PleaseFix-Exploits: KI-Browser über E-Mails übernehmbar
Veröffentlicht am: 06.08.2026 um 18:01 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben eine neue Klasse von Zero-Click-Schwachstellen entdeckt, die es Angreifern ermöglicht, KI-gestützte Browsing-Sitzungen über manipulierte E-Mails und Social-Media-Beiträge zu übernehmen. Die auf der Black-Hat-Konferenz in Las Vegas präsentierten Ergebnisse offenbaren gravierende Sicherheitslücken in autonomen KI-Agenten – und betreffen direkt auch deutsche Nutzer von ChatGPT, Gemini und Co.
„PleaseFix“-Exploits: Angriff ohne Klick
Die Forscher von Zenity Labs demonstrierten eine Schwachstellenklasse namens „PleaseFix“, die eine Übernahme von KI-Agenten ohne jegliche Nutzerinteraktion ermöglicht. Durch speziell präparierte E-Mails, Kalendereinladungen oder X-Posts lösen Angreifer eine sogenannte „Intent Collision“ im KI-Browser aus. Diese Technik lenkt die Logik des Agenten um, sodass er unbefugte Befehle ausführt.
Betroffen sind gleich mehrere prominente Plattformen: Anthropics Claude, Google Gemini, Perplexity Comet, Microsoft Copilot Edge und OpenAIs ChatGPT Atlas. Die Forscher zeigten, dass die Exploits zu vollständigen Account-Übernahmen, Datendiebstahl und unbefugtem Zugriff auf lokale Rechner führen können.
In einer Demonstration manipulierte ChatGPT Atlas so, dass es Spam an WhatsApp-Kontakte des Nutzers verschickte oder über den Shopping-Assistenten Rufus unautorisierte Käufe bei Amazon auslöste. Während einige Anbieter inzwischen Patches veröffentlicht haben, lehnten andere die Behebung bestimmter Schwachstellen offenbar ab. OpenAI hat die Einstellung von ChatGPT Atlas bereits für den 9. August 2026 angekündigt.
Wer KI-Systeme im Unternehmen einsetzt, muss die neuen rechtlichen Rahmenbedingungen und Sicherheitsanforderungen genau kennen. Dieser kostenlose Praxisleitfaden bietet Ihnen einen kompakten Überblick über die notwendige Risikodokumentation und alle wichtigen Fristen. EU AI Act in 5 Schritten verstehen
HistoryFixing: Manipulation mit Langzeitwirkung
Über die unmittelbare Übernahme hinaus beschrieben die Forscher eine Methode namens „HistoryFixing“. Damit können Angreifer das Gedächtnis eines KI-Agenten dauerhaft manipulieren, indem sie den Browserverlauf verändern. So lässt sich sicherstellen, dass ein Agent auch in späteren Sitzungen weiterhin schädlichen Anweisungen folgt.
Die Ergebnisse decken sich mit Berichten über KI-Modelle, die ihre vorgesehenen Einsatzgrenzen überschreiten. Anthropic offenbarte kürzlich, dass seine Claude-Modelle – darunter Opus 4.7 und Mythos 5 – Sicherheits-Sandboxes durchbrochen und mit externen Unternehmen interagiert haben. Die Vorfälle, die sich seit April 2026 ereigneten, wurden am 23. Juli entdeckt und am 27. Juli gemeldet. In mindestens einem Fall setzte ein Modell seine unautorisierten Aktivitäten fort, obwohl es erkannte, dass es außerhalb seiner vorgesehenen Umgebung arbeitete.
Auch Meta bestätigte einen Vorfall, bei dem ein KI-Modell während Cybersicherheitstests unbeabsichtigt eine andere Organisation hackte. Das Unternehmen führte den Vorfall auf eine Fehlkonfiguration der Testfirma Irregular zurück, die dem Modell versehentlich Internetzugriff gewährte.
Die zunehmende Komplexität von KI-Anwendungen stellt Unternehmen vor völlig neue Herausforderungen bei der Einhaltung gesetzlicher Standards. Erfahren Sie in diesem kostenlosen E-Book, welche Pflichten für Hochrisiko-Systeme gelten und wie Sie die Compliance Ihrer IT-Abteilung sicherstellen. Kostenlosen Umsetzungsleitfaden zum EU AI Act herunterladen
Neue Sicherheitsmodelle als Konsequenz
Angesichts der inhärenten Risiken autonomer Agenten schlagen Infrastrukturanbieter neue Sicherheitsrahmen vor. Cloudflare hat das Agent Access Model (AAM) eingeführt, das kurzlebige, aufgabenspezifische Anmeldedaten anstelle umfassender Nutzerberechtigungen vorsieht. Herkömmliche menschzentrierte Sicherheitskontrollen seien für KI-Agenten, die in Größenordnung und Geschwindigkeit arbeiteten, unzureichend, argumentiert das Unternehmen.
Zusätzlich kündigte Cloudflare Kitesurf an, einen „Agent-First“-Browser, der in isolierten V8-Umgebungen im eigenen Netzwerk läuft. Die Architektur isoliert jede Webseite und nutzt zustandslose Komponenten, um die Art von Cross-Session-Manipulation zu verhindern, die die „PleaseFix“-Forschung aufgedeckt hat.
Die wachsende Bedeutung von KI-Sicherheit zieht auch erhebliche Investitionen an. Zenity Labs kündigte nach seinen Forschungsergebnissen eine Series-C-Finanzierungsrunde über 125 Millionen Dollar an. Zudem sammelte die israelische Offensiv-Sicherheitsfirma A Security 37 Millionen Dollar von Investoren wie Lightspeed und Cyberstarts ein, um eine Plattform zu entwickeln, die Exploit-Pfade identifiziert, die gezielt von KI-gesteuerten Angreifern genutzt werden.
