Sicherheitsforscher von Zscaler haben zwei Kampagnen aufgedeckt, die indirekte Prompt-Injections in bösartige Websites einbetten, um autonome KI-Agenten auszunutzen, die im Internet surfen, und in einigen Fällen die Agenten dazu manipulieren, Kryptowährungszahlungen vorzunehmen. Die von SecurityWeek detaillierten Ergebnisse verdeutlichen eine schnell wachsende Angriffsfläche, da agentenbasierte KI Systeme Aufgaben übernehmen, bei denen es darum geht, Geld auszugeben und externen Quellen zu vertrauen.

Bedrohungsakteure nutzen in bösartigen Websites versteckte Prompt-Injection-Angriffe und manipulierte Suchergebnisse, um KI-Agenten dazu zu verleiten, Zahlungen zu tätigen oder betrügerischen Kryptowährungsplattformen zu vertrauen. Zscaler sagt, es habe zwei Kampagnen identifiziert, die auf indirekter Prompt-Injection basieren: einen Zahlungsbetrug, der sich hinter der API-Dokumentation verbirgt, und eine Typosquatting-Operation, die eine Krypto-Plattform bewirbt, die sich als DeBank ausgibt, ein dezentraler Finanzportfolio-Tracker.

Kampagne eins: Eine gefälschte Python-Bibliothek und eine versteckte Zahlungsaufforderung

In der ersten Kampagne nutzte der Bedrohungsakteur SEO-Poisoning, um KI-Agenten anzugreifen, die nach der Python-Bibliothek „requests-secure-v2“ suchten, die nicht als legitimes Paket existiert. Die betrügerische Website enthält schlüsselwortlastigen HTML-Code, der mit dem gefälschten Modul verknüpft ist, um Suchergebnisse für Paketinstallations- und Abhängigkeitsfehlerbehebungsanfragen zu verfälschen, erklärte Zscaler.

Auf der Website versteckten die Angreifer indirekte Aufforderungen, mit denen sie die Agenten auf Besuch im Rahmen des routinemäßigen Erwerbs eines API-Schlüssels dazu aufforderten, eine Zahlung zu leisten. Die Zahlungsanweisung wurde im Schema-Markup codiert, um die Wahrscheinlichkeit zu erhöhen, dass die Agenten ihr folgen, und ein verstecktes „

“-Tag forderte die Agenten auf, einen Fehler durch Abschluss der Zahlung zu beheben. Die Seite enthielt auch Code zum Initialisieren einer Kryptowährungsübertragung an eine fest codierte Wallet. Der Bedrohungsakteur hinter der Kampagne nutzt 10 GitHub-Repositories, die auf mehrere ähnliche Websites verweisen, die indirekte Prompt-Injections enthalten.

Entscheidend ist, dass die Website sowohl auf Maschinen als auch auf Menschen abzielt. „Wenn die Website von einem Desktop-Browser gerendert wird, werden dem Benutzer dieselben Zahlungsoptionen per Kreditkarte oder Kryptowährung angezeigt“, bemerkte Zscaler.

Kampagne Zwei: Sich als DeBank ausgeben

In der zweiten Kampagne bewarb ein Bedrohungsakteur eine betrügerische Website, die den DeFi-Portfolio-Tracker DeBank verfälschte. Die verwendeten indirekten Eingabeaufforderungen teilen den KI-Agenten mit, dass es sich bei der vorgetäuschten Website um die legitime DeBank-Domain handelt. Die betrügerische Website ist für ein Ranking bei DeBank-bezogenen Suchanfragen optimiert, indem der Titel und die Meta-Tags mit Schlüsselwörtern wie „DeBank Login“, „DeFi Dashboard“ und „Crypto Tracker“ gefüllt werden. Außerdem enthält sie Metadaten von Open Graph und X (ehemals Twitter), sodass der Link wie ein offizieller DeBank-Dienst aussieht.

Um die Wirkung der Kampagnen zu testen, baute Zscaler einen autonomen KI-Agenten mit Web-Browsing- und Zahlungsausführungsfunktionen und evaluierte ihn anhand von 26 großen Sprachmodellen. Vier davon – Llama 3.3 70B Instruct, Llama 3.2 90B Vision Instruct, Gemini 3 Flash und Gemini 2.5 Pro – wurden erfolgreich manipuliert, um eine Zahlung vorzunehmen. Nur zwei, Claude Sonnet 4.5 und GPT-5.4, kategorisierten die betrügerische Website fälschlicherweise als vertrauenswürdige DeBank-Plattform.

Warum die indirekte Soforteinspritzung schwer zu lösen ist

Die indirekte Prompt-Injection gilt als eines der heikelsten Sicherheitsprobleme in der generativen KI, da die böswillige Anweisung nicht als direkte Benutzeranfrage eintrifft. Stattdessen ist es in die Daten eingebettet – eine Webseite, ein Dokument, eine E-Mail –, die ein Agent im Rahmen seines Arbeitsablaufs abruft und verarbeitet. Der Agent kann eine legitime Anweisung im abgerufenen Inhalt nicht einfach von einem eingegebenen Befehl eines Angreifers unterscheiden, da beide wie gewöhnlicher Text aussehen.

Die Zscaler-Ergebnisse zeigen, wie gefährlich diese Unklarheit wird, wenn den Agenten die Möglichkeit gegeben wird, reale Aktionen durchzuführen, beispielsweise Zahlungen zu veranlassen. Eine Betrugsmasche, die einst Social Engineering erforderte, die auf einen Menschen abzielte, kann jetzt direkt in Webinhalte kodiert werden und wartet darauf, dass ein automatisierter Assistent sie liest und darauf reagiert.

„Da KI-Agenten zu einer immer häufigeren Schnittstelle zum Web werden, wird der Inhalt selbst zu einer größeren Angriffsfläche, was zeigt, dass KI ein zweischneidiges Schwert ist, das Arbeitsabläufe rationalisieren und gleichzeitig neue Möglichkeiten für Missbrauch eröffnen kann“, schlussfolgerte Zscaler.

Auswirkungen für Unternehmen und Entwickler

Die Forschung liefert direkte Lehren für Unternehmen, die agentische KI einsetzen. Die Gewährung von Zahlungs-, Kontoerstellungs- oder Datenfreigabefunktionen für Agenten ohne strikte Human-in-the-Loop-Bestätigung eröffnet Angreifern die Möglichkeit, kompromittierte Webinhalte zu monetarisieren. Die Tests von Zscaler deuten darauf hin, dass die Anfälligkeit je nach Modell stark variiert, was bedeutet, dass sowohl die Modellauswahl als auch die darüber liegenden Leitplanken von Bedeutung sind.

Die Arbeit unterstreicht auch, dass die traditionelle Web-Sicherheitshygiene – die Überprüfung der Paketauthentizität, die Überprüfung typosquatter Domains und die misstrauische Behandlung unerwünschter Zahlungsanfragen – nun mit dem KI-Verhalten überschneidet. Da Agenten im Namen der Benutzer zunehmend Webinhalte durchsuchen, zusammenfassen und darauf reagieren, verschwindet die Grenze zwischen einer kompromittierten Website und einem kompromittierten Assistenten.

Bleiben Sie der KI immer einen Schritt voraus

Für eine fortlaufende Berichterstattung über KI-Sicherheit, Sicherheitsforschung und die Risiken, die von Agentensystemen ausgehen, folgen Sie AI Buzz Wire für die Entwicklungen, die eine verantwortungsvolle künstliche Intelligenz prägen.

Weitere Neuigkeiten zur KI-Ethik lesen →
#prompt injection#AI agents#AI security#Zscaler#agentic AI
Share this article:𝕏fin

AI Buzz Wire — Automated AI news monitoring. This article was compiled from multiple public sources and verified for accuracy. Published under editorial review. About our process.