Beim Zusammenfassen eines Reddit-Posts das Konto geplündert? Die versteckte Sicherheitsfalle von KI-Browsern

Hinter der Bequemlichkeit von KI-Browsern, die Web-Aufgaben stellvertretend für Nutzer ausführen, verbergen sich schwerwiegende Sicherheitslücken. Untersuchungen des Brave-Sicherheitsteams zeigen, dass bereits das Zusammenfassen eines Reddit-Posts oder der bloße Besuch einer Website dazu führen kann, dass E-Mail- oder Bankkontoinformationen abgegriffen werden. Ursache ist ein struktureller Fehler: Die KI kann Nutzereingaben und Web-Inhalte nicht zuverlässig voneinander unterscheiden. Das ist ein typischer Fall eines indirekten Prompt-Injection-Angriffs.

Wichtige Beispiele für Schwachstellen

• Perplexity Comet Browser: Per OCR wird blassblauer, in Screenshots versteckter Text erkannt, der für das menschliche Auge fast unsichtbar ist, und als bösartiger Befehl ausgeführt. Beispiel: Die Seite perplexity.ai/account/details wird geöffnet, die E-Mail-Adresse des Nutzers extrahiert und an einen Angreifer-Server gesendet. Die Nutzerfrage (z. B. „Wer ist der Autor dieses Bildes?“) wird ignoriert. Entdeckt am 1. Oktober 2025, Patch unbestätigt.
• Fellou Browser: Beim Besuch einer bösartigen Website befolgt der Browser Anweisungen aus dem Seitentext, loggt sich automatisch bei Gmail ein, liest die Betreffzeilen aktueller E-Mails und sendet sie an einen externen Server. Es gibt keinen Bestätigungsschritt für den Nutzer. Entdeckt am 20. August 2025, auch nach 3 Monaten nicht behoben.

Ursachenanalyse

Anders als bei der Same-Origin Policy klassischer Browser werden Ursprünge nicht isoliert. Das LLM verarbeitet sämtlichen Text gleich und arbeitet mit den Authentifizierungsrechten des Nutzers. Das grundlegende Problem ist das Scheitern, zwischen vertrauenswürdigen Eingaben (Nutzerbefehlen) und nicht vertrauenswürdigen Eingaben (Web-Inhalten) zu unterscheiden.

Einschätzung von Experten

• Simon Willison: „Das weckt tiefe Skepsis gegenüber der gesamten Kategorie der KI-Browser.“
• Brave-Team: „Eine systemische Herausforderung, agentisches Browsing ist von Natur aus riskant.“

Empfehlungen und Ausblick

Bei sensiblen Konten im eingeloggten Zustand sollte die Nutzung vermieden werden, und agentische Funktionen müssen isoliert werden. Brave untersucht langfristige Lösungen und will im nächsten Beitrag einen Plan für sicheres Browsing vorstellen. Trotz des attraktiven Komforts von KI-Browsern ist eine schnelle Stärkung der Sicherheit dringend nötig.

[crawler]

Das Konto im Titel war wohl nur Clickbait.... Trotzdem ein interessanter Beitrag.

[saramin200]

Es sieht so aus, als wäre durch eine maschinelle Übersetzung von Account ein Bankkonto daraus geworden.