Experten schlagen Alarm: OpenAIs KI-Browser voller Sicherheitslücken

OpenAI stellte letzte Woche den KI-Browser Atlas vor. Schon wenige Stunden später entdeckten Sicherheitsexperten meh­re­re kritische Schwachstellen. Prompt-Injection-Angriffe können dafür sorgen, dass sich der Browser gegen seine eigenen Nutzer wendet.

Atlas im Visier der Hacker

Nach Perplexity mit Comet hat auch OpenAI am 21. Oktober 2025 mit Atlas seinen eigenen Browser mit KI-Integration für MacOS gestartet. Windows-, iOS- und Android-Versionen sollen bald folgen, wobei das Produkt für alle kostenlosen Nutzer verfügbar ist. Doch die Euphorie über den neuen Browser währte nur kurz.

Bereits wenige Stunden nach dem Launch begannen Sicherheitsexperten, kritische Schwachstellen in Atlas aufzudecken. Das Hauptproblem liegt in sogenannten Prompt-Injection-Angriffen, bei denen Hacker schädliche Befehle in Webseiten oder Bilder einbetten können. Diese versteckten Anweisungen werden vom KI-System als legitime Befehle interpretiert und ausgeführt, ohne dass der Nutzer davon weiß.


Wie Fortune berichtete, ist Atlas nicht der einzige betroffene Browser. Brave Software veröffentlichte zeitgleich mit dem Atlas-Launch einen Bericht, der ähnliche Schwachstellen bei anderen KI-Browsern aufdeckte. Die Forscher warnen, dass "indirekte Prompt-Injection kein isoliertes Problem ist, sondern eine systemische Herausforderung für die gesamte Kategorie KI-betriebener Browser".

Erste Angriffe binnen Stunden

Ein Entwickler namens CJ Zafir berichtete bereits am ersten Tag, dass er Atlas sofort wieder deinstallierte, nachdem er festgestellt hatte, dass "Prompt-Injections real" seien. Andere Forscher demonstrierten erfolgreich, wie sie Atlas dazu brachten, statt einer echten Zusammenfassung den Text "Trust No AI" auszugeben.

Besonders besorgniserregend ist eine Clipboard-Injection-Attacke, bei der durch versteckte "Copy to Clipboard"-Aktionen auf Webseiten der KI-Agent unwissentlich die Zwischenablage des Nutzers mit schädlichen Links überschreibt. Wenn der Nutzer später den Text normal einfügt, könnte er auf Phishing-Seiten umgeleitet werden.

Systemisches Problem bei KI-Browsern

Bei Comet können Angreifer zudem etwa Befehle in Bildern verstecken, die ausgeführt werden, wenn ein Nutzer einen Screenshot analysieren lässt. Brave demonstrierte dies mit einem Angriff, bei dem sie schädliche Anweisungen in Bildern mit schwach sichtbarem hellblauem Text auf gelbem Hintergrund versteckten.

Die Angriffsmethoden sind vielfältig und schwer zu erkennen. Prompt-Injection-Angriffe funktionieren, weil KI-Modelle zwischen Daten und Anweisungen nicht klar unterscheiden können. Was für Menschen offensichtlich als Inhalt einer Webseite erkennbar ist, kann für eine KI als Befehl interpretiert werden. Diese fundamentale Schwäche macht alle KI-Browser anfällig für Manipulationen.

OpenAI reagiert auf Kritik

Dane Stuckey, OpenAIs Chief Information Security Officer, räumte ein, dass Prompt-Injection "ein ungelöstes Sicherheitsproblem" bleibe. Das Unternehmen habe umfangreiche Tests durchgeführt und neuartige Trainingstechniken implementiert, damit die KI schädliche Anweisungen ignoriert.

OpenAI hat nach eigenen Angaben zudem weitere Schutzmaßnahmen implementiert, darunter einen "Watch Mode" für sensible Seiten und einen "Logged-out Mode", der ChatGPT ohne Kontoanmeldedaten agieren lässt. Diese Maßnahmen sollen Risiken reduzieren, können aber die grundlegende Problematik nicht vollständig lösen.

Experten warnen vor Risiken

Sicherheitsexperten sehen in KI-Browsern eine neue, besonders gefährliche Angriffsfläche. George Chalhoub von der UCL warnt: "Die Hauptgefahr besteht darin, dass die Grenze zwischen Daten und Anweisungen verwischt wird. Es kann einen KI-Agenten im Browser von einem hilfreichen Werkzeug zu einem potenziellen Angriffsvektor gegen den Nutzer machen."

Die Risiken reichen von der Extraktion aller E-Mails über den Diebstahl persönlicher Daten bis hin zum Zugriff auf Passwörter und Bankkonten. Johann Rehberger, ein KI-Sicherheitsforscher, betont, dass Prompt-Injection "eine der wichtigsten aufkommenden Bedrohungen in der KI-Sicherheit" darstelle.

Die Problematik ist besonders brisant, weil KI-Browser Zugriff auf sensible Nutzerdaten haben und gleichzeitig mit unvertrauenswürdigen Webinhalten interagieren. Diese Kombination schafft ein ideales Umfeld für Angreifer, die sowohl die KI-Funktionalität als auch die Browser-Privilegien ausnutzen können.

Die Sicherheitsprobleme von Atlas zeigen, wie schwierig es ist, KI mit Sicherheit beim Surfen durchs Internet zu vereinen. Was meint ihr - sind die Vorteile von KI-Browsern das Risiko wert? Und würdet ihr einen KI-Browser nutzen?


Siehe auch: