ChatGPT, der weltweit beliebteste Chatbot mit über 800 Millionen wöchentlichen Nutzern, wurde gerade eindringlich daran erinnert, dass Bequemlichkeit ihren Preis haben kann.
Das Sicherheitsunternehmen Radware hat eine neue Angriffstechnik namens „ZombieAgent“ vorgestellt, die den KI-Assistenten in einen unauffälligen Datendieb und sogar in einen dauerhaft aktiven Spion innerhalb der Konten von Nutzern verwandeln könnte.
ZombieAgent nutzt die Connectors von ChatGPT – die Funktion, die den Chatbot mit Gmail, Outlook, Google Drive, GitHub, Teams, Jira und anderen externen Systemen verbindet. Diese Verbindung soll ChatGPT zwar nützlicher machen, verschafft Angreifern aber einen Ansatzpunkt, um heimlich vertrauliche Informationen abzugreifen.
Die Demonstration von Radware zeigt mehrere Angriffstypen. Bei einem Zero-Click-Angriff sendet ein Angreifer eine schädliche E-Mail. Wenn der Nutzer ChatGPT bittet, eine Aufgabe im Zusammenhang mit Gmail auszuführen, liest die KI die versteckten Anweisungen in der E-Mail und schleust Daten über die Server von OpenAI aus, „bevor der Nutzer den Inhalt überhaupt sieht“, laut Radware.
Eine One-Click-Variante funktioniert ähnlich, setzt aber voraus, dass der Nutzer eine schädliche Datei mit ChatGPT teilt. Nach dem Einlesen führt der Chatbot Anweisungen aus, um Daten preiszugeben oder sogar seinen Speicher zu verändern und so eine dauerhafte Datenabschöpfung zu ermöglichen. Diese Persistenz bedeutet, dass Angreifer aus jedem Gespräch auf unbestimmte Zeit kontinuierlich vertrauliche Informationen abgreifen könnten.
Der „Zombie“, der nicht verschwindet
Was diesen Angriff wirklich einzigartig macht, ist seine Persistenz. Normalerweise sollten die „vergifteten“ Anweisungen verschwinden, wenn man ein Chatfenster schließt. Doch der Chatbot verfügt jetzt über eine „Memory“-Funktion die sich Dinge über dich merkt, um hilfreicher zu sein.
Radware stellte fest, dass sich die KI dazu bringen ließ, schädliche Regeln in ihrem Langzeitgedächtnis zu speichern. Sobald diese Regeln vorhanden sind, muss der Angreifer keine weitere E-Mail senden. Jedes Mal, wenn der Nutzer ein neues Gespräch beginnt, überprüft die KI ihren Speicher, entdeckt die „Spionage“-Regeln des Angreifers und stiehlt weiterhin Daten.
„ZombieAgent verdeutlicht eine kritische strukturelle Schwachstelle der heutigen agentenbasierten KI-Plattformen.“ Pascal Geenens, VP of Threat Intelligence bei Radware, warnte, „Unternehmen verlassen sich auf diese Agenten, damit sie Entscheidungen treffen und auf vertrauliche Systeme zugreifen. Ihnen fehlt jedoch der Einblick, wie Agenten nicht vertrauenswürdige Inhalte interpretieren oder welche Aktionen sie in der Cloud ausführen. Dadurch entsteht ein gefährlicher blinder Fleck, den Angreifer bereits ausnutzen.“
Technische Umgehung
ZombieAgent umgeht die bestehenden Schutzmaßnahmen von OpenAI. ChatGPT weigert sich inzwischen, Parameter an URLs anzuhängen, doch Angreifer können vorkonstruierte URLs für einzelne Zeichen verwenden, um Daten Buchstabe oder Ziffer für Buchstabe beziehungsweise Ziffer abzuschöpfen. Dieser clevere Umweg ermöglicht es Angreifern, Informationen auszuschleusen, ohne dass die KI die URLs jemals „verändert“.
Radware erklärt: „Diese Kombination aus weitreichendem Connector-Zugriff und unsichtbarer oder nahezu unsichtbarer Prompt-Injection verstärkt die Auswirkungen und die praktische Umsetzbarkeit der von uns beschriebenen Angriffe in der realen Welt erheblich.“
Die Schwachstelle wurde OpenAI im September 2025 über Bugcrowd gemeldet und Mitte Dezember behoben. Der Radware-Forscher Zvika Babo hob hervor, dass trotz der Behebungen die grundlegenden Risiken indirekter Prompt-Injection bestehen. Die Angriffe zeigen, wie leicht KI-Agenten manipuliert werden können durch die Inhalte, die sie lesen und verarbeiten sollen.
Was das für Sie bedeutet
Obwohl die konkrete „ZombieAgent“-Lücke geschlossen wurde, bleibt das zugrunde liegende Problem bestehen: KI-Modelle tun sich schwer damit, zwischen einem hilfreichen Befehl des Nutzers und einer versteckten schädlichen Anweisung in einem Dokument oder einer E-Mail zu unterscheiden.
Wie Geenens im Gespräch mit Dark Reading: „Ich bezeichne KI manchmal als ein Baby mit einem gigantischen Gehirn. Sie ist sehr naiv, verfügt aber über das Wissen der Welt und hat Zugriff auf all Ihre Geheimnisse. Man muss also keinen Pufferüberlauf oder spezielle Programmierung einsetzen, nein. Man spricht einfach mit ihr und überzeugt sie davon, etwas zu tun, was sie von vornherein nicht tun sollte.“
Fürs Erste besteht die beste Verteidigung darin, vorsichtig zu sein, mit welchen Apps du deine KI-Assistenten verbindest und regelmäßig in deren Einstellungen zu überprüfen, was sich deine KI über dich „gemerkt“ hat.
Außerdem lesenswert: OpenAIs neuestes Sicherheitsupdate für ChatGPT Atlas unterstreicht, warum Prompt-Injection für KI-Agenten ein bewegliches Ziel bleibt.