Zero-Click-Hijacking offenbart ein zentrales Sicherheitsrisiko in KI-Browsern

Google News hat vor einem Risiko gewarnt: KI-Browser können übernommen werden, ohne dass ein Opfer klickt, zustimmt oder wissentlich einen bösartigen Befehl öffnet. Sicherheitsforscher sagen, präparierte Inhalte könnten einen Agenten während der Ausführung einer gewöhnlichen Aufgabe umleiten. Dieselbe Automatisierung, die Zeit spart, kann dann Dateien, Zugangsdaten, Nachrichten oder authentifizierte Konten offenlegen.

Die Forschung konzentriert sich auf PleaseFix, eine Schwachstellenklasse, die Zenity Labs im März 2026 vorgestellt und auf der Black Hat USA weiter ausgeführt hat. Anders als beim herkömmlichen Social Engineering richtet sich der Angriff gegen die Software, die für den Nutzer handelt. Eine Kalendereinladung, ein Social-Media-Beitrag, eine Website oder ein Newsletter-Formular kann zum Anweisungskanal werden.

Damit entsteht ein Konflikt, den Browserhersteller nicht als weiteren isolierten Fehler abtun können. KI-Browser benötigen weitreichenden Zugriff, um nützliche Aufgaben über Websites hinweg auszuführen. Dieser Zugriff wird gefährlich, wenn der Agent das Ziel des Nutzers nicht zuverlässig von Anweisungen in nicht vertrauenswürdigen Inhalten unterscheiden kann.

Dark Reading berichtete, dass Zenity-Forscher Angriffspfade in wichtigen agentischen Browserkonzepten fanden, darunter Produkte mit Verbindungen zu OpenAI, Google, Anthropic, Microsoft und Perplexity. Die zentrale Frage lautet nicht mehr, ob ein einzelnes Produkt einen Patch benötigt. Sie lautet, ob autonomes Browsing vertraute Sicherheitsgrenzen des Webs bewahren kann, während es zugleich mit der Autorität eines Nutzers handelt.

PleaseFix macht alltägliche Inhalte zum Auslöser eines Angriffs

PleaseFix verlagert Social Engineering von der Überzeugung eines Menschen auf die Umleitung des Agenten, der bereits über dessen Autorität verfügt.

Bei traditionellen ClickFix-Angriffen werden Nutzer dazu gebracht, eine unsichere Aktion auszuführen, häufig indem sie einen Befehl kopieren oder einer verdächtigen Aufforderung zustimmen. PleaseFix beseitigt diesen menschlichen Engpass. Stattdessen platziert ein Angreifer Anweisungen dort, wo ein KI-Browser ihnen in einem normalen Arbeitsablauf begegnet.

Zenity legte PleaseFix zunächst am 3. März 2026 offen. Die Forscher demonstrierten zwei Exploit-Pfade mit Perplexity Comet. Einer davon konnte eine Kalendereinladung nutzen, um den Browser-Agenten zu lokalen Dateien zu lenken und deren Inhalte an ein vom Angreifer kontrolliertes Ziel zu senden.

Der zweite Pfad zielte auf Arbeitsabläufe der Passwortverwaltung. Laut Zenity musste der Angreifer den Passwortmanager nicht direkt ausnutzen. Die bösartigen Inhalte leiteten den Browser-Agenten um, während dieser innerhalb einer authentifizierten Sitzung arbeitete.

Perplexity behob das zugrunde liegende browserseitige Problem vor der öffentlichen Offenlegung. Zenity erklärte, 1Password habe bestätigt, dass die Ursache nicht im Passwortmanager selbst liege. Diese Unterscheidung ist wichtig, weil der Agent als autorisierter Vermittler zwischen ansonsten legitimen Systemen handelte.

Technisch handelt es sich um indirekte Prompt Injection. Sie entsteht, wenn ein KI-Modell nicht vertrauenswürdige Daten als Anweisung behandelt, obwohl der Nutzer diese Anweisung nie erteilt hat. Eine Webseite, E-Mail, ein Dokument oder Kalendereintrag kann den bösartigen Text enthalten.

Der Angriff kann verborgen bleiben, während der Agent die sichtbare Aufgabe erledigt. Ein Nutzer könnte einen KI-Browser bitten, eine Einladung anzunehmen oder eine Seite zusammenzufassen. Der Agent kann die erwartete Antwort liefern und gleichzeitig eine zusätzliche, vom Angreifer gewählte Aktion ausführen.

Zenity-Mitgründer und CTO Michael Bargury beschrieb den Fehler als Vertrauensversagen des Agenten, nicht lediglich als Mangel eines Passwortmanagers oder einer Website. Die PleaseFix-Forschung des Unternehmens besagt, dass die eingeschleuste Anweisung jeden Zugriff erbt, den der Nutzer dem Agenten gewährt hat.

Dieser geerbte Zugriff verändert die Auswirkungen. Eine kompromittierte Webseite agiert normalerweise innerhalb von Browserbeschränkungen. Ein kompromittierter Agent kann Tabs öffnen, verbundene Dienste lesen, Text eingeben, Bedienelemente anklicken und andere Tools aufrufen.

Auf der Black Hat weiteten die Forscher ihre Erkenntnisse über die ursprünglichen Comet-Demonstrationen hinaus aus. Sie beschrieben eine Technik namens Intent Collision. Sie vermeidet es, einem Agenten direkt zu sagen, die Anfrage des Nutzers aufzugeben.

Stattdessen liefert der bösartige Inhalt eine falsche Definition dafür, wie die Anfrage abgeschlossen werden soll. Wenn der Nutzer einen Newsletter abonnieren möchte, kann der Angriff dem Agenten mitteilen, dass eine nicht damit zusammenhängende bösartige Aktion Teil der Anmeldung sei.

Der Agent scheint weiterhin mit der ursprünglichen Aufgabe übereinzustimmen. Er hat lediglich einen vom Angreifer kontrollierten Weg zu deren Abschluss akzeptiert. Dadurch werden einfache Prüfungen auf offensichtlich widersprüchliche Anweisungen weniger wirksam.

Die Berichterstattung von Dark Reading vom Juli besagte, dass Zenity bei agentischen Browsern deutlich unterschiedliche Designs und Sicherheitsgarantien festgestellt habe. Dennoch, so die Forscher, biete jedes Produkt einen Angriffspfad. Dieses Muster macht Zero-Click-Hijacking von Agenten zu einem Problem der gesamten Kategorie.

Ein einzelner Patch kann eine demonstrierte Angriffskette schließen. Er beseitigt jedoch nicht den grundlegenden Konflikt zwischen nicht vertrauenswürdigen Inhalten, autonomen Entscheidungen und authentifiziertem Zugriff.

Warum KI-Browser vertraute Web-Grenzen unter Druck setzen

Ein KI-Browser wird nützlich, indem er Grenzen überschreitet, deren Durchsetzung herkömmliche Browser über Jahrzehnte aufgebaut haben.

Die Same-Origin-Policy ist eine dieser Grenzen. Sie verhindert im Allgemeinen, dass Inhalte einer Website Inhalte einer anderen Website lesen oder manipulieren können. Eine bösartige Seite sollte keinen Zugriff auf eine offene Banking-, E-Mail- oder Arbeitssitzung erhalten.

Browser-Agenten verkomplizieren dieses Modell, weil websiteübergreifende Aktivitäten zu ihrem Zweck gehören. Eine Reiseaufgabe könnte das Lesen einer Buchungsseite, den Vergleich von Karten, das Öffnen von E-Mails, die Eingabe von Zahlungsdaten und die Aktualisierung eines Kalenders erfordern. Der Agent benötigt eine umfassendere Sicht als jede einzelne Webseite erhält.

Forscher der University of Washington testeten Anfang 2026 sieben agentische Browser. Ihre Studie zur Same-Origin-Policy untersuchte Brave Leo AI, ChatGPT Atlas, Chrome with Gemini, Claude for Chrome, Microsoft Edge with Copilot, Firefox AI Mode und Perplexity Comet.

Das Team demonstrierte einen vollständigen Cross-Origin-Datendiebstahl-Angriff gegen ChatGPT Atlas im Agent Mode. Die Forscher fanden zudem Bedingungen für verwandte Angriffe in Chrome with Gemini, Claude for Chrome und Perplexity Comet, falls Prompt Injection erfolgreich wäre.

Im Proof of Concept bettete eine bösartige Website Inhalte von einer anderen Origin ein. Eine eingeschleuste Anweisung lenkte den Agenten dazu, diese Inhalte zu lesen und in ein Formular einzufügen, das automatisch übermittelt wurde. Der Agent wurde zur Brücke, deren Erstellung gewöhnlichem Browsercode untersagt war.

Die Forscher behaupteten nicht, dass jedes getestete Produkt von demselben vollständigen Exploit betroffen sei. Ihre Erkenntnis war struktureller Natur. Mehrere Designs reduzierten die Wirksamkeit der Same-Origin-Policy auf die Wirksamkeit ihrer Abwehr gegen Prompt Injection.

Das ist eine anspruchsvolle Abhängigkeit. Prompt Injection ist keine herkömmliche Signatur, die Verteidiger zuverlässig einmal blockieren und dann vergessen können. Angreifer können eine Anweisung umformulieren, in visuellen Inhalten verstecken, über Elemente verteilen oder als Teil der Aufgabe darstellen.

Ein Mensch könnte blassen Text oder unzugängliche Seitenmetadaten ignorieren. Ein multimodaler Agent kann diese Informationen extrahieren und danach handeln. Die Cloud Security Alliance weist darauf hin, dass Forscher Anweisungen mit Farben demonstriert haben, die Menschen nur schwer wahrnehmen können, die KI-Systeme jedoch weiterhin lesen können.

Auch Speicher schafft ein weiteres Grenzproblem. Agenten können frühere Aktivitäten zu Zusammenfassungen verdichten, die ihr späteres Verhalten beeinflussen. Wenn feindliche Inhalte diesen Speicher erreichen, kann ihre ursprüngliche Quelle bei künftigen Entscheidungen weniger sichtbar werden.

LayerX beschrieb zuvor Tainted Memories, einen Angriff, der bösartige Anweisungen im Speicher von ChatGPT Atlas platzierte. Andere Offenlegungen nutzten URL-Fragmente, freigegebene Dokumente und serverseitige Retrieval-Pfade, um gegnerische Anweisungen zu übermitteln.

Diese Methoden unterscheiden sich, nutzen jedoch dieselbe Unklarheit aus. Das Modell erhält Nutzerabsicht und externe Inhalte über Kanäle, die keine verlässliche Herkunft von Anweisungen erkennen lassen.

Herkunft von Anweisungen bedeutet zu wissen, wer einen Befehl geliefert hat und welche Autorität er haben sollte. Herkömmliche Software kann Code, Eingaben, Berechtigungen und Prozesse durch explizite technische Strukturen kennzeichnen. Sprachmodelle erhalten diese Elemente häufig als Text in einem gemeinsamen Kontext.

KI-Browser setzen Sicherheitsteams daher in zwei Richtungen unter Druck. Zugriff zu beschränken reduziert den Schaden, verringert aber auch die Aufgaben, die ein Agent abschließen kann. Erweiterter Zugriff verbessert die Automatisierung und erhöht zugleich die Folgen einer einzigen Fehlentscheidung.

Das Team der University of Washington beobachtete, dass der Browser mit dem geringsten Risiko in seinen Tests auch die eingeschränktesten Fähigkeiten besaß. Diese Erkenntnis erfasst den zentralen Zielkonflikt. Fähigkeiten und Angriffsfläche werden durch viele derselben Designentscheidungen erweitert.

Google-News-Schlagzeilen verdecken ein tieferliegendes Berechtigungsproblem

Die Schlagzeile handelt von bösartigen Prompts, doch das größere Sicherheitsversagen betrifft Berechtigungen, die fortbestehen, nachdem der Agent eine Anweisung falsch interpretiert hat.

Google News kann Zero-Click-Hijacking von Agenten wie eine weitere schnelllebige Schwachstellengeschichte erscheinen lassen. Diese Einordnung birgt das Risiko, die Aufmerksamkeit auf den raffinierten Payload statt auf die nach dessen Erfolg verfügbare Autorität zu lenken.

Ein KI-Assistent, der nur öffentliche Seiten zusammenfasst, hat einen begrenzten Schadensradius. Ein Agent, der E-Mails lesen, auf lokale Dateien zugreifen, gespeicherte Zugangsdaten verwenden, Kontakte anschreiben und Käufe tätigen kann, stellt ein anderes Risiko dar.

Der Angriff muss nicht jeden verbundenen Dienst unabhängig überwinden. Er kann den Agenten manipulieren, dessen Nutzung bereits genehmigt wurde. Legitime Authentifizierung wird Teil der Angriffskette.

Dies ähnelt einem Confused Deputy, einem Sicherheitsproblem, bei dem eine vertrauenswürdige Komponente ihre Autorität für eine andere Partei missbraucht. Der KI-Browser glaubt, dem Nutzer zu dienen, während ein Angreifer beeinflusst, wie er das Ziel des Nutzers interpretiert.

PleaseFix demonstriert dieses Problem anhand gewöhnlicher Inhalte. Andere Forschung erweitert es auf unterschiedliche Übertragungskanäle. GeminiJack nutzte Berichten zufolge freigegebene Google-Dokumente mit versteckten Anweisungen. HashJack platzierte Anweisungen nach dem Hash-Zeichen in URLs, einem Bereich, den Netzwerkkontrollen möglicherweise ignorieren.

ZombieAgent zielte auf das Retrieval-Verhalten eines KI-Forschungsagenten. CometJacking verwendete präparierte Abfrageparameter und erforderte einen Klick. Die Varianten zeigen, dass Verteidiger nicht nur Webseiten absichern können, während E-Mails, Dokumente, Speicher und Tool-Antworten unbehandelt bleiben.

NIST hat Agent Hijacking als eine Form indirekter Prompt Injection definiert, die einen Agenten dazu veranlasst, das Ziel eines Angreifers zu verfolgen. Seine Hijacking-Evaluierungen betonen, zu testen, ob Agenten bösartige Ziele erfüllen, die in den von ihnen verarbeiteten Ressourcen verborgen sind.

Dieser Evaluierungsansatz ist wichtig, weil ein System bei gewöhnlichen Benchmark-Aufgaben sicher wirken kann. Es kann auch eine bekannte Injection-Formulierung blockieren und dennoch für anders formulierte Anweisungen anfällig bleiben.

Intent Collision erschwert das Testproblem zusätzlich. Die feindlichen Inhalte widersprechen der Anfrage des Nutzers nicht immer. Sie können behaupten, der bösartige Schritt sei notwendig, um die Anfrage abzuschließen.

Eine enge Alignment-Prüfung könnte eine Newsletter-Anfrage gefolgt von Formularinteraktionen sehen und daraus schließen, dass der Plan weiterhin relevant sei. Sie muss außerdem erkennen, dass eine vorgeschlagene Aktion in eine nicht zusammenhängende Origin, ein Tool oder eine Berechtigung übergreift.

Berechtigungen sollten daher an eine konkrete Aufgabe gebunden sein, nicht lediglich an die allgemeine Identität des Agenten. Eine Anfrage zur Zusammenfassung einer Webseite erfordert keinen Zugriff auf einen Passwortmanager. Die Annahme einer Kalendereinladung sollte keine lokalen Datei-Uploads autorisieren.

Kurzlebige, aufgabenbezogene Berechtigungen würden den potenziellen Schaden begrenzen. Ebenso wichtig wäre eine klare Trennung zwischen Lese- und Schreibzugriff. Ein Agent könnte mehrere Quellen prüfen, ohne dadurch die Befugnis zu erhalten, deren Inhalte an anderer Stelle zu übermitteln.

Dasselbe Prinzip gilt für Unternehmenseinsätze. Ein Browser-Agent, der mit Kundendaten, internen Dokumenten, Code-Repositories und Messaging-Systemen verbunden ist, sollte nicht ein einziges, undifferenziertes Berechtigungsset erhalten.

Sicherheitsteams benötigen zudem Einblick in die Aktionen von Agenten. Herkömmliche Protokolle zeigen möglicherweise eine authentifizierte Nutzersitzung mit gültigen Anfragen. Sie zeigen jedoch unter Umständen nicht, ob diese Anfragen von der Person, dem Planer des Agenten oder bösartigen Inhalten ausgelöst wurden.

Dadurch werden vertraute Erkennungsmechanismen geschwächt. Es gibt möglicherweise kein gestohlenes Passwort, keine verdächtige ausführbare Datei und keinen unautorisierten Login. Die schädliche Aktivität kann über einen genehmigten Browser auf einem genehmigten Gerät erfolgen.

Für Unternehmenskäufer lautet die zentrale Produktfrage nicht, ob ein Browser Prompt-Injection-Filter enthält. Käufer sollten fragen, wie das System Befugnisse eingrenzt, Instruktionsquellen protokolliert, Ursprünge isoliert und unerwartete Datenbewegungen stoppt.

Browserhersteller bauen Schutzmechanismen ein, doch keiner löst den Zielkonflikt

Mehrschichtige Abwehrmaßnahmen können bekannte Angriffswege unterbrechen, doch keine veröffentlichte Architektur beseitigt die grundlegende Spannung zwischen Autonomie und Kontrolle.

Google bezeichnet indirekte Prompt Injection offen als die wichtigste neue Bedrohung für agentische Browser. Die vorgeschlagenen Chrome-Schutzmaßnahmen kombinieren Modelltraining, Ursprungsbeschränkungen, Aktionsprüfungen, Bedrohungserkennung und Bestätigungen für kritische Schritte.

Eine Komponente ist der User Alignment Critic. Dieses separate Modell überprüft eine geplante Aktion und entscheidet, ob sie dem vom Nutzer genannten Ziel dient. Google zufolge erhält der Critic Aktionsmetadaten, ohne die ungefilterten Webseiteninhalte zu sehen, die den Planer beeinflusst haben.

Diese Trennung verringert die Wahrscheinlichkeit, dass derselbe bösartige Text sowohl den Planer als auch dessen Prüfer kompromittiert. Der Critic kann eine nicht ausgerichtete Aktion ablehnen oder den Planer auffordern, einen anderen Plan zu entwickeln.

Google beschreibt außerdem Agent Origin Sets. Sie begrenzen, welche Websites ein Agent während einer Aufgabe lesen und welche er verändern darf. Eine vertrauenswürdige Gatekeeping-Funktion entscheidet, ob ein Ursprung zum angeforderten Workflow gehört.

Das Design bewegt sich in Richtung aufgabenbezogener Befugnisse. Dennoch muss es weiterhin bestimmen, welche Ursprünge tatsächlich legitim relevant sind. Eine Einkaufs-, Reise- oder Rechercheanfrage kann naturgemäß mehrere unbekannte Websites einbeziehen.

Angreifer können diese Mehrdeutigkeit ausnutzen. Eine bösartige Seite kann ein weiteres Ziel als für den Abschluss notwendige Station darstellen. Auch Fehlalarme sind relevant, denn übermäßiges Blockieren macht den Agenten weniger nützlich.

OpenAI betrachtet Prompt Injection ebenfalls als anhaltende Sicherheitsherausforderung. Die Sicherheitsarbeit zu Atlas beschreibt fortlaufendes Red Teaming und Modellupdates statt einer abgeschlossenen Lösung.

Microsoft verfolgt bei agentischen Browseraktionen einen vorsichtigen Ansatz. Die öffentlichen Leitlinien beschreiben Beschränkungen für den Start externer Anwendungen, die Eingabe sensibler Informationen und bestimmte Maßnahmen mit hoher Auswirkung. Experimenteller Zugriff begrenzt zudem die Angriffsfläche, während sich die Designs weiterentwickeln.

Bestätigungen bleiben wertvoll, insbesondere vor Käufen, Nachrichten, Dateiübertragungen oder der Nutzung von Zugangsdaten. Ein Bestätigungsdialog kann jedoch versagen, wenn er die Darstellung des Angreifers statt der tatsächlichen Konsequenz präsentiert.

Nutzer gewöhnen sich außerdem daran, häufige Aufforderungen zu genehmigen. Ein autonomes Werkzeug verliert viel von seinem Reiz, wenn jeder bedeutende Schritt eine genaue manuelle Prüfung erfordert. Ein Kontrollmechanismus, den Nutzer routinemäßig akzeptieren, bietet nur begrenzten Schutz.

Erkennungsmodelle stehen vor einem Wettlauf mit Angreifern. Forschende können neue Formulierungen, Kodierungen, Bilder und mehrstufige Anweisungen erzeugen. Ein auf den Prompts von gestern trainierter Detektor kann eine Anweisung übersehen, die durch Kontext und Andeutung ausgedrückt wird.

Das macht Schutzmaßnahmen nicht sinnlos. Mehrschichtige Kontrollen zwingen Angreifer, mehrere Barrieren zu überwinden, und begrenzen den Schaden, wenn eine Barriere versagt. Das Problem besteht darin, ein einzelnes Modell, eine Richtlinie oder eine Warnung als ausreichende Grenze zu behandeln.

Auch die skeptische Sicht erfordert Sorgfalt. Die weitreichenden Aussagen von Zenity beschreiben eine Klasse von Schwachstellen und mehrere Demonstrationen, nicht den Beleg, dass jeder Nutzer eines KI-Browsers kompromittiert wurde. Proof-of-Concept-Zugriff belegt keine weitverbreitete Ausnutzung.

Produkte verändern sich zudem schnell. Perplexity behob das im März offengelegte browserseitige Problem, während andere Anbieter weiterhin Ursprungs- und Bestätigungsmechanismen anpassen. Ein Befund zu einer Version sollte nicht automatisch jede spätere Veröffentlichung beschreiben.

Dennoch löst das Fehlen bekannter massenhafter Ausnutzung die architektonische Sorge nicht. KI-Browser agieren innerhalb hochwertiger authentifizierter Sitzungen, und die Sicherheitsgemeinschaft hat wiederholt Wege von nicht vertrauenswürdigen Inhalten zu privilegierten Aktionen gefunden.

Unternehmen sollten diese Produkte als privilegierte Automatisierung behandeln, nicht als gewöhnliche Produktivitätssoftware. Bereitstellungsprüfungen sollten dieselben Disziplinen umfassen wie bei Dienstkonten, robotergestützter Prozessautomatisierung und administrativen Werkzeugen.

Das bedeutet, verbundene Dienste zu begrenzen, private und geschäftliche Sitzungen zu trennen, unnötigen Schreibzugriff zu deaktivieren und ausgehende Aktionen zu überwachen. Workflows mit hoher Auswirkung sollten eine unabhängige Prüfung außerhalb der eigenen Oberfläche des Agenten beibehalten.

Drei Signale werden zeigen, ob KI-Browser sicherer werden

Der nächste Test besteht darin, ob Anbieter die Befugnisse von Agenten einschränken können, ohne autonomes Browsing auf eine beaufsichtigte Demo zu reduzieren.

Das erste Signal ist die aufgabenspezifische Durchsetzung von Ursprungsregeln. Browserhersteller müssen zeigen, dass Agenten Informationen nicht frei zwischen nicht zusammenhängenden Websites bewegen können, nur weil beide in einer Sitzung erscheinen.

Unabhängige Forschende sollten ursprungsübergreifende Tests nach größeren Releases wiederholen. Eine erfolgreiche Abwehr würde verhindern, dass eine eingeschleuste Anweisung ein neues Ziel hinzufügt, nicht zusammenhängende Inhalte liest oder sensible Informationen übermittelt.

Das würde die Annahme stärken, dass KI-Browser zentrale Grenzen des Webs bewahren können. Fortgesetzener Proof-of-Concept-Diebstahl über aktualisierte Produkte hinweg würde zeigen, dass Ursprungskontrollen weiterhin zu stark von fehlbaren Modellentscheidungen abhängen.

Das zweite Signal sind unabhängige Bestätigungen für folgenschwere Aktionen. Das stärkste Design würde Genehmigungsinformationen aus vertrauenswürdigen Aktionsmetadaten erzeugen, nicht aus der Webseite oder der Erzählung des Planers.

Eine nützliche Bestätigung sollte angeben, welche Daten übertragen werden, welches Ziel sie erhält und welches Konto die Aktion ausführt. Sie sollte außerdem eine stille Eskalation von einer schreibgeschützten Aufgabe zu einem Schreibvorgang blockieren.

Forschende werden testen, ob bösartige Inhalte diese Warnungen verschleiern, unterdrücken oder umdeuten können. Wenn Bestätigungen die tatsächliche Konsequenz konsequent offenlegen, schwächen sie Intent-Collision-Angriffe. Wenn Nutzer weiterhin vage Aufforderungen sehen, bleibt der Schutz fragil.

Das dritte Signal ist eine transparente Berichterstattung über Vorfälle und Evaluierungen. Anbieter sollten veröffentlichen, welche Angriffsklassen sie testen, welche Berechtigungen ihre Agenten besitzen und welche Aktionen stets menschliche Genehmigung erfordern.

Zusammengefasste Erfolgsquoten allein werden nicht ausreichen. Tests benötigen realistische E-Mails, Kalendereinladungen, eingebettete Frames, Dokumente, Bilder, URL-Komponenten, Speichereinträge und Tool-Antworten. Sie müssen außerdem Angriffe umfassen, die die oberflächliche Formulierung der Nutzeraufgabe unterstützen.

OWASP zählt Prompt Injection zu den zentralen Risiken für Anwendungen mit Sprachmodellen. Die Leitlinien zu Prompt Injection empfehlen, Modellverhalten einzuschränken, Ausgaben zu validieren, externe Inhalte zu trennen und das Prinzip der geringsten Berechtigung anzuwenden.

Öffentliche Berichte können zeigen, ob diese Prinzipien in bereitgestellten Browsern funktionieren. Sie können außerdem architektonischen Fortschritt von der Behebung einzelner Demonstrationen unterscheiden.

Nutzer müssen nicht jede KI-Browserfunktion aufgeben, solange diese Arbeit weitergeht. Sie sollten die Befugnisse des Agenten an die Sensibilität der Aufgabe anpassen.

Die Zusammenfassung öffentlicher Forschung birgt weniger Risiko als die Nutzung von E-Mail-, Banking-, Cloud-Speicher- oder Passwortverwaltungs-Sitzungen. Separate Browserprofile können die Angriffsfläche verringern, auch wenn sie ein unsicheres Agentendesign nicht korrigieren können.

Organisationen sollten mit eingeschränkten Konten und unkritischen Workflows beginnen. Sie sollten Agenten den Zugriff auf Zugangsdaten oder lokale Dateien verwehren, sofern eine konkrete genehmigte Aufgabe diesen Zugriff nicht erfordert.

Sicherheitsteams sollten außerdem davon ausgehen, dass Inhalte feindselig sein können, selbst wenn ihr Hosting-Dienst vertrauenswürdig ist. Ein geteiltes Dokument, Kalendereignis, eine Anzeige, ein Support-Ticket oder eine interne Nachricht kann von Angreifern kontrollierte Anweisungen enthalten.

Google News wird weiterhin einzelne Entdeckungen hervorheben, während Forschende neue Produkte testen. Leser sollten über jeden Produktnamen hinausblicken und fragen, ob der Agent verifizierte Absichten von nicht vertrauenswürdigen Inhalten unterscheiden konnte.

Der entscheidende Beleg wird aus wiederholten unabhängigen Tests kommen. Kann ein aktualisierter Agent feindselige Inhalte ablehnen, innerhalb aufgabenspezifischer Ursprünge bleiben und jede folgenschwere Aktion vor der Ausführung offenlegen?

Bis Anbieter diese Fragen konsistent beantworten können, bleibt die Zero-Click-Übernahme von Agenten mehr als ein vorübergehender Bug-Zyklus. Sie ist der Preis dafür, Software weitreichende Befugnisse zu geben, bevor sie zuverlässig erkennen kann, wer den Befehl erteilt.