Google Ads nutzt KI für automatische Analyse
13/08/2026
Zenity Labs entdeckte ein seltsames Risiko, das sich in aller Öffentlichkeit verbarg : eine nicht geöffnete E‑Mail. Forscher zeigten, dass versteckte Anweisungen KI-Browser-Assistenten wie Copilot heimlich steuern können, ohne dass ein Klick nötig ist. Dieser Fehler, der den Spitznamen EchoLeak erhielt, ermöglichte es Angreifern, autonome Agenten zu manipulieren und private Daten abzugreifen. Keine Warnzeichen, keine Nutzeraktion erforderlich. Es ist ein leiser Trick mit lauten Konsequenzen. Neugierig, wie etwas so Kleines solch große Kopfschmerzen verursacht ? Die folgenden Details erklären genau, wie es passiert.
Wie funktioniert Zero-Click Prompt Injection eigentlich ?
Ein KI-Assistent gerät in Schwierigkeiten, sobald er externe Inhalte als vertrauenswürdigen Befehl behandelt. Man stelle sich eine versteckte E‑Mail vor, die still in einem Posteingang liegt, nie auch nur geöffnet. Diese E‑Mail kann trotzdem heimtückische Anweisungen enthalten, die für den Assistenten gedacht sind, nicht für dich. Genau hier kommen Angriffsvektoren ins Spiel, denn manipulierte E‑Mails, Webseiten und Dokumente werden allesamt zu Einfallstoren für Unfug. Sobald dieser Inhalt in das Gedächtnis des Assistenten gelangt, kann sich kontextuelle Vergiftung still und heimlich durchsetzen. Der Assistent beginnt, deine echte Anfrage mit dem versteckten Befehl des Angreifers zu vermischen. Es sind keine Klicks nötig, und genau das macht es so beunruhigend. Genau dieses Szenario spielte sich in der realen Welt ab, als Forscher EchoLeak offenlegten, eine Zero-Click-Schwachstelle in Microsoft 365 Copilot, die Datenexfiltration ohne jegliche Nutzerinteraktion ermöglichte. Der Assistent liest, nimmt auf und handelt einfach, ohne sich bewusst zu sein, dass er gerade den Befehlen eines Fremden gefolgt ist.
Welche KI-Agenten sind anfällig für Prompt-Injection ?
Nachdem die Mechanik nun klar ist, lautet die nächste Frage ganz einfach : Welche Helfer sind diesem Risiko tatsächlich ausgesetzt ? Es sind ziemlich viele, wie sich zeigt. E‑Mail-Agenten stehen dabei ganz oben auf der Liste. OpenAI stellte fest, dass ein Angriff in der Hälfte der Testfälle erfolgreich war , ein Beleg dafür, wie eine versteckte Nachricht einen hilfreichen Assistenten übernehmen kann.
Web-Browsing-Agenten stehen vor ähnlichen Problemen. Versteckter Text auf einer Seite kann Tools wie Claude in Chrome oder Nanobrowser unbemerkt steuern.
Auch Repository-Agenten sind nicht sicher. Tools wie Claude Code und Codex können heimtückische Anweisungen aus Code oder Kommentaren aufnehmen. Diese Angriffe stützen sich zunehmend auf Social-Engineering-Taktiken anstatt auf einfache Prompt-Überschreibungen, wodurch sie schwerer zu erkennen sind.
Schließlich runden retrieval-basierte Systeme das Bild ab. Eine Studie fand eine Erfolgsquote von 73,2 % bei Angriffen, bevor Abwehrmaßnahmen griffen. Das sind eine ganze Menge offener Türen.
Wie können Sie Ihre Konten vor Prompt-Injection schützen ?
Angesichts dieser verborgenen Bedrohungen machen gute Gewohnheiten einen echten Unterschied. Halten Sie zunächst sensible Details, wie Passwörter oder Finanzinformationen, grundsätzlich von KI-Tools fern. Geben Sie Assistenten nur das, was sie wirklich brauchen, um Ihnen zu helfen, nicht mehr. Es hilft auch, Berechtigungen für verbundene Apps einzuschränken, damit ein hinterhältiger Befehl nicht viel Schaden anrichten kann. Bereinigen Sie Eingaben, bevor sie Ihren KI-Assistenten erreichen, besonders alles, was aus E‑Mails oder Websites stammt. Nur-Lese-Zugriff ist hier Ihr Freund, da er unerwünschte Änderungen sofort stoppt. Wann immer sich eine Aktion groß anfühlt, wie das Senden von Geld oder E‑Mails, halten Sie inne und genehmigen Sie sie selbst. Kleine Schritte wie diese bewahren Ihre Freiheit und schließen gleichzeitig die Tür für stille Manipulation. Neuere Modelle widerstehen solchen Tricks tendenziell auch besser, da Updates und Patches oft eine verringerte Anfälligkeit für Injektionsversuche im Vergleich zu älteren Versionen mit sich bringen.
