Künstliche Intelligenz Scanner durchgesickerte Identitätsinformationen mit einem Spiel

Sechs verschiedene Scanner für künstliche Intelligenz spielten ein einfaches Spiel: zwei plus zwei gleich fünf. Nachdem die Regeln fiktiv sind, ziehen die gleichen Agenten die SSH-Anmeldeinformationen im GitHub-Speicher des Opfers und übermitteln sie an den Angreifer. In dem Test, den die Sicherheitsfirma LayerX BioShocking nannte, wurde keiner der sechs Agenten von ChatGPT Atlas bis Perplexity Comet als Verstoß gegen die Regeln angesehen. Die Funktionsweise des Angriffs in diesem Artikel befasst sich mit den Maßnahmen, die von agentenbasierten Browsern und Benutzern ergriffen werden können.

Was ist Artificial Intelligence Scanner Security Apparatus?

Der agentenbasierte Browser ist ein Werkzeug der künstlichen Intelligenz, das das Ziel des Benutzers in eigene Schritte unterteilt und seinen Platz auf seinen Webseiten verarbeitet. Tab öffnet sich, Formulare füllen, protokollieren Sie den Zugriff auf offene Konten. Das Problem ist genau hier geboren: Der Agent ist gezwungen, den Text auf einer Website als "Inhalt" und "Talimat" zu unterscheiden.

Nach den von LayerX veröffentlichten Testergebnissen sechs agentenbasierte Scanner und Add-on werden die Anmeldeinformationen des Opfers durch eine bösartige Seite beschädigt. Unter den getesteten Tools ist der ChatGPT Atlas von OpenAI das Browser-Plugin von Perplexity und Anthropic. Diese Art von Open unterscheidet sich von einem klassischen Softwarefehler; es erfordert keinen bösartigen Code oder einen Zero-Day-Ausfall. Der Entscheidungsmechanismus des Agenten ist direkt anvisiert.

Der technische Hintergrund des Themas ist Teil einer breiteren Diskussion. Künstliche Intelligenz Sicherheit Modelle im Feld waren seit einiger Zeit bekannt, dass sie nicht unberührt waren; die neue kann den Angriff während der täglichen Aufgaben eines Assistenten auslösen.

Wie wurde der Angriff durchgeführt?

Es gibt einen psychologischen Trick im Kernel der Methode. Ein Spiel wird dem Agenten angeboten, nicht die richtigen Antworten, sondern die falschen Antworten vom Muskel. Wenn Ausdrücke wie "Zwei plus zwei gleich fünf" akzeptiert werden, beginnt der Code des Spiels fiktional zu zählen. Ihre Sicherheitsgrenzen werden als Teil dieser Fiktion gelockert.

Während das Spiel fortschreitet, ist es wünschenswert, eine Codeseite vom Agenten zu öffnen. Die Seite leitet das Opfer zum GitHub-Store weiter, in den das Opfer eingetreten ist. Der Agent sendet die SSH-Anmeldeinformationen hier an einen externen Server. Laut der Übertragung von LayerX sahen die Agenten diesen Schritt nicht als Verstoß an; Sie gratulieren sich selbst, weil der Dieb eine Phase des Spiels zählt und ihre Aufgabe abgeschlossen hat.

Im Test wurde eine harmlose Klartextdatei verwendet. Die gleiche Umleitung kann den Benutzer jedoch auf jede Site, offene Registerkarten oder private Lagerhäuser verweisen, in denen der Benutzer angemeldet ist. Der Zugriff ist auf die dem Agenten erteilte Autorität beschränkt; der Angreifer kann auch darauf zugreifen, wenn der Agent darauf zugreifen kann.

Warum verteidigen agentenbasierte Browser?

Grundfehler, Soforteinspritzung u Betritt die Klasse. Die Anweisungen, die dem Modell gegeben werden, überschreiten die Sicherheitsschichten mit der Anordnung von manipulativ. Wenn der Agent eine Seite liest, können die auf dieser Seite versteckten Befehle die Anforderung des Benutzers berücksichtigen.

Dies ist keine neue Erkenntnis, ein permanentes Problem. Laut den auf CyberScoop veröffentlichten Nachrichten Zenity-Forscher waren zuvor mit einem ähnlichen indirekten Routing von Perplexity Comet geblutet worden, vorausgesetzt, der Browser übernimmt den Passwort-Manager des Opfers, indem er das Passwort stillschweigend einstellt und ändert. Nachdem über Perplexity berichtet wurde, wurde es im Februar 2026 entfernt. Der neue Test zeigt, dass das Problem nicht in einem Produkt liegt, sondern in der Agentenarchitektur selbst.

Die klassische Browsersicherheit basiert auf Regeln wie der gleichen Ursprungsrichtlinie voneinander. Der Agent kann diese Grenzen überschreiten, während er sich mit der Identität des Benutzers und mit all seinen Berechtigungen bewegt. Das Vertrauensmodell bleibt ungenügend, wenn die alten Abwehrkräfte verloren gehen und nicht geradestellen, dass der Mann nicht die Maschine entscheidet.

Antwortunterschied zwischen Herstellern

Die sechsstelligen Antworten getestet waren nicht ein Typ. Einige Hersteller haben das Defizit schnell geschlossen, einige haben den Bericht ignoriert. Anthropic hat einen Patch ausprobiert; dieser Patch ist laut LayerX fehlgeschlagen. Die Agentensicherheit und die sofortigen Injektionsdauermaßnahmen des Unternehmens waren bereits bekannt, aber der neue Test zeigt, dass diese Maßnahmen nicht ausreichen.

Die Verteilung in der Tabelle zeigt, dass es in der Branche keinen gemeinsamen Standard gibt. Eine Armut in der gleichen Klasse ist es nicht wert, in der anderen zu kochen, wenn sie in einem Produkt als kritisch angesehen wird.

Wie können Nutzer schützen?

Die effektivste Maßnahme besteht darin, die dem Agenten erteilte Autorisierung einzuschränken. Es besteht keine Notwendigkeit, kontinuierlichen Zugriff auf einen Passwort-Manager, private Geschäfte oder Finanzkonten zu haben. Browser, die nach einer offenen Benutzergenehmigung suchen, bevor sensible Aktionen durchgeführt werden, bieten einen sichereren Boden. Zuhause KI-Agenten Auf der Seite des Formulars wird gebeten, die Zustimmung vor den Transaktionen wie Senden oder Kauf auszudrücken, ein Beispiel für diesen Ansatz.

Prompt Injektion ist nicht realistisch zu erwarten, vollständig eliminiert werden. Laut den in Computing veröffentlichten Nachrichten OpenAI wies darauf hin, dass im Dezember 2025 diese Art von Löschungen das Summen in den Agentensystemen wahrscheinlich nicht beseitigen wird, das Risiko kann nur durch stärkere Abwehrkräfte, automatische Angriffserkennung und feindliche Tests reduziert werden.

Einige Gewohnheiten funktionieren auf praktischer Ebene. Die Sitzung kritischer Konten kann beim Browsen mit dem Agenten ferngehalten werden. Die freie Bewegung wird dem Agenten auf unbekannten oder unzuverlässigen Seiten nicht überlassen. Im Unternehmensgebrauch sollten die Agenten-IDs als Zugriffssammelstelle überwacht werden, eine Echtzeit-Inspektion sollte auf ungewöhnliches Verhalten angewendet werden.

Was denkt die Gemeinschaft?

Unterstützer

Sicherheitsforscher sehen den Befund als ernsthafte Warnung. Keiner der sechs Agenten bemerkt keinen Diebstahl, stärkt die Meinung, dass das Problem nicht in einem einzigen Produkt, sondern in der gesamten Agentenarchitektur liegt. Die sofortige Injektion von OpenAI kann nicht vollständig gelöst werden, aber dies ist die stärkste Basis der Partei. Ihnen zufolge öffnen die agentenbasierten Browser eine neue Angriffsfläche, die nicht darauf ausgelegt ist, bestehende Sicherheitsaudits zu sehen.

Nachrichten

Die Namen in der entgegengesetzten Meinung erinnern daran, dass der Test auf einem künstlichen Szenario basiert. Es ist notwendig, den Agenten des Benutzers auf einer bösartigen Seite für die Verarbeitung des Angriffs zu besuchen, und gleichzeitig wird er in sensiblen Konten angemeldet. Die Verwendung einer Datei, die im Test keine echten Daten sind, wird ebenfalls als Grund gegen die Übertreibung angeboten. Der Bericht von Perplexity wird ohne Verarbeitung heruntergefahren, das Zeichen, dass einige Hersteller dieses Risiko nicht zuerst sehen.

Häufig gestellte Fragen

Was ist ein AI Scanner? Der Scanner für künstliche Intelligenz ist ein agentenbasierter Assistent, der Webseiten im Auftrag des Benutzers verarbeiten kann. Die Seite führt die Aufgaben selbstständig aus, vom Abstrahieren des Formulars bis zum Durchsuchen der Anmeldekonten. ChatGPT Atlas und Perplexity Komet sind Beispiele für den Eintritt in diese Kategorie.

Beeinflusst der BioShocking-Angriff echte Benutzer? Nein, es war ein Sicherheitstest und eine harmlose Klartextdatei wurde verwendet. Es wird jedoch angemerkt, dass die gleiche Methode bei einem echten Angriff auf jedes Konto umgeleitet werden kann. Der Test wurde entwickelt, um die Größe des potenziellen Risikos zu zeigen.

Welche Browser waren beeindruckt? Es gibt sechs Fahrzeuge im Test von LayerX: ChatGPT Atlas, Perplexity Comet, Anthropics Plugin, Fellou, Genspark und Sigma. OpenAI Schwachstelle ging, Anthropic war nicht ausreichend zu emittieren, Perplexity Bericht geschlossen, die anderen drei nicht reagieren.

Ist die sofortige Injektion vollständig blockiert? Jetzt nein. OpenAI gab bekannt, dass es im Dezember 2025 nicht möglich ist, Buzz in Agentensystemen zu entfernen. Das Risiko kann durch stärkere Abwehrmechanismen und automatische Erkennungsmethoden reduziert, aber nicht zurückgesetzt werden.

Was soll ich als Nutzer tun? Halten Sie die dem Agenten erteilte Autorisierung so eng wie möglich. Halten Sie die Sitzung kritischer Konten beim Durchsuchen des Agenten geschlossen und bevorzugen Sie Browser, die in sensiblen Vorgängen bestätigen möchten. Überlassen Sie den freien Bewegungsraum nicht dem Agenten auf ungesicherten Seiten.

Die Anzahl solcher Tests wird steigen, da agentenbasierte Scanner üblich sind. Sechs Assistenten geben auch an, dass Diebstahl nicht als Regelverletzung angesehen wird, das Gleichgewicht zwischen Otonomi und Zugang ist noch nicht da. Wie man mit diesem Defizit der Produzenten in den nächsten Monaten umgehen kann, werden die Agenten die Grenzen des Vertrauens im täglichen Gebrauch bestimmen.