KI-Browser: warum die Freigabe warten sollte

Was ein Agent im Browser anders macht

Ein klassischer Browser stellt dar, was eine Seite schickt. Ein Browser mit eingebautem Agenten liest den Inhalt zusätzlich als Arbeitsgrundlage und leitet daraus Handlungen ab. Der Unterschied ist nicht der Chat am Bildschirmrand, sondern die Fähigkeit, mehrere Schritte hintereinander auszuführen, ohne dass du jeden einzelnen bestätigst.

Diese Schritte passieren in deiner Sitzung. Der Agent ist überall dort angemeldet, wo du angemeldet bist, im Webmail, im Ticketsystem, im CRM, im Intranet. Genau das ist ja der Nutzen, denn sonst könnte er nichts erledigen. Nur verschiebt es die Sicherheitsfrage: Nicht mehr die Software braucht eigene Rechte, sondern eine fremde Webseite kann über den Agenten deine Rechte benutzen.

Inhalt und Anweisung sind nicht getrennt

Ein Sprachmodell bekommt alles als eine einzige Textmenge: deinen Auftrag, den Seiteninhalt, frühere Nachrichten. Es gibt keinen technischen Rahmen, der markiert, welcher Teil davon Befehl ist und welcher nur Material. Steht auf einer Seite ein Absatz, der wie ein Auftrag formuliert ist, kann das Modell ihn als solchen behandeln, und dieser Absatz muss für dich nicht sichtbar sein. Er kann in weißer Schrift stehen, in einem HTML-Kommentar, im Alternativtext eines Bildes oder in einer Bewertung, die jemand hinterlassen hat.

Bei Datenbanken wurde dasselbe Problem vor Jahren durch getrennte Übergabe von Befehl und Wert gelöst. Für Sprachmodelle gibt es diese Trennung bislang nicht, und die üblichen Gegenmittel sind Wahrscheinlichkeiten, keine Grenzen. Deshalb ist das kein Fehler eines einzelnen Produkts, den der nächste Patch behebt, sondern eine Eigenschaft der Bauart. Sicherheitsforschende haben das an mehreren Agentenbrowsern nachgewiesen, öffentlich dokumentiert unter anderem an Perplexitys Comet. Die Projektgruppe hinter der OWASP-Liste für Sprachmodellanwendungen führt indirekte Prompt-Injektion seit Jahren als Risiko Nummer eins.

Was dabei tatsächlich abfließen kann

Weil der Agent mit deinen Rechten arbeitet, ist der Schaden nicht auf die aufgerufene Seite begrenzt. Ein untergeschobener Auftrag kann ihn dazu bringen, im Postfach nach einem bestimmten Stichwort zu suchen, das Gefundene zusammenzufassen und in ein Formular auf einer fremden Seite zu schreiben. Aus Sicht der Protokolle war das dein Zugriff, zur üblichen Zeit, aus dem üblichen Netz.

Das macht die Erkennung schwer. Es gibt keine Schadsoftware, die auffällt, keinen fremden Anmeldevorgang, keinen ungewöhnlichen Standort. Auffällig wäre allenfalls das Muster der Zugriffe, und dafür müsste jemand gezielt danach suchen. Der Auslöser reicht dabei bis zur harmlosesten Aufgabe: Auch das bloße Zusammenfassen einer Seite bedeutet, dass ihr Inhalt in den Kontext des Modells wandert.

Zwischenlösungen bis zur Freigabe

Ein pauschales Verbot verlagert das Problem nur auf private Geräte, denn der Nutzen ist real und die Werkzeuge sind frei verfügbar. Tragfähiger ist ein abgetrennter Weg: ein eigenes Browserprofil oder ein separater Rechner ohne Anmeldung an Firmensystemen, ohne Einmalanmeldung, ohne gespeicherte Zugangsdaten. Recherche und Zusammenfassung laufen dort, alles Weitere passiert von Hand im normalen Browser.

Dazu gehört eine kurze Liste, welche Aufgaben freigegeben sind, und eine klare Grenze bei allem, was Geld bewegt oder Personaldaten berührt. Sinnvoll ist außerdem die Regel, dass der Agent nichts abschickt, was ein Mensch nicht gesehen hat, also kein Versenden, kein Veröffentlichen, kein Bestätigen ohne Zwischenschritt.

Für die spätere Freigabe braucht die IT ohnehin die üblichen Antworten: Wohin gehen die Inhalte, wie lange werden sie gespeichert, werden sie zum Training verwendet, welche Rechte fordert die Erweiterung im Betriebssystem. Bis diese Punkte belegt sind, ist Abwarten keine Bremse, sondern eine Entscheidung mit Begründung.