Brave deckt versteckte Angriffe in KI-Browsern auf

Bra­ves Sicher­heits­for­scher haben ein beun­ru­hi­gen­des Mus­ter bei KI-gestütz­ten Brow­sern auf­ge­deckt, bei dem bös­ar­ti­ge Web­sites die Ant­wor­ten des Brow­ser-Assis­ten­ten durch sorg­fäl­tig gestal­te­te Prompt-Injek­tio­nen kapern kön­nen. Die­se Angrif­fe funk­tio­nie­ren, indem ver­steck­te Anwei­sun­gen in Web­in­hal­te ein­ge­bet­tet wer­den, die Tools wie Ope­nAIs Atlas, Per­ple­xi­tys Comet und Fell­ou Brow­ser dazu mani­pu­lie­ren, unbe­fug­te Befeh­le aus­zu­füh­ren, von Daten­dieb­stahl bis hin zur Irre­füh­rung von Nut­zern mit fabri­zier­ten Infor­ma­tio­nen. Die Exploits zei­gen auf, wie KI-Brow­ser, die ent­wi­ckelt wur­den, um die Web­na­vi­ga­ti­on intel­li­gen­ter zu machen, tat­säch­lich völ­lig neue Angriffs­vek­to­ren schaf­fen, für die tra­di­tio­nel­le Sicher­heits­maß­nah­men ein­fach nicht aus­ge­legt waren.

Systemische Schwachstellen in KI-Browser-Plattformen entdeckt

Die Ver­bin­dung von künst­li­cher Intel­li­genz und Web-Brow­sing hat das her­vor­ge­bracht, was man wohl­wol­lend als unbe­ab­sich­tig­tes Hoch­zeits­ge­schenk für Angrei­fer bezeich­nen könn­te, da KI-Brow­ser wie Ope­nAI Atlas, Per­ple­xi­ty Comet und Fell­ou im Wesent­li­chen völ­lig neue Spiel­plät­ze für Aus­beu­tung geschaf­fen haben, die tra­di­tio­nel­le Sicher­heits­maß­nah­men nie vor­her­ge­se­hen haben. Die­se Platt­for­men zei­gen platt­form­über­grei­fen­de Schwach­stel­len, die KI-Aus­beu­tung bemer­kens­wert unkom­pli­ziert machen, da die Agen­ten mit den authen­ti­fi­zier­ten Berech­ti­gun­gen der Benut­zer über meh­re­re Domains hin­weg ope­rie­ren, wäh­rend tra­di­tio­nel­le Schutz­maß­nah­men wie Same-Ori­gin-Richt­li­ni­en weit­ge­hend irrele­vant wer­den. Die Inte­gra­ti­ons­schicht zwi­schen KI und Brow­sing schafft unsicht­ba­re Angriffs­flä­chen, wo Inhalts­ma­ni­pu­la­ti­on bös­ar­ti­ge Aktio­nen aus­lö­sen kann, ein­fach durch das Laden einer Web­sei­te, ohne dass ein Klick erfor­der­lich ist. Benut­zer, die Anmel­de­da­ten aus Main­stream-Brow­sern impor­tie­ren, oft ohne die Aus­wir­kun­gen zu ver­ste­hen, erhö­hen die­se Risi­ken über eine erwei­ter­te digi­ta­le Prä­senz hin­weg wei­ter. Ope­nAIs Sicher­heits­team hat schnel­le Reak­ti­ons­sys­te­me imple­men­tiert, um Angrif­fe zu erken­nen und zu blo­ckie­ren, sobald sie auf­tre­ten, obwohl die grund­le­gen­de Her­aus­for­de­rung, zwi­schen legi­ti­men Benut­zer­be­feh­len und bös­ar­ti­gem Web-Inhalt zu unter­schei­den, unge­löst bleibt.

Perplexity Comets bildschirmbasierte Ausbeutungsmethoden

Unter die­sen sys­te­mi­schen Schwach­stel­len stellt Per­ple­xi­ty Comets Screen­shot-Funk­ti­on viel­leicht den ele­gan­tes­ten und doch ver­hee­rends­ten Angriffs­vek­tor dar, der ent­deckt wur­de, bei dem genau die Bequem­lich­keit, die den Brow­ser attrak­tiv macht, zu sei­ner größ­ten Sicher­heits­schwach­stel­le wird. Der Angriff nutzt Screen­shot-Ver­wund­bar­kei­ten durch Ste­ga­no­gra­phie aus, indem er nahe­zu unsicht­ba­re bös­ar­ti­ge Anwei­sun­gen in Web­in­hal­te ein­bet­tet, die die opti­sche Zei­chen­er­ken­nung ohne Hin­ter­fra­gen extra­hiert und ver­steck­te Befeh­le direkt in das KI-Sys­tem ein­speist. Die For­schung des Bra­ve-Sicher­heits­teams hat erge­ben, dass Benut­zer­inter­ak­tio­nen die­se bös­ar­ti­gen Extrak­tio­nen unbe­ab­sich­tigt aus­lö­sen kön­nen, wodurch rou­ti­ne­mä­ßi­ge Brow­sing-Akti­vi­tä­ten zu poten­zi­el­len Sicher­heits­kom­pro­mis­sen werden.

Die Mecha­nis­men der KI-Aus­nut­zung durch Comet offen­ba­ren drei kri­ti­sche Fehlerpunkte :

1. Ste­ga­no­gra­phi­sche Text­ein­bet­tung mit schwa­chen Far­ben, die Men­schen über­se­hen, aber OCR-Sys­te­me gewis­sen­haft erfassen
2. Völ­li­ge Abwe­sen­heit von Ein­ga­be­be­rei­ni­gung zwi­schen Screen­shot-Extrak­ti­on und KI-Verarbeitung
3. Ver­trau­ens­mo­dell-Kol­laps, bei dem die KI bös­ar­ti­ge ein­ge­schleus­te Inhal­te als legi­ti­me Benut­zer­an­fra­gen behandelt

Automatische Inhaltsverarbeitungsschwächen des Fellou-Browsers

Fell­ou Brow­ser ver­folgt einen bemer­kens­wert ande­ren Ansatz zur KI-Inte­gra­ti­on im Ver­gleich zu Per­ple­xi­tys Screen­shot-Metho­de, indem es auto­ma­tisch den kom­plet­ten Text­in­halt jeder Web­sei­te, die ein Nut­zer besucht, direkt in sein KI-Sys­tem ein­speist, ohne jeg­li­che expli­zi­te Nut­zer­an­fra­ge oder Zustim­mung. Die­se Design­ent­schei­dung bedeu­tet, dass allein das Navi­gie­ren zu einer bös­ar­ti­gen Web­site die KI dazu ver­an­las­sen kann, ver­steck­te Anwei­sun­gen zu ver­ar­bei­ten, die im Sei­ten­in­halt ein­ge­bet­tet sind, wodurch Angrei­fer effek­tiv die Fähig­kei­ten der KI kapern kön­nen, sobald jemand auf einen Link klickt oder eine URL ein­gibt. Die Brow­ser-KI arbei­tet wäh­rend die­ser auto­ma­ti­schen Ver­ar­bei­tungs­sit­zun­gen mit vol­len Nut­zer­rech­ten, wodurch ein Sze­na­rio ent­steht, in dem das Sur­fen zur fal­schen Sei­te heim­lich Bank­kon­ten kom­pro­mit­tie­ren, E‑Mail-Zugang oder ande­re sen­si­ble Diens­te gefähr­den kann, ohne dass der Nut­zer jemals erfährt, dass ein Angriff statt­ge­fun­den hat. Sicher­heits­for­scher beto­nen, dass die­se indi­rek­ten Prompt-Injec­tion-Angrif­fe eine grund­le­gen­de Her­aus­for­de­rung dar­stel­len, bei der KI-Sys­te­me nicht zuver­läs­sig zwi­schen legi­ti­men Nut­zer­be­feh­len und bös­ar­ti­gen Anwei­sun­gen unter­schei­den kön­nen, die in Web­sei­ten­in­hal­ten ver­steckt sind.

Stille Navigationsauslöser

Ver­steckt in schein­bar unschul­di­gen Web­sei­ten­tex­ten war­ten bös­ar­ti­ge Anwei­sun­gen dar­auf, Fell­ou-Brow­sers KI-Assis­ten­ten zu kapern, sobald ein Nut­zer eine kom­pro­mit­tier­te Sei­te besucht, und nut­zen dabei einen grund­le­gen­den Feh­ler aus, wie der Brow­ser auto­ma­tisch sicht­ba­re Inhal­te ver­ar­bei­tet. Die­se stil­len Exploits funk­tio­nie­ren ohne jedes Nut­zer­be­wusst­sein und ver­wan­deln rou­ti­ne­mä­ßi­ges Sur­fen in ein Sicher­heits­mi­nen­feld, wo bereits der blo­ße Besuch einer Sei­te uner­laub­te Aktio­nen auslöst.

Der Angriffs­me­cha­nis­mus offen­bart drei kri­ti­sche Schwach­stel­len :

1. Unsicht­ba­re Prompt-Injek­tio­nen, die in Web­sei­ten­tex­te ein­ge­bet­tet sind, die Nut­zer nicht erken­nen kön­nen, aber KI-Sys­te­me bereit­wil­lig verarbeiten
2. Auto­ma­ti­sche Navi­ga­ti­ons­t­rig­ger, die Nut­zer ohne aus­drück­li­che Erlaub­nis zu sen­si­blen Kon­ten wie Ban­king oder E‑Mail weiterleiten
3. Ses­si­on-Hijack­ing-Fähig­kei­ten, die bestehen­de Log­in-Daten durch den kom­pro­mit­tier­ten KI-Assis­ten­ten ausnutzen

Anders als tra­di­tio­nel­le Phis­hing-Sche­ma­ta, die Nut­zer­inter­ak­ti­on erfor­dern, gelin­gen die­se Angrif­fe durch blo­ße Navi­ga­ti­on und bre­chen fun­da­men­tal die Ver­trau­ens­be­zie­hung zwi­schen Nut­zern und ihren KI-gestütz­ten Brow­sern. Tra­di­tio­nel­le Web-Sicher­heits­pro­to­kol­le wie Same Ori­gin Poli­cy erwei­sen sich als unzu­rei­chend gegen die­se raf­fi­nier­ten Prompt-Injec­tion-Tech­ni­ken, die KI-Assis­ten­ten dazu mani­pu­lie­ren, uner­laub­te Aktio­nen durchzuführen.

Autonome Session-Ausnutzung

Jen­seits die­ser anfäng­li­chen Angriffs­vek­to­ren liegt ein grund­le­gen­de­rer Design­feh­ler, der jeden Web­sei­ten­be­such in eine poten­zi­el­le Sicher­heits­ver­let­zung ver­wan­delt. Der Fell­ou-Brow­ser speist auto­ma­tisch den gesam­ten Web­sei­ten­in­halt ohne Benut­zer­zu­stim­mung an sein KI-Sys­tem wei­ter und schafft damit per­fek­te Bedin­gun­gen für Ses­si­on-Hijack­ing durch ein­ge­bet­te­te Befeh­le, die sich als legi­ti­me Anwei­sun­gen tar­nen. Der KI-Assis­tent, bewaff­net mit voll­stän­di­gen Benut­zer­da­ten, führt die­se bös­ar­ti­gen Prompts pflicht­ge­mäß aus, als kämen sie direkt vom Benut­zer, weil es für die Ent­wick­ler offen­bar zu her­aus­for­dernd war, zwi­schen ver­trau­ens­wür­di­gen Benut­zer­ein­ga­ben und zufäl­li­gem Web­sei­ten­text zu unter­schei­den. Die­se auto­no­me Ver­ar­bei­tung läuft ohne Bewusst­sein des Benut­zers ab, was bedeu­tet, dass ein ein­fa­cher Besuch eines kom­pro­mit­tier­ten Red­dit-Threads unbe­fug­te Bank­trans­ak­tio­nen oder Daten­dieb­stahl aus­lö­sen könn­te, wäh­rend der Benut­zer unschul­dig durch Memes scrollt. Die­se Schwach­stel­len stel­len eine sys­te­mi­sche Her­aus­for­de­rung dar, die meh­re­re KI-Brow­ser-Imple­men­tie­run­gen betrifft und auf grund­le­gen­de Sicher­heits­män­gel in der zugrun­de­lie­gen­den Archi­tek­tur von KI-gestütz­ter Brow­sing-Tech­no­lo­gie hinweist.

Technische Aufschlüsselung von Prompt-Injection-Angriffsmechanismen

Angrei­fer nut­zen KI-Brow­ser durch über­ra­schend ein­fa­che, aber ver­hee­rend effek­ti­ve Tech­ni­ken aus, die sich zunut­ze machen, wie die­se Sys­te­me Infor­ma­tio­nen von Web­sei­ten ver­ar­bei­ten und inter­pre­tie­ren. Die­se Prompt-Tech­ni­ken zei­gen bemer­kens­wer­te Injec­tion-Varia­bi­li­tät, die von unsicht­ba­rem wei­ßen Text auf wei­ßem Hin­ter­grund bis hin zu bös­ar­ti­gen Anwei­sun­gen reicht, die in HTML-Kom­men­ta­ren ver­steckt sind, die Nut­zer nie sehen, aber KI-Sys­te­me pflicht­be­wusst verarbeiten.

Das tech­ni­sche Arse­nal umfasst drei pri­mä­re Angriffsvektoren :

1. Ver­steck­te Text-Metho­den – Weiß-auf-weiß Text und HTML-Kom­men­ta­re umge­hen mensch­li­che Erkennung
2. Bild­ba­sier­te Angrif­fe – Nahe­zu unsicht­ba­rer Text, der in Bil­der ein­ge­bet­tet ist, umgeht tra­di­tio­nel­le Eingabefilterung
3. Ver­zö­ger­te Tool-Akti­vie­rung – Bös­ar­ti­ge Aktio­nen, die durch spe­zi­fi­sche zukünf­ti­ge Nut­zer­ein­ga­ben aus­ge­löst wer­den und ver­steck­te Zeit­bom­ben schaffen

Was die­se Angrif­fe beson­ders heim­tü­ckisch macht, ist ihre Aus­nut­zung der grund­le­gen­den Unfä­hig­keit von KI-Brow­sern, zwi­schen ver­trau­ens­wür­di­gen Nut­zer­be­feh­len und nicht ver­trau­ens­wür­di­gen Web­sei­ten­in­hal­ten zu unter­schei­den. Das wach­sen­de Risi­ko wird beson­ders besorg­nis­er­re­gend, da Nut­zer zuneh­mend KI-Brow­sern ver­trau­en mit Zugang zu sen­si­blen per­sön­li­chen Daten in Bank- und Gesundheitsanwendungen.

Erweiterung der Bedrohungsoberfläche über die traditionelle Browser-Sicherheit hinaus

Das grund­le­gen­de Pro­blem mit KI-Brow­sern geht weit über die typi­schen Sicher­heits­be­den­ken hin­aus, die das tra­di­tio­nel­le Web-Brow­sing seit Jahr­zehn­ten pla­gen, da die­se Sys­te­me mit einem Grad an Auto­no­mie arbei­ten, der kom­ple­xe Aktio­nen über meh­re­re Platt­for­men und Diens­te hin­weg aus­füh­ren kann, ohne für jeden Schritt eine expli­zi­te Benut­zer­be­stä­ti­gung zu erfor­dern. Wenn Ver­trau­ens­gren­zen zwi­schen Benut­zer­ab­sich­ten und KI-Inter­pre­ta­tio­nen zusam­men­bre­chen, wird der Brow­ser im Wesent­li­chen zu einem hoch­fä­hi­gen Agen­ten, der von bös­wil­li­gen Akteu­ren umge­lei­tet wer­den kann, um Auf­ga­ben wie das Buchen von Flü­gen, den Zugriff auf E‑Mail-Kon­ten oder das Täti­gen von Käu­fen aus­zu­füh­ren, wäh­rend der Benut­zer völ­lig ahnungs­los bleibt, dass sein digi­ta­ler Assis­tent kom­pro­mit­tiert wur­de. Die Iro­nie liegt dar­in, dass genau die Funk­tio­nen, die das Brow­sen beque­mer und intel­li­gen­ter machen sol­len, auch Angriffs­vek­to­ren schaf­fen, die tra­di­tio­nel­le Sicher­heits­maß­nah­men, die für pas­si­ven Inhalts­kon­sum und nicht für akti­ve Ent­schei­dungs­fin­dung ent­wi­ckelt wur­den, ein­fach nicht bewäl­ti­gen kön­nen. Die­se Schwach­stel­len wer­den beson­ders besorg­nis­er­re­gend, wenn KI-Brow­ser wie Ope­nAIs Atlas Brow­ser-Erin­ne­run­gen an besuch­te Sei­ten und Inter­ak­tio­nen auf­zeich­nen und dabei eine dau­er­haf­te Angriffs­flä­che schaf­fen, die bös­wil­li­ge Akteu­re lan­ge nach der ursprüng­li­chen Kom­pro­mit­tie­rung aus­nut­zen können.

KI-Autonomie verstärkt Risiken

Wäh­rend tra­di­tio­nel­le Brow­ser als pas­si­ve Werk­zeu­ge fun­gie­ren, die ein­fach Web­in­hal­te anzei­gen und auf expli­zi­te Benut­zer­be­feh­le war­ten, arbei­ten KI-gestütz­te Brow­ser wie Ope­nAIs ChatGPT Atlas und Per­ple­xi­tys Comet mit einem grund­le­gend ande­ren Ansatz, der ihnen auto­no­me Ent­schei­dungs­fä­hig­kei­ten ver­leiht, um kom­ple­xe, mehr­stu­fi­ge Auf­ga­ben im Namen der Nut­zer aus­zu­füh­ren. Die­se Ver­schie­bung vom pas­si­ven Werk­zeug zum akti­ven Agen­ten ver­än­dert die Sicher­heits­um­ge­bung grund­le­gend, da die­se Brow­ser nun natür­lich­sprach­li­che Anwei­sun­gen inter­pre­tie­ren und unab­hän­gi­ge Ent­schei­dun­gen dar­über tref­fen, wel­che Aktio­nen sie aus­füh­ren sol­len, oft ohne expli­zi­te Erlaub­nis für jeden Schritt.

Die auto­no­me Natur der KI-Ent­schei­dungs­fin­dung schafft meh­re­re besorg­nis­er­re­gen­de Szenarien :

1. Finanz­trans­ak­tio­nen, die ohne kla­re Benut­zer­zu­stim­mung ein­ge­lei­tet werden
2. Social-Media-Posts, die auf­grund falsch inter­pre­tier­ter Anwei­sun­gen ver­öf­fent­licht werden
3. E‑Mail-Zugriff und poten­zi­el­le Daten­ex­po­si­ti­on wäh­rend rou­ti­ne­mä­ßi­ger Aufgaben

Die­se Ero­si­on der Benut­zer­au­to­no­mie stellt eine beun­ru­hi­gen­de Abkehr von tra­di­tio­nel­len Brow­ser-Sicher­heits­mo­del­len dar. Cyber­si­cher­heits­exper­ten beto­nen, dass Ver­brau­cher sorg­fäl­tig den Zugang bewer­ten müs­sen, den sie die­sen KI-Agen­ten gewäh­ren, bevor sie ihnen erlau­ben, sen­si­ble Ope­ra­tio­nen in ihrem Namen durchzuführen.

Vertrauensgrenze-Ausfälle

Jen­seits der Ero­si­on der Benut­zer­kon­trol­le liegt ein noch fun­da­men­ta­le­res Pro­blem : KI-Brow­ser haben effek­tiv die Sicher­heits­gren­zen auf­ge­löst, auf die sich tra­di­tio­nel­les Web-Brow­sing seit Jahr­zehn­ten ver­las­sen hat, und schaf­fen Angriffs­flä­chen, die Sicher­heits­for­scher erst zu ver­ste­hen begin­nen. Die Inte­gra­ti­ons­schicht, wo Brow­sing auf KI trifft, führt unsicht­ba­re Angriffs­vek­to­ren ein, weil KI aktiv Inhal­te ana­ly­siert und Ent­schei­dun­gen trifft ohne ord­nungs­ge­mä­ße Ver­trau­en­siso­la­ti­on. Agen­ti­sche KI-Brow­ser füh­ren benut­zer­ähn­li­che Ent­schei­dun­gen mit vol­len Berech­ti­gun­gen aus, etwas das tra­di­tio­nel­le Sicher­heits­mo­del­le nie vor­her­ge­se­hen haben. Indi­rek­te Prompt-Injek­tio­nen bet­ten bös­ar­ti­ge Befeh­le in schein­bar harm­lo­sen Inhalt ein, wie wei­ßer Text auf wei­ßem Hin­ter­grund, und lösen schäd­li­che Aktio­nen ohne Bewusst­sein des Benut­zers aus. Ver­trau­ens­ver­sa­gen tritt auf, wenn KI exter­ne Inhal­te als Teil von Benut­zer-Prompts ver­ar­bei­tet, was Prompt-Mani­pu­la­ti­on und Kom­pro­mit­tie­rung sen­si­bler Daten ermög­licht. Die­se Schwach­stel­len ermög­li­chen täu­schen­de Web­sei­ten, die unter­schied­li­che Inhal­te an KI-Craw­ler im Ver­gleich zu mensch­li­chen Benut­zern lie­fern und poten­zi­ell KI-Ver­hal­ten durch mani­pu­lier­te Infor­ma­tio­nen beeinflussen.

Branchenspezifische Minderungsstrategien und Sicherheitsempfehlungen

Orga­ni­sa­tio­nen bemü­hen sich, umfas­sen­de Ver­tei­di­gungs­rah­men zu imple­men­tie­ren, da die Rea­li­tät von KI-Brow­ser-Schwach­stel­len ein grund­le­gen­des Über­den­ken tra­di­tio­nel­ler Sicher­heits­an­sät­ze erzwingt, wobei Bran­chen­füh­rer nun für mehr­schich­ti­ge Schutz­stra­te­gien ein­tre­ten, die KI-Agen­ten sowohl als wert­vol­le Werk­zeu­ge als auch als poten­zi­el­le Angriffs­vek­to­ren behan­deln. Die aktu­el­le Umge­bung offen­bart eine eigen­tüm­li­che Iro­nie, bei der KI-Sicher­heits­maß­nah­men, die zum Schutz der Nut­zer ent­wi­ckelt wur­den, tat­säch­lich die Angriffs­flä­chen erwei­tern, wäh­rend Brow­ser-Pri­vat­sphä­re zuneh­mend kom­pli­ziert zu erhal­ten wird, wenn intel­li­gen­te Agen­ten auto­nom sen­si­ble Inhal­te lesen und ver­ar­bei­ten. Die Angriff-Ver­tei­di­gung-Asym­me­trie macht den Schutz beson­ders her­aus­for­dernd, da Angrei­fer nur eine Schwach­stel­le aus­nut­zen müs­sen, wäh­rend Ver­tei­di­ger alle poten­zi­el­len Schwä­chen absi­chern müssen.

Bran­chen­ex­per­ten emp­feh­len drei kri­ti­sche Minderungsansätze :

1. Zero-Trust-Berech­ti­gungs­ar­chi­tek­tu­ren – Imple­men­tie­rung stren­ger Zugangs­kon­trol­len mit mini­ma­len not­wen­di­gen Pri­vi­le­gi­en für KI-Agent-Operationen
2. Kon­ti­nu­ier­li­ches KI-Sicher­heits­la­ge-Manage­ment – Ein­satz auto­ma­ti­sier­ter Über­wa­chungs­sys­te­me, die Kon­fi­gu­ra­ti­ons­drift und anoma­les Ver­hal­ten erkennen
3. Echt­zeit-Bedro­hungs­er­ken­nungs­in­te­gra­ti­on – Kom­bi­na­ti­on meh­re­rer Sicher­heits­schich­ten mit trans­pa­ren­ten Benut­zer­be­nach­rich­ti­gun­gen über Risiken

Quellenangabe

• https://www.searchenginejournal.com/brave-reveals-systemic-security-issues-in-ai-browsers/558909/
• https://brave.com/blog/comet-prompt-injection/
• https://fortune.com/2025/10/23/cybersecurity-vulnerabilities-openai-chatgpt-atlas-ai-browser-leak-user-data-malware-prompt-injection/
• https://techcrunch.com/2025/10/25/the-glaring-security-risks-with-ai-browser-agents/
• https://futurism.com/artificial-intelligence/researchers-severe-vulnerabilities-ai-browser-comet
• https://brave.com/blog/unseeable-prompt-injections/
• https://brave.com/series/security-privacy-in-agentic-browsing/
• https://brave.com/category/ai-news-features/
• https://simonwillison.net/2025/Oct/21/unseeable-prompt-injections/
• https://cyberscoop.com/openai-atlas-splx-research-cloaking-attacks-browser-agents/