Prompt Injection: Neue Angriffsvektoren gefährden AI-Agents und Browser

Sicherheitsforscher demonstrieren eine wachsende Klasse von Prompt-Injection-Attacken, die KI-Browser und AI-Agents systematisch aushebeln. Das Kernproblem: Diese Systeme können nicht zwischen harmlosen Eingaben und versteckten Anweisungen unterscheiden — mit direkten Folgen für Datensicherheit und Compliance.

LayerX stellte mit "BioShocking" eine Technik vor, die laut The Hacker News AI-Browser dazu bringt, echte Sicherheitsrisiken als fiktive Szenarien zu behandeln. Das Prinzip ist einfach: Wenn ein LLM glaubt, in einem "Spiel" zu agieren, umgeht es standardmäßig aktivierte Schutzmaßnahmen und handelt aus — etwa durch Credential-Leaks oder unerlaubte Datenzugriffe. Sechs verschiedene AI-Browser fielen dieser Manipulation zum Opfer. Parallel warnt Microsoft-Forschung vor "Agentjacking" durch vergiftete Tool-Beschreibungen: Attacken injizieren falsche Anweisungen direkt in die Metadaten von Funktionen, die AI-Agents nutzen, um automatisch Aufgaben auszuführen. Das Resultat sind Datenlecks ohne klassisches Prompt-Injection-Symptom.

Wissenschaftler an der arXiv dokumentieren ein fundamentales Dilemma: Wirksame Abwehrmaßnahmen gegen indirekte Prompt Injection unterdrücken gleichzeitig die Fidelity von LLM-Antworten — ein Trade-off, den viele Systeme nicht zu akzeptieren bereit sind. Das bedeutet: Vollständiger Schutz kostet Funktionalität.

Relevanz für DACH-Unternehmen: Alle drei Szenarien — AI-Browser, agentenbasierte Automation, Tool-Integration — sind im deutschsprachigen Mittelstand zunehmend im Einsatz. Unter DSGVO und EU-AI-Act wird jeder Datenleak zur Meldepflicht innerhalb von 72 Stunden. Besonders kritisch: Diese Attacken hinterlassen keine traditionellen Logs und sind oft erst nach Tagen erkennbar. Firmen, die LLMs in automatisierten Prozessen einsetzen — etwa für HR-Datenverarbeitung oder Kundenservices — sollten ihre Systeme systematisch auf diese neuen Vektoren testen.

Praktischer Schritt: Integriert KI-Sicherheit in euer Pentesting-Programm. Das bedeutet konkret: Testet eure AI-Agents mit "reality-confusion"-Eingaben — bewusst falsche Rahmenbedingungen, die das System in gefährliche Aktionen treiben sollen. Dokumentiert jede erfolgreiche Injection als kritisches Finding. Für LLM-Apps brauchst du strukturierte Safety-Pipelines — Input-Validierung reicht nicht mehr. Die 50-Punkte-Red-Team-Checkliste deckt genau diese Szenarien ab.

Quellen

• arXiv: Security-Fidelity Tradeoffs in Prompt Injection Defense
• The Hacker News: BioShocking Attack Tricks AI Browsers
• The Hacker News: Microsoft Warns Poisoned MCP Tool Descriptions
• Ars Technica: AI Browsers and Guardrail Bypass
• Bleeping Computer: BioShocking Attack Data Theft
• Dark Reading: Agentjacking and AI Coding Agents