Zenity entdeckt Zero-Click-Schwachstellen in Claude und ChatGPT Atlas

Zero-Click-KI-Browser-Hacking trifft Claude und ChatGPT Atlas

Sicherheitsforscher von Zenity haben zwei Zero-Click-Hacking-Techniken für KI-Browser enthüllt, die Claude von Anthropic in der Chrome-Erweiterung und den ChatGPT Atlas-Browser von OpenAI kapern können. Anders als bei herkömmlichen Phishing-Angriffen, bei denen ein Nutzer auf einen bösartigen Link klicken oder einen Anhang öffnen muss, funktionieren diese Methoden Berichten zufolge bereits, wenn der KI-Agent eine präparierte E-Mail oder einen X-Post liest – es ist keine Nutzerinteraktion nötig, außer dass die KI das tut, wofür sie entwickelt wurde: Inhalte in Ihrem Auftrag durchsuchen.

Dieser Unterschied ist entscheidend. Zero-Click-KI-Browser-Hacking verlagert die Angriffsfläche vom menschlichen Nutzer auf den KI-Agenten selbst. Wenn ein Assistent die Erlaubnis erhält, Ihren Posteingang zu lesen, Webseiten zusammenzufassen oder Aktionen innerhalb einer Browsersitzung auszuführen, wird jeder Inhalt, auf den er stößt, zu einem potenziellen Übermittlungsweg für versteckte Anweisungen. Zenitys Forschung, über die SecurityWeek berichtete, zeigt, dass sowohl Claude in Chrome als auch ChatGPT Atlas für diese Art von Manipulation anfällig waren.

Wie die Angriffe Berichten zufolge funktionieren

KI-Browsererweiterungen und agentische Browser wie Atlas sind darauf ausgelegt, Inhalte im gesamten Web zu lesen, zu interpretieren und darauf zu reagieren – einschließlich E-Mails, Social-Media-Beiträgen und eingebettetem Seitentext. Genau diese Funktionalität ist das entscheidende Verkaufsargument dieser Tools. Das bedeutet aber auch, dass die KI nicht immer zwischen einer legitimen Anweisung ihres Nutzers und einer versteckten Anweisung unterscheiden kann, die in einer Webseite, einem E-Mail-Text oder einem Social-Media-Beitrag vergraben ist, den sie gerade verarbeitet.

Diese Schwachstellenklasse wird oft als Prompt Injection bezeichnet. Ein Angreifer erstellt Inhalte, die für einen menschlichen Leser harmlos aussehen, aber Text enthalten, der speziell darauf ausgelegt ist, vom KI-Modell als Befehl interpretiert zu werden. Wenn der KI-Browser oder die Erweiterung diesen Inhalt im Rahmen einer Routineaufgabe verarbeitet (eine E-Mail-Konversation zusammenfasst, eine Website prüft, eine Timeline durchsucht), kann er dazu verleitet werden, Anweisungen auszuführen, denen der Nutzer nie zugestimmt hat.

Dem Bericht zufolge gehen Zenitys Erkenntnisse über zwei isolierte Bugs hinaus. Das Unternehmen hat eine breitere Palette von Schwachstellen in KI-Browsern untersucht, und seine Arbeit ergänzt eine wachsende Zahl von Forschungsarbeiten, die zeigen, dass agentische Browsing-Tools, die noch neu auf dem Markt sind, auf Sicherheitslücken überprüft werden, bevor ihre Abwehrmechanismen vollständig ausgereift sind. Dies spiegelt ein Muster wider, das auch in anderen Bereichen der Softwaresicherheit zu beobachten ist, wo Zero-Day-Schwachstellen in vertrauenswürdigen Plattformen ausgenutzt werden, bevor Patches nachziehen – ähnlich wie in Fällen, in denen russische staatlich unterstützte Hacker einen Zimbra-Zero-Day ausnutzten, um NATO-nahe E-Mail-Konten anzugreifen.

Warum das für den Datenschutz wichtig ist

KI-Browserassistenten werden als Produktivitätstools vermarktet: Sie lesen Ihre E-Mails, fassen Ihre Tabs zusammen und können sogar Aktionen wie das Ausfüllen von Formularen oder das Navigieren auf Websites für Sie übernehmen. Genau dieses Zugriffsniveau macht Zero-Click-KI-Browser-Hacking aus Datenschutzsicht so besorgniserregend. Wenn ein Angreifer den Entscheidungsprozess der KI allein durch Inhalte kapern kann, auf die sie stößt, erhält er potenziell einen Zugang zu allem, was die KI sehen oder tun darf – ohne dass das Opfer jemals etwas anklicken muss.

Dies ist ein grundlegend anderes Bedrohungsmodell als die Angriffe durch Zugangsdatendiebstahl oder Malware-Übermittlung, vor denen sich die meisten Menschen zu schützen gewohnt sind. Es beruht nicht darauf, eine Person zu täuschen; es beruht darauf, die Software zu täuschen, die im Auftrag dieser Person handelt. Ähnliche Dynamiken haben sich in anderen Kontexten gezeigt, in denen vertrauenswürdige lokale Software zur Angriffsfläche wurde, etwa als ein legitimes südkoreanisches Bankensicherheitstool durch einen Zero-Day-Exploit in einen Angriffsvektor verwandelt wurde. Der gemeinsame Nenner: Tools, die Nutzern helfen sollen, können von Angreifern zweckentfremdet werden, wenn ihre Vertrauensgrenzen nicht absolut dicht sind.

Was das für Sie bedeutet

Wenn Sie KI-Browsererweiterungen oder agentische Browsing-Tools wie Claude in Chrome oder ChatGPT Atlas nutzen, ist diese Offenlegung eine Erinnerung daran, genau zu überlegen, welche Berechtigungen Sie ihnen einräumen. Diese Tools sind gerade deshalb so leistungsfähig, weil sie Inhalte automatisch lesen und darauf reagieren können – aber genau diese Automatisierung entfernt eine Ebene menschlicher Urteilsfähigkeit, die früher als natürlicher Schutz vor Manipulation diente.

Zunächst einmal ist die praktische Reaktion Vorsicht statt Panik. Begrenzen Sie den Zugriffsbereich, den Sie KI-Browseragenten gewähren, insbesondere auf sensible Konten wie E-Mail- oder Finanzplattformen. Halten Sie diese Erweiterungen und Browser auf dem neuesten Stand, da Anbieter offengelegte Schwachstellen in der Regel patchen, sobald Forscher sie verantwortungsvoll melden. Und seien Sie sich bewusst, dass Inhalte von unbekannten Absendern oder Konten – selbst wenn sie wie gewöhnlicher Text aussehen – für die Augen einer KI und nicht für Ihre eigenen erstellt worden sein könnten.

Wichtigste Erkenntnisse

• Zero-Click-KI-Browser-Hacking ermöglicht es Angreifern, KI-Agenten wie Claude in Chrome und ChatGPT Atlas ohne jeglichen Nutzerklick zu kapern – allein durch präparierte E-Mails oder Social-Media-Posts.
• Die Technik macht sich zunutze, wie KI-Agenten Inhalte verarbeiten und darauf reagieren – eine Schwachstellenklasse, die als Prompt Injection bekannt ist.
• Überprüfen und begrenzen Sie, welche Berechtigungen Sie KI-Browserassistenten einräumen, insbesondere in Bezug auf E-Mail- und Kontenzugriff.
• Halten Sie KI-Browsertools auf dem neuesten Stand und achten Sie auf Sicherheitspatches der Anbieter nach dieser Offenlegung.
• Betrachten Sie KI-Agenten bei der Bewertung Ihrer persönlichen oder organisatorischen Datenschutzlage als einen weiteren Teil Ihrer Angriffsfläche und nicht nur als Komfortfunktion.