Angriffsvektor Webinhalte und agentische Browser
Ein Assistent, der Webseiten abruft, übernimmt zwangsläufig alles, was ein Angreifer dort platziert hat. Anweisungen lassen sich für Menschen unsichtbar einbetten — weiße Schrift, Schriftgröße null, HTML-Kommentare, ausgeblendete Elemente —, bleiben für das Modell aber vollständig lesbar.
Besonders kritisch ist das bei agentischen Browsern, die in der angemeldeten Sitzung des Nutzers arbeiten: Sie bringen Rechte mit, die eine indirekte Prompt Injection unmittelbar verwertbar machen. Die Grundlagen stehen auf der Seite Was ist Prompt Injection?.
Warum Sichtbarkeit kein Filter ist
Was ein Mensch beim Überfliegen einer Seite sieht, ist nur eine Auswahl des vorhandenen Textes. Der Assistent liest das Dokument, nicht die Darstellung. Alles, was im Quelltext steht, kann in den Kontext gelangen — auch Zeichen, die im Browser gar nicht gerendert werden.
Das Brave-Browser-Team ordnete indirekte Injektionen in agentischen Browsern als strukturelles Problem der Bauform ein, nicht als Fehler einer einzelnen Implementierung. Der Vorfallsbericht fasst die Analyse zusammen.
Hinzu kommt der Weg über die Suche: Angreifer stellen Seiten ins Netz, deren sichtbarer Inhalt belanglos ist, die aber gezielt Anweisungen für Agenten enthalten, die diese Seiten über die Websuche abrufen.
Was wirksam hilft
- Seiteninhalt und Nutzerauftrag im Prompt hart trennen und als unterschiedliche Vertrauensstufen behandeln.
- Aktionen mit Kontenbezug — kaufen, senden, ändern — nur mit ausdrücklicher Bestätigung ausführen.
- Den Agenten nicht in der angemeldeten Sitzung des Nutzers arbeiten lassen, wo es vermeidbar ist.
- Unsichtbare Zeichen und Steuerzeichen vor der Verarbeitung normalisieren.
- Abrufziele einschränken, wo der Anwendungsfall es zulässt.
Techniken aus dem Verzeichnis
Diese Einträge aus dem Techniken-Verzeichnis gehören unmittelbar zu diesem Thema — jeder mit Funktionsweise, Risiko-Einstufung, Schutzmaßnahmen und Primärquelle.
-
Versteckter Text in Webseiten
Anweisungen werden für Menschen unsichtbar in eine Webseite eingebettet — weiße Schrift auf weißem Grund, Schriftgröße null, HTML-Kommentare oder ausgeblendete Elemente — bleiben für den Agenten aber lesbar.
Risiko hoch -
Vergiftung von Suchergebnissen
Angreifer stellen Webseiten ins Netz, deren sichtbarer Inhalt für Menschen belanglos ist, die aber gezielt Anweisungen für Agenten enthalten, die diese Seiten über die Websuche abrufen.
Risiko hoch -
ASCII Smuggling (unsichtbare Unicode-Tags)
Anweisungen werden in Unicode-Tag-Zeichen kodiert, die in Oberflächen unsichtbar bleiben, vom Modell aber als Text gelesen werden — der Mensch sieht nichts, das Modell folgt.
Risiko hoch -
Verwirrter Stellvertreter
Der Agent handelt mit den Rechten des Nutzers, folgt aber der Absicht eines Angreifers — er wird zum Stellvertreter, der seine Berechtigungen fremdgesteuert einsetzt.
Risiko hoch -
Datenabfluss über Markdown-Bilder
Das Modell wird veranlasst, ein Bild einzubetten, dessen URL die zu stehlenden Daten als Parameter enthält. Das Rendern der Antwort löst den Abruf aus und schickt die Daten an den Angreifer.
Risiko hoch
Passende Werkzeuge
-
LlamaFirewall
Guardrail-System für Agenten, das Eingaben, Zwischenschritte der Modell-Argumentation und erzeugten Code prüft, bevor eine riskante Aktion ausgeführt wird.
Open Source -
Model Armor
Dienst zur Prüfung von Prompts und Antworten auf Prompt Injection, Jailbreak-Versuche, sensible Daten und schädliche URLs.
kommerziell -
LLM Guard
Sicherheits-Toolkit mit Scannern für Eingaben und Ausgaben — Prompt Injection, Anonymisierung, Geheimnisse, Toxizität, Relevanz und mehr.
Open Source
Einordnung in die OWASP LLM Top 10
-
LLM01: Prompt Injection
Eingaben verändern das Verhalten des Modells auf eine vom Betreiber nicht vorgesehene Weise — unabhängig davon, ob der Text für Menschen sichtbar ist oder nicht.
-
LLM06: Übermäßige Handlungsvollmacht
Das System darf mehr, als es für seine Aufgabe müsste — zu viele Werkzeuge, zu weite Rechte, zu viel Autonomie ohne menschliche Kontrolle.
Häufige Fragen
Kann ich versteckte Anweisungen auf einer Webseite erkennen?
Als Mensch in der Regel nicht — genau das ist der Punkt. Weiße Schrift, Schriftgröße null oder HTML-Kommentare sind im Browser unsichtbar, im Quelltext aber vorhanden und für das Modell lesbar.
Sind agentische Browser generell unsicher?
Sie verbinden zwei riskante Eigenschaften: Verarbeitung beliebiger Fremdinhalte und Handeln in der angemeldeten Sitzung des Nutzers. Sicher wird das nur durch harte Trennung von Auftrag und Seiteninhalt sowie durch Bestätigungen für Aktionen mit Kontenbezug.
Quellen
- Brave: Unseeable Prompt Injections in agentic browsers: https://brave.com/blog/comet-prompt-injection/
- Unit 42 (Palo Alto Networks): Prompt-Injection-Angriffe auf KI-Agenten: https://unit42.paloaltonetworks.com/ai-agent-prompt-injection/
- OWASP GenAI Security Project: LLM01:2025 Prompt Injection: https://genai.owasp.org/llmrisk/llm01-prompt-injection/