prompt injections.de
Dokumentierter Vorfall · 2025

Indirekte Injektion in agentischen Browsern

Das Browser-Team von Brave analysierte, wie sich indirekte Prompt Injection gegen agentische Browser richtet: Anweisungen auf einer aufgerufenen Webseite gelangen in den Kontext des Assistenten und werden von ihm befolgt — mit den Rechten der laufenden Browser-Sitzung des Nutzers.

Zeitpunkt
2025
Betroffenes System
Agentische Browser mit KI-Assistent, untersucht am Beispiel Comet
Wirkung
Der Assistent führt Anweisungen aus der besuchten Seite aus, statt sie als Inhalt zu behandeln
Stand der Behebung
Vom Hersteller nach der Veröffentlichung adressiert
Primärquelle
brave.com

Der Fall ist ein belegtes Beispiel für Prompt Injection in produktiven Systemen. Die Darstellung ist sachlich und erklärend; sie enthält keine Reproduktionsanleitung. Weitere Fälle stehen in der Vorfall-Übersicht.

Was passiert ist

Ein agentischer Browser liest den Seiteninhalt, um den Nutzer zu unterstützen. Damit übernimmt er zwangsläufig auch alles, was ein Angreifer auf dieser Seite platziert hat.

Anweisungen lassen sich für Menschen unsichtbar einbetten — als weiße Schrift, in Kommentaren oder in ausgeblendeten Elementen —, bleiben für den Assistenten aber lesbar.

Kritisch wird es, weil der Assistent in der angemeldeten Sitzung des Nutzers arbeitet und damit auf dessen Konten zugreifen kann.

Die Analyse ordnet das als strukturelles Problem der Bauform ein, nicht als Fehler einer einzelnen Implementierung.

Was der Fall zeigt

  • Ein Assistent mit Sitzungsrechten ist ein verwirrter Stellvertreter, sobald er Fremdinhalte als Anweisung akzeptiert.
  • Sichtbarkeit für Menschen ist kein Filter: Was unsichtbar ist, wird trotzdem gelesen.
  • Agentische Browser brauchen eine harte Trennung zwischen Nutzerauftrag und Seiteninhalt sowie Bestätigungen für Aktionen mit Kontenbezug.

Verwendete Technik

  • Indirekte Injektion

    Versteckter Text in Webseiten

    Anweisungen werden für Menschen unsichtbar in eine Webseite eingebettet — weiße Schrift auf weißem Grund, Schriftgröße null, HTML-Kommentare oder ausgeblendete Elemente — bleiben für den Agenten aber lesbar.

    Risiko hoch
  • Angriff auf Agenten

    Verwirrter Stellvertreter

    Der Agent handelt mit den Rechten des Nutzers, folgt aber der Absicht eines Angreifers — er wird zum Stellvertreter, der seine Berechtigungen fremdgesteuert einsetzt.

    Risiko hoch
  • Indirekte Injektion

    Indirekte Prompt Injection

    Die Anweisung stammt nicht vom Nutzer, sondern aus Inhalten, die das System selbst lädt — Webseiten, Dokumente, E-Mails. Der Angreifer muss nie mit der Anwendung interagieren.

    Risiko hoch

Quellen

  1. Brave: Unseeable Prompt Injections in agentic browsers: https://brave.com/blog/comet-prompt-injection/

Im Zusammenhang