Für Datenklau und mehr: Forscher tricksen KI-Browser mit einem Spiel aus
Sicherheitsforscher haben wieder einmal einen ziemlich einfachen Weg gefunden, die Sicherheitsbarrieren mehrerer gängiger KI-Browser auszuhebeln und die jeweiligen Sprachmodelle dazu zu bringen, bösartige Anweisungen auszuführen, die sie normalerweise zurückweisen würden. Die Idee hinter dem Angriff stammt aus dem Videospiel Bioshock, weshalb die Forscher ihre Entdeckung auch Bioshocking nennen.
Laut Blogbeitrag von LayerX(öffnet im neuen Fenster) bestand das Ziel darin, die jeweilige KI zu der Annahme zu verleiten, sie befinde sich nicht in der realen Welt, so dass die ihr auferlegten Regeln plötzlich nicht mehr gelten. Dafür ließen die Forscher die KI-Browser ein speziell gestaltetes Spiel auf einer Website spielen.
Dieses Spiel begann mit der einfachen Rechenaufgabe "2 + 2 = ?". Die korrekte Antwort "4" wurde allerdings nicht akzeptiert. Die KI schlussfolgerte daraus, dass es möglicherweise Sinn des Spiels sei, absichtlich eine falsche Antwort zu geben. Nachdem "5" tatsächlich als korrekte Antwort akzeptiert wurde, ließen sich die KI-Browser unter anderem zum Datenklau verleiten.
Und weg sind die Zugangsdaten
Die Forscher demonstrieren den Angriff am Beispiel einer Datenausleitung aus einem Github-Repository. Der dabei genutzte KI-Browser wurde im weiteren Spielverlauf angewiesen, zum relativen URL-Pfad "/code" zu navigieren. Von dort aus erfolgte allerdings eine Weiterleitung zu einem Github-Repository des Nutzers.
Das KI-Modell leitete entsprechend der Spielanweisung eine dort abgelegte Datei mit SSH-Zugangsdaten aus und übermittelte sie an den Betreiber der Spieleseite. Dabei bemerkte die KI nicht einmal, dass sie gerade überlistet wurde, und feierte sich stattdessen dafür, das Spiel erfolgreich beendet zu haben, wie die Forscher anhand von Screenshots zeigen.
"Natürlich handelt es sich hierbei um eine kontrollierte Testumgebung mit einer Klartextdatei. In einem realen Angriffsszenario könnte diese Umleitung auf jeden beliebigen Ort in der Browsersitzung des Nutzers verweisen – offene Tabs, authentifizierte Repositorys, interne Tools", erklären die Forscher. Auch das Ändern von Passwörtern sowie das Installieren von Malware sei mit dem Angriff möglich.
Viel Zeit, wenige Patches
Erfolgreich getestet hat LayerX den Bioshocking-Angriff mit den KI-Browsern ChatGPT Atlas, Comet, Fellou, Genspark Browser, Sigma Browser sowie dem Claude-Chrome-Plug-in von Anthropic. Anthropic wurde den Angaben zufolge am 26. Januar 2026 über den Fund der Forscher informiert, alle anderen Anbieter sogar schon am 30. Oktober 2025.
Obwohl die Anbieter allesamt mehrere Monate Zeit hatten, wurde laut Bericht bisher nur für ChatGPT Atlas eine wirksame Korrektur implementiert. Anthropic hat zwar einen Patch bereitgestellt, der ist nach Angaben der Forscher aber unwirksam. Alle übrigen Anbieter sollen auf die Meldung der Sicherheitsforscher gar nicht eingegangen sein.
Anwendern empfehlen die Forscher, stets darauf zu achten, worauf ihr KI-Browser zugreifen kann. Durch Bioshocking sollen sich sämtliche Daten abgreifen lassen, die über aktive Sitzungen innerhalb des jeweiligen Browsers zugänglich sind. "Alles, bei dem Sie angemeldet sind, ist ein Ziel", betonen die Forscher. Analysten von Gartner hatten schon 2025 vor den erheblichen Risiken gewarnt, die mit dem Einsatz von KI-Browsern einhergehen.
- Anzeige Hier geht es zu Künstliche Intelligenz: Wissensverarbeitung bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.