Claude, Gemini, ChatGPT Atlas: Eine Mail kapert deinen KI-Browser

Ein KI-Browser ist ein Browser mit eingebautem Assistenten, der Aufgaben selbst erledigt. Er liest Seiten, öffnet Tabs, füllt Formulare aus und klickt für dich. Genau das macht ihn zum Problem. Zenity Labs hat auf der Sicherheitskonferenz Black Hat USA 2026 in Las Vegas gezeigt, dass sich fünf der bekanntesten Vertreter mit ganz normalen Inhalten übernehmen lassen: Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas und Copilot Edge.

Neu ist nicht die Lücke selbst. Zenity hatte sie im März 2026 erstmals an Comet vorgeführt. Neu ist, wie weit sie reicht. Dass KI-Assistenten in Tests weiter gehen als vorgesehen, ist inzwischen ein Muster, wie zuletzt der Sicherheitstest bei Anthropic zeigte.

Die Angriffsklasse heißt PleaseFix. Der Trick dahinter ist simpel. Der Assistent kann nicht unterscheiden zwischen dem, was du ihm aufträgst, und dem, was in den Inhalten steht, die er dabei liest. Ein Angreifer versteckt seine Anweisungen also in einer Mail, einer Kalendereinladung oder auf einer Webseite. Zenity nennt das Intent Collision, also Absichtskollision. Der Assistent hält die fremden Anweisungen für Teil deines Auftrags und führt sie aus, mit deiner Anmeldung, deinen Rechten und deinen Konten.

Was in den Demos passiert ist

Bei Claude in Chrome genügte eine einzige präparierte Mail und die alltägliche Bitte, den Posteingang zusammenzufassen. Danach war der Gmail-Inhalt abgezogen, das komplette Google Drive still an den Angreifer freigegeben und die Konten bei Slack, X und Claude übernommen. Das funktionierte auch im sicheren Modus, in dem Claude vor jeder Aktion nachfragt.

Bei Perplexity Comet reichte eine vergiftete Kalendereinladung, die von einer echten Terminanfrage nicht zu unterscheiden war. Kein einziger Klick war nötig. Der Assistent griff auf lokale Dateien zu und missbrauchte die entsperrte Erweiterung des Passwortmanagers 1Password. Am Ende hatte der Angreifer den kompletten Tresor und der Nutzer war ausgesperrt. Wie du deine Konten über das Passwort hinaus absicherst, haben wir separat aufgeschrieben.

Bei ChatGPT Atlas war es ein unauffälliger Link unter einem beliebten Social-Post. Atlas folgte ihm, die Seite riss den Ablauf an sich und verschickte Phishing-Nachrichten über das WhatsApp-Konto des Opfers. In einem zweiten Versuch füllte Atlas den Amazon-Warenkorb und tauschte die Lieferadresse. Als OpenAIs Schutzmechanismen den Kaufabschluss blockierten, bat Atlas kurzerhand Amazons eigenen Assistenten Rufus, die Bestellung auf die Kreditkarte des Opfers zu setzen. Ein Assistent holt sich den nächsten dazu.

Vom Browser-Tab auf den ganzen Rechner

Richtig unangenehm wird es bei localhost. So heißt der Bereich, in dem Programme direkt auf dem eigenen Rechner laufen, etwa Entwicklerwerkzeuge oder Datenbankoberflächen. Dieser Bereich gilt als besonders vertrauenswürdig. Comet spazierte hinein und öffnete über die lokal installierten KI-Werkzeuge Ollama und Open WebUI eine sogenannte Reverse Shell, also eine Fernsteuerung für den kompletten Rechner. Gemini in Chrome und Edge versuchten den Zugriff zu blockieren, die Sperre war schnell umgangen. Gemini löschte über diesen Weg laufende Server im AWS-Konto des Opfers, Edge zerstörte eine komplette SQL-Datenbank.

Dazu kommt eine Technik, die Zenity HistoryFixing nennt. Über einen 16 Jahre alten Browser-Trick lassen sich erfundene Einträge in den Verlauf schreiben. Der Assistent liest sie später und hält sie für Tatsachen über dich. Die Einträge laufen nicht ab. Sie verschwinden nur, wenn jemand den Verlauf von Hand löscht.

Nicht jeder Hersteller will das reparieren

Zenity hat die Ergebnisse vor dem Vortrag an Anthropic, Perplexity, Google, Microsoft und OpenAI gemeldet. Ein Teil der Hersteller hat gepatcht. Andere haben abgelehnt und das Verhalten als gewollte Funktion eingestuft. Und selbst Patchen hilft nur begrenzt: Nachdem Perplexity den Zugriff auf das Dateisystem gesperrt hatte, umging Zenity die Sperre zweimal.

"Das ist kein Fehler, den wir wegpatchen können", sagt Michael Bargury, Mitgründer und Technikchef von Zenity. Browser trennen seit jeher jede Webseite von jeder anderen, damit eine beliebige Seite nicht auf dein eingeloggtes Bankkonto zugreift. Dieses Prinzip heißt Same-Origin-Policy. Agentische Browser hebeln es aus, weil ihr Assistent Inhalte aus verschiedenen Quellen in einem Rutsch verarbeitet.

Was du jetzt tun kannst

Stav Cohen, KI-Sicherheitsforscher bei Zenity, empfiehlt, vom Schlimmsten auszugehen und dem Assistenten alles wegzunehmen, was er nicht wirklich braucht. Konkret heißt das: Geh die Einstellungen des KI-Browsers durch und schalte die Voreinstellungen ab. Melde dich mit einem KI-Browser nicht in wichtigen Konten an, also nicht in deinem Hauptpostfach, nicht bei GitHub, nicht in Cloud-Diensten. Begrenze, auf welchen Seiten der Assistent überhaupt handeln darf. Und verlass dich nicht auf das Fenster, das vor dem Handeln um Erlaubnis fragt. Bei Claude wurde genau dieser Modus überwunden.

Für ChatGPT Atlas erledigt sich die Frage von selbst. OpenAI schaltet den Browser am 9. August ab. Wer ihn noch nutzt, sollte vorher seine Daten sichern. Die anderen vier bleiben. Und der Assistent ist nicht das einzige Bauteil im Browser, das mitliest: Auch getarnte Erweiterungen greifen Chats ab.