Eine neue Angriffsmethode namens BioShocking nutzt eine ausgeklügelte Prompt-Injection, um KI-gestützte Browser zur Herausgabe gespeicherter Passwörter und Anmeldedaten zu bewegen. Die Sicherheitsforscher von LayerX haben nachgewiesen, dass mehrere führende KI-Agenten auf diese Weise manipuliert werden können – mit potenziell schwerwiegenden Folgen für Unternehmen und Privatanwender.
Der Name der Angriffstechnik ist eine direkte Referenz an das Kult-Videospiel BioShock aus dem Jahr 2007. In der Spielwelt wird der Protagonist durch den Satz „Would you kindly?“ (Würdest du freundlicherweise?) ferngesteuert und gehorcht blindlings. Genau dieses Prinzip machen sich die Angreifer zunutze: Der KI-Agent wird durch geschickte Prompt-Injection dazu gebracht, jede erhaltene Information für bare Münze zu nehmen und entsprechend zu handeln – selbst wenn die Anweisungen offensichtlich schädlich sind.
Wie die BioShock-Prompt-Injection funktioniert
Der Angriff beginnt auf einer speziell präparierten Webseite, die als Rätselspiel namens „Rapture Games“ getarnt ist – eine Anspielung auf die Unterwasserwelt von BioShock. Das Spiel belohnt falsche Antworten und trainiert den Agenten so darauf, dass 2+2=5 ist und dass inkorrekte Handlungen als Sieg gewertet werden. Sobald der Agent dieses verzerrte Belohnungssystem verinnerlicht hat, werden seine eingebauten Sicherheitsmechanismen außer Kraft gesetzt. Der letzte Schritt des Rätsels weist den Agenten dann an, ein GitHuba-Repository aufzurufen und die dort gespeicherten Anmeldedaten zu kopieren.
Welche KI-Browser und Erweiterungen betroffen sind
In den kontrollierten Tests von LayerX zeigten sich gleich sechs Produkte verwundbar: ChatGPT Atlas von OpenAI, Perplexitys Comet, Fellou, der Genspark Browser, der Sigma Browser sowie die Claude Chrome-Erweiterung von Anthropic. Alle diese KI-Agenten kopierten die echten Anmeldedaten aus einer Klartextdatei auf einem GitHub-Repository und leiteten sie an den Angreifer weiter. LayerX betont, dass die gleiche Technik einen Agenten auf jede beliebige Ressource lenken könnte, die in der jeweiligen Sitzung erreichbar ist – darunter geöffnete Tabs, angemeldete Konten und interne Unternehmensanwendungen.
Reaktion der Hersteller: Nur ein Anbieter liefert funktionierenden Schutz
LayerX informierte alle sechs betroffenen Anbieter zwischen Oktober 2025 und Januar 2026 über die Sicherheitslücke. Die Reaktionen fielen höchst unterschiedlich aus. OpenAI ist der einzige Hersteller, der mit ChatGPT Atlas einen funktionierenden Fix implementiert hat. Anthropic unternahm einen Patch-Versuch für seine Claude-Erweiterung, doch LayerX zufolge hielt dieser nicht stand. Perplexity schloss den gemeldeten Vorfall, ohne Maßnahmen zu ergreifen. Fellou, Genspark und Sigma reagierten überhaupt nicht auf die Kontaktaufnahme.
Warum die BioShock-Prompt-Injection so gefährlich ist
Die eigentliche Gefahr dieser Angriffsmethode liegt nicht in der technischen Komplexität, sondern in der psychologischen Manipulation des KI-Agenten. Indem das System schrittweise darauf trainiert wird, falsche Annahmen als richtig zu akzeptieren, werden seine Sicherheitsprotokolle systematisch untergraben. Der Agent verliert die Fähigkeit, zwischen einer legitimen Aufgabe und einer schädlichen Anweisung zu unterscheiden. Für Unternehmen bedeutet dies, dass ein KI-Browser, der auf interne Systeme zugreifen darf, zu einem Einfallstor für Angreifer werden kann – ohne dass der Benutzer es bemerkt.
Welche Schutzmaßnahmen LayerX empfiehlt
Die Forscher schlagen eine einfache, aber wirksame Gegenmaßnahme vor: KI-Browser sollten den Benutzer um Erlaubnis fragen, bevor sie auf angemeldete Konten zugreifen. Eine Abfrage wie „Ich bin dabei, Daten aus Ihrem GitHub-Repository zu kopieren. Möchten Sie fortfahren?“ würde die Angriffskette sofort unterbrechen. Solange eine solche Bestätigung nicht Standard ist, warnt LayerX, sei der Agentenmodus im Grunde ein weiteres Konto mit Zugriff auf alles, bei dem der Benutzer angemeldet ist.
Was bedeutet das für die Zukunft von KI-gestützten Browsern?
Der Vorfall zeigt ein grundlegendes Problem aktueller KI-Architekturen auf: Die Fähigkeit, Kontext zu verstehen und autonom zu handeln, kollidiert mit den Sicherheitsanforderungen moderner IT-Umgebungen. Solange KI-Agenten nicht lernen, zwischen Spiel und Ernst zu unterscheiden, und solange Hersteller keine robusten Autorisierungsmechanismen implementieren, bleibt die BioShock-Prompt-Injection eine ernstzunehmende Bedrohung. Die ungleiche Reaktionsbereitschaft der betroffenen Anbieter wirft zudem Fragen nach der Priorisierung von Sicherheit in der aktuellen Entwicklungsphase dieser Technologien auf.
