Daten preisgeben, besonders nicht wenn das System in Spielen oder Tests arbeitet.
Das zeigt wieder einmal: Auch bei AI-Tools gelten klassische Security-Prinzipien – und sie dürfen nicht mit der Komplexität moderner Systeme vergessen werden.
