Eine surreale Welt mit einer Mathegleichung

KI Browser stehlen Passwörter wenn sie 2+2=5 sehen

Ein simples Rätselspiel zwingt KI-Browser dazu, im Hintergrund unbemerkt sensible Passwörter zu stehlen.

Andreas Becker01.07.26 GPT-Images-2.0

Kurzfassung Quellen

Sicherheitsforscher haben eine Methode entdeckt, um KI-Browser wie ChatGPT Atlas durch manipulierte Rätselspiele auszutricksen.
Sobald die KI eine falsche Spiellogik akzeptiert, verlässt sie ihre reale Umgebung und ignoriert alle programmierten Sicherheitsrichtlinien.
Die Browser stehlen anschließend völlig unbemerkt sensible Zugangsdaten im Hintergrund und übergeben diese an die Angreifer.

Sicherheitsforscher von LayerX haben eine neue Angriffsmethode auf KI-Browser entdeckt. Über manipulierte Web-Rätsel hebeln Angreifer die Schutzmechanismen von ChatGPT Atlas oder Perplexity Comet aus und zwingen sie zum unbemerkten Diebstahl sensibler Nutzerdaten.

Gefangen im falschen Kontext

Der Angriff unter dem Namen »BioShocking« attackiert das blinde Kontextvertrauen lokaler KI-Browser. Die Sicherheitsfirma testete ihren Exploit erfolgreich an sechs verbreiteten Vertretern, darunter ChatGPT Atlas von OpenAI, Comet von Perplexity AI und das Claude-Chrome-Plugin von Anthropic.

Die Forscher lockten sie auf eine Test-Website mit einem Rätselspiel. Dieses belohnte absichtlich falsche Antworten wie »2 + 2 = 5«. Sobald sie diese abweichende Logik akzeptierten, ließen die Browser ihre reale Umgebung hinter sich. Sie wähnten sich in einer fiktiven Spielwelt. Dort griffen ihre programmierten Sicherheitsrichtlinien nicht mehr.

Diebstahl im Hintergrund

Im finalen Schritt des Rätsels wies die manipulierte Webseite sie an, den Inhalt eines Textfeldes unter einer bestimmten URL auszulesen. Diese Adresse leitete unbemerkt auf ein privates GitHub-Repository um.

Alle sechs getesteten Browser kopierten die dort hinterlegten SSH-Zugangsdaten anstandslos und übergaben sie dem Spiel. Keiner von ihnen stufte diesen Vorgang als Sicherheitsrisiko ein. Da sie direkt auf dem lokalen Gerät laufen, greifen sie ungehindert auf authentifizierte Sitzungen zu.

Fehlende Barrieren

Die tiefe Integration von KI-Steuerung und Weboberfläche hebelt die klassische Trennung von Webseiten-Daten aus. Ein manipulierter Prompt reicht Angreifern aus, um Daten aus E-Mails oder Passwortmanagern abzuziehen.

LayerX fordert Entwickler zu strikteren Kontrollen auf. Sie müssen Nutzer zwingend um Erlaubnis fragen, bevor sie auf externe Datenquellen zugreifen. OpenAI schloss die Schwachstelle in ChatGPT Atlas laut dem aktuellen Bericht bereits im Oktober 2025. Andere Anbieter ließen entsprechende Warnungen bislang unbeantwortet.