Die Browserlandschaft befindet sich in einem rasanten Umbruch hin zu sogenannten agentischen KI-Browsern. Anwendungen wie der ChatGPT Atlas von OpenAI, Perplexity Comet oder Googles Integration von Gemini in Chrome sind nicht mehr nur darauf beschränkt, Webseiten darzustellen. Diese Browser verfügen über agentische Fähigkeiten, die es ihnen ermöglichen, Aufgaben eigenständig auszuführen. Dazu zählen das Zusammenfassen von Texten über mehrere Tabs hinweg, das Vergleichen von Produktdaten oder das Hinzufügen von Artikeln in den Warenkorb. Während diese Funktionen die Produktivität steigern können, eröffnen sie gleichzeitig durch ihre oft tiefgreifenden Zugriff auf authentifizierte Nutzersitzungen erhebliche Sicherheits- und Datenschutzrisiken.
BioShocking-Schwachstelle als Bedrohung für KI-Agenten
Die Sicherheitsforscher von LayerX haben eine Schwachstelle identifiziert, die sie in Anlehnung an ein bekanntes Videospiel BioShocking getauft haben. Das Kernproblem liegt darin, dass KI-Modelle darauf vertrauen, dass ihr aktueller Kontext der Realität entspricht und sie innerhalb dieses Rahmens ihre Sicherheitsleitplanken (Guardrails) anwenden. Durch gezielte Manipulation, etwa mittels Prompt-Injection oder Memory Poisoning auf einer präparierten Webseite, wird der KI eine falsche Realität oder ein Spielszenario suggeriert. Sobald der Agent glaubt, sich in einer fiktiven Umgebung zu befinden, in der normale Regeln nicht gelten, verliert er den Bezug zu seinen realen Sicherheitsvorgaben. Dann führt er Befehle aus, die er normalerweise strikt verweigern würde.
In einem praktischen Versuchsaufbau konfrontierten die Forscher verschiedene KI-Browser mit einem manipulierten Rätsel, bei dem die Agenten zunächst lernten, dass mathematisch falsche Aussagen (2+2=5) innerhalb dieses Spiels korrekt sind. Nachdem die KI-Modelle diese „Spiellogik“ akzeptiert hatten, wurden sie angewiesen, sensible Anmeldedaten aus einem GitHub-Repository zu kopieren und an die Angreifer zu übermitteln. Alle sechs getesteten Anwendungen, darunter ChatGPT Atlas auch das Claude Chrome Plugin und spezialisierte Browser wie Genspark oder Sigma, fielen auf den Trick herein. Sie identifizierten den Datendiebstahl nicht als Sicherheitsverstoß, sondern feierten die Aktion als erfolgreichen Schritt zur Lösung des Spiels.
Uneinheitliche Reaktionen der betroffenen Softwarehersteller
Die Ergebnisse der Untersuchung zeigen eine Lücke in der Sicherheitsarchitektur vieler Anbieter auf. Nach der Offenlegung der Schwachstelle durch LayerX reagierte OpenAI zeitnah und implementierte für den ChatGPT Atlas einen erfolgreichen Fix. Im Gegensatz dazu wurde die Meldung von Perplexity AI ignoriert oder ohne Lösung geschlossen. Ein Patch-Versuch von Anthropic für das Claude-Plugin scheiterte im Test der Forscher. Andere Anbieter wie Genspark oder Sigmabrowser ließen die Anfragen der Sicherheitsforscher gänzlich unbeantwortet. Diese Ergebnisse erhöhen die Dringlichkeit für Unternehmen, die Nutzung solcher Tools kritisch zu hinterfragen.
Strategien für eine sichere Implementierung im Unternehmen
Unternehmen stehen vor der Herausforderung, die Vorteile der KI-Browser zu nutzen, ohne die Informationssicherheit zu gefährden. Auf der Nutzerseite ist es entscheidend, den Zugriff der KI-Agenten auf das Nötigste zu beschränken und Berechtigungen für sensible Konten nach Abschluss einer Aufgabe umgehend zu entziehen. Für IT-Verantwortliche und Datenschutzbeauftragte ist es wichtig, den Einsatz solcher Werkzeuge organisatorisch zu begleiten. Dazu gehört die klare Regelung, welche Browser-Erweiterungen zugelassen sind und wie mit personenbezogenen Daten in Prompts umgegangen wird.
Technische Hilfsmittel wie Browsererweiterungen z.B. Privacy Guardrail können hier als zusätzliche Schutzschicht dienen, um das Risiko einer ungewollten Datenweitergabe zu minimieren. Diese Open-Source-Lösung des Deutschen Forschungszentrums für Künstliche Intelligenz (DFKI) anonymisiert sensible Daten wie Namen oder E-Mail-Adressen mit einem Local-first-Ansatz direkt im Browser, bevor sie als Prompt an einen KI-Dienst übermittelt werden.
Fazit: Wie sicher sind agentische Browser?
Die Entdeckung der BioShocking-Schwachstelle und dessen Risiken verdeutlicht, dass die Sicherheitsarchitektur agentischer KI-Browser noch nicht ausgereift ist. Die Fähigkeit der KI, Kontext über Realität zu stellen, macht sie anfällig für raffinierte Manipulationen. Nutzer sollten daher strikt kontrollieren, welche authentifizierten Sitzungen für KI-Agenten sichtbar sind, und Berechtigungen nach Abschluss einer Aufgabe konsequent entziehen. Für Unternehmen bedeutet dies, dass eine reine Vertrauensbasis gegenüber den KI-Anbietern nicht ausreicht. Es bedarf einer Kombination aus technischen Schutzschichten im Browser, strengen Richtlinien für die Nutzung agentischer Funktionen und einer kontinuierlichen Sensibilisierung der Mitarbeitenden für die Risiken manipulativer KI-Szenarien. Solange KI-Agenten nicht zuverlässig zwischen spielerischer Fiktion und kritischer Realität unterscheiden können, bleibt ihre Integration in Unternehmensprozesse mit einem hohen Risiko für den Abfluss von Geschäftsgeheimnissen und Zugangsdaten verbunden.
KI-Compliance aus einer Hand
Künstliche Intelligenz rechtssicher nutzen & entwickeln
- KINAST KI-Beratung
- KINAST externer KI-Beauftragter
- KINAST KI-Kompetenz-Schulungen
