Forschungen haben eine Sicherheitslücke aufgedeckt, die den neu gestarteten ChatGPT-Atlas-Browser von OpenAI in einen Angriffsvektor gegen die eigenen Nutzer verwandeln kann.
Die Schwachstelle liegt laut einer Untersuchung von LayerX darin, wie KI-Browser Webinhalte verarbeiten.
Der Blogbeitrag von LayerX zeigt, dass es sich nicht einfach um einen weiteren Softwarefehler handelt. Es ist ein kritischer Sicherheitsbruch, durch den Angreifer versteckte Befehle in das Speichersystem von ChatGPT einschleusen können, die anschließend Geräte kompromittieren und plattformübergreifend vertrauliche Daten stehlen. Ein ungünstigerer Zeitpunkt ist kaum vorstellbar, denn OpenAI hat Atlas gerade für ein Publikum von 800 Millionen wöchentlichen Nutzern veröffentlicht letzte Woche.
Die Angriffsmethode
Wie funktioniert das? Ein ausgeklügelter Cross-Site Request Forgery, ein CSRF-Angriff, richtet ChatGPTs eigene Speicherfunktion gegen den Nutzer. Angreifer locken Opfer über Phishing auf präparierte Seiten und senden anschließend gefälschte Anfragen, die bestehende authentifizierte Sitzungen ausnutzen.
Diese versteckten Anweisungen werden wie blinde Passagiere in ChatGPTs Speicher abgelegt und bei normalen, harmlos wirkenden Anfragen aktiviert. Die KI kann dazu gebracht werden, entfernten Code von Servern abzurufen, die von den Angreifern kontrolliert werden, oder andere schädliche Ausgaben zu erzeugen. Sicherheitsanalysten stellten fest, dass die Kontamination dem Nutzer folgt und auf Geräten und in Browsern bestehen bleibt, die mit demselben Konto verknüpft sind – was die Bereinigung erheblich erschwert.
Besonders problematisch ist, dass Atlas ChatGPT-Anmeldedaten standardmäßig griffbereit hält. Diese Bequemlichkeit bietet CSRF eine ideale Angriffsfläche. Zusammen mit den agentischen Funktionen des Browsers, die Aufgaben eigenständig ausführen können, steigt das Risiko rapide – verstärkt durch die Entscheidungsgewalt der KI über Nutzerdaten und -systeme.
Atlas unter Druck
Im direkten Vergleich mit etablierten Browsern ist der Abstand eklatant. In Tests mit 103 realen Phishing-Angriffen blockierte Atlas nur 5,8 %. Chrome und Edge lagen im Bereich von 47 bis 53 Prozent.
Eine umfassendere Untersuchung von Brave deckte indirekte Prompt-Injection-Tricks auf, die Befehle in Webseiten oder sogar Screenshots einschleusen. Das Ergebnis können unbemerkte Datenabflüsse oder Aktionen sein, die völlig ohne Wissen des Nutzers ausgeführt werden.
Im Kern steht eine unscharfe Trennlinie. KI-Browser vermischen vertrauenswürdige Anweisungen des Nutzers mit nicht vertrauenswürdigen Webinhalten. Sicherheitsexperten warnen, dass Angreifer Anweisungen in weißem Text auf weißem Hintergrund oder in maschinenlesbaren Codefragmenten verstecken können, die Menschen übersehen, die die KI aber dennoch verarbeitet.
Maßnahmen erforderlich
Dane Stuckey, Chief Information Security Officer von OpenAI, hat eingeräumt, dass Prompt Injection trotz Red-Teaming und vorhandener Systeme für schnelle Reaktionen weiterhin ein ungelöstes Sicherheitsproblem an der technologischen Grenze darstellt.
Zum unmittelbaren Schutz empfehlen Branchenexperten dringend , den Atlas-Browser zu aktualisieren oder zu deinstallieren, bis offizielle Patches verfügbar sind. Unternehmen sollten bestehende Authentifizierungstoken widerrufen und einen Endgeräteschutz einsetzen, um unbefugten Zugriff auf Anmeldedatenspeicher zu überwachen.
Sicherheitsexperten empfehlen außerdem, Nutzer im sicheren Umgang mit KI-Tools zu schulen und ihnen zu zeigen, wie sie nicht vertrauenswürdige Client-Apps erkennen, denn diese Schwachstelle zeigt, wie KI-Plattformen in zahlreichen Branchen zu neuen Einfallstoren für Cyberangriffe werden können.
Eine Klage wegen widerrechtlicher Tötung gegen OpenAI behauptet, das Unternehmen habe die Schutzvorkehrungen von ChatGPT bei Gesprächen über Selbstverletzung stillschweigend gelockert.
Dieser Artikel wurde geprüft von Antony Peyton.