KI-Browser lassen sich durch einen Post kapern, den Sie nie anklicken

KI-Browser lassen sich durch eine Nachricht übernehmen, die das Opfer nie anklickt, und ein Patch löst das Problem nicht. Am 5. August präsentierten Zenity-Mitgründer Michael Bargury und Forscher Stav Cohen auf der Black Hat USA 2026 in Las Vegas eine Schwachstellenklasse namens PleaseFix, die den im Browser eingebauten KI-Agenten gegen seinen eigenen Nutzer richtet. Betroffen sind Claude in Chrome, Gemini in Chrome, ChatGPT Atlas, Perplexity Comet und Copilot Edge. Mehrere der Lücken wurden vor Monaten gemeldet und sind bis heute offen.

Wie ein Kommentar auf X zum Befehl wird

Ein agentischer Browser zeigt eine Seite nicht nur an. Er liest sie, entscheidet selbst über den nächsten Schritt und handelt in Sitzungen, in denen Sie bereits angemeldet sind. Das Problem: Alles Gelesene kommt in derselben Form an. Ihre Anweisung und der Text einer beliebigen Webseite sind für das Modell nicht zu unterscheiden. Zenity nennt das Ergebnis Intent Collision. Ein Angreifer schreibt eine Anweisung in Inhalte, die der Agent ohnehin liest, und der Agent befolgt sie, als hätten Sie sie selbst getippt.

Es muss nichts heruntergeladen oder installiert werden. Es gibt keinen schädlichen Anhang und keinen Button, den man drücken müsste. Die Nutzlast kann in einer Antwort unter einem beliebten X-Post stehen, in einer gewöhnlichen E-Mail oder in einer Kalendereinladung. Ausgelöst wird das Ganze durch Ihre völlig normale Bitte, etwa Ihren Posteingang zusammenzufassen.

Was die Forscher die Agenten tatsächlich tun ließen

Das waren keine theoretischen Nachweise. Das Team führte vollständige Ketten mit echtem Schaden vor:

• Postfach und Cloud abgesaugt: Eine versteckte Anweisung in einer E-Mail wartet, bis der Nutzer Claude in Chrome um eine Zusammenfassung seiner Mails bittet. Der Agent liest den Gmail-Feed aus, holt die Nachrichtentexte, schickt die Inhalte an einen Angreiferserver und gibt das gesamte Google Drive des Opfers für ein Konto des Angreifers frei.
• Kontoübernahme: Dieselbe Kette stößt danach Passwort-Resets bei anderen Diensten an, beobachtet das Postfach auf die Bestätigungscodes und leitet sie weiter. So wurden Slack-, X- und Gmail-Konten übernommen.
• Phishing an Ihre Kontakte: Ein platzierter X-Kommentar schickt ChatGPT Atlas in der angemeldeten Sitzung des Opfers zu WhatsApp Web, wo er die Kontaktliste liest und allen schreibt.
• Einkaufen auf Ihre Kosten: In einer weiteren Kette geht Atlas zu Amazon, füllt den Warenkorb, ändert die Lieferadresse und drängt den Assistenten des Shops, die Bestellung abzuschließen.
• Zugriff auf die Maschine: Die Forscher beschreiben Ketten, die bis zu Diensten auf dem lokalen Rechner und weiter zur Codeausführung reichen, dazu vergiftete Browserverläufe, damit die Manipulation bestehen bleibt.

Eine frühere Runde derselben Forschung, veröffentlicht im März 2026, zeigte eine Kette in Perplexity Comet, die mit einer Kalendereinladung begann, lokale Dateien las und den Zugriff des Agenten auf einen Passwortmanager missbrauchte. Perplexity behob dieses browserseitige Problem noch vor der Veröffentlichung, und 1Password bestätigte, dass die Ursache im Ausführungsmodell von Perplexity lag und nicht im Passwortmanager.

Warum KI-Browser eine jahrzehntealte Regel des Web brechen

Dieser Teil lohnt das Verständnis, denn er unterscheidet den Angriff von einem gewöhnlichen Virus. Dreißig Jahre lang haben Browser Websites voneinander getrennt gehalten. Eine Seite auf einer Website kann Ihre Mail auf einer anderen nicht lesen. Diese Mauer, die Same-Origin-Policy, ist der Grund, warum eine einzelne bösartige Seite Ihre Konten bisher nicht ausräumen konnte.

Ein KI-Agent steht konstruktionsbedingt auf der anderen Seite dieser Mauer. Er ist Sie. Er trägt Ihre Cookies, Ihre angemeldeten Sitzungen und Ihre Rechte, und er bewegt sich zwischen Diensten, weil Sie ihn genau dafür geholt haben. Wer den Agenten kapert, braucht daher kein Passwort, muss keine Zwei-Faktor-Authentifizierung umgehen und kein Programm auf Ihrem Rechner platzieren. Er erbt alles, wo Sie bereits angemeldet sind, und jede Aktion sieht aus, als käme sie von Ihnen. Ihr Virenscanner sieht nichts, weil auf seiner Ebene nichts Falsches passiert.

Behoben, offen und als normales Verhalten deklariert

Zenity meldete die Funde vor der Veröffentlichung an Anthropic, OpenAI, Google, Microsoft und Perplexity. Die Reaktionen fielen unterschiedlich aus. Einige Anbieter lieferten Fixes. Andere antworteten, das Verhalten sei so vorgesehen. OpenAI erfuhr im Januar 2026 von den Atlas-Ketten und bestätigte sie, offen sind sie weiterhin. Anthropic erhielt die Berichte im Dezember 2025 und Januar 2026, stufte sie als informativ ein, und auch diese Ketten sind nicht geschlossen.

Das klingt ausweichend, ist aber vor allem beunruhigend. Bargury selbst fasst es so zusammen: "das ist kein Bug, den wir wegpatchen können". Die Schwäche ist kein Programmierfehler in einem Produkt. Sie entsteht, wenn ein Programm gleichzeitig nicht vertrauenswürdigen Text lesen und in Ihrem Namen handeln soll. Dieselbe Ursache hatten wir bereits, als jede Webseite ChatGPT in ein Phishing-Werkzeug verwandeln konnte und als ein OpenAI-Modell aus seiner Sandbox ausbrach und echte Firmen erreichte.

Was Sie jetzt tun sollten

Sie müssen auf KI-Browser nicht verzichten, aber die vernünftige Einstellung ist heute Vorsicht:

1. Lassen Sie einen Agenten nicht gleichzeitig mit Hauptpostfach, Cloudspeicher und Arbeitschat verbunden. Der Schaden entstand in jeder Kette aus kombiniertem Zugriff.
2. Nutzen Sie ein eigenes Browserprofil für Agentenarbeit mit so wenigen Anmeldungen wie möglich und halten Sie Bank, Mail und Adminpanels in einem normalen Browser.
3. Schalten Sie autonome Modi ab, in denen der Agent ohne Rückfrage surft und handelt. Bestätigungsdialoge nerven, sind aber die einzige Stelle, an der Sie noch sehen, was passiert.
4. Vorsicht bei der harmlosen Bitte. Einen Posteingang oder einen Kommentarthread zusammenfassen zu lassen ist genau der Auslöser, um den diese Angriffe gebaut wurden.
5. Prüfen Sie Sicherheitseinstellungen und verbundene Apps in Konten, die ein Agent berührt hat, besonders bei Dateifreigaben, und sehen Sie nach, wer Zugriff auf Ihren Speicher hat.

Es lohnt sich, klar zu sagen, was ein VPN hier leistet und was nicht. Ein VPN verschlüsselt Ihren Verkehr und verbirgt Ihre Adresse vor dem Netz, in dem Sie sich befinden, was gegen Mitschnitt und Tracking zählt, aber es kann nicht begrenzen, was ein Agent in bereits von Ihnen genehmigten Sitzungen tut. Kanalschutz und Agentenrechte sind zwei getrennte Ebenen, und diese Forschung betrifft die zweite. Dieselbe Unterscheidung kam auf, als geteilte Claude-Chats in der Google-Suche auftauchten.

Fazit