Datenklau mit unsichtbarem Text: So leicht lassen sich ChatGPT & Co. austricksen

Auf der Sicherheitskonferenz Black Hat USA 2025 in Las Vegas haben Forscher eine neue Angriffsmethode vorgestellt, mit der KI-Systeme wie ChatGPT, Microsoft Copilot oder Google Gemini ausgetrickst werden können. Der Trick trägt den Namen AgentFlayer und wurde von den Zenity-Forschern Michael Bargury und Tamir Ishay Sharbat entwickelt. Am 6. August wurde dazu eine Pressemitteilung veröffentlicht.

Das Prinzip klingt simpel: In einem Dokument wird Text in weißer Schrift auf weißem Hintergrund versteckt. Für Menschen ist dieser Text unsichtbar – eine KI liest ihn aber problemlos mit. Sobald das Bild an das Opfer übermittelt wurde, ist die Falle gestellt. Wird die Datei in einem Prompt verwendet, führt die KI nämlich nicht die gewünschte Aufgabe aus. Der versteckte Befehl weist sie dazu an, diese zu ignorieren und stattdessen auf angebundenen Cloud-Speichern nach Zugangsdaten zu suchen.  

Um an die Daten zu gelangen, nutzten die Forscher einen weiteren Trick: Sie wiesen die KI an, die Informationen in eine URL zu verpacken und von dieser ein Bild zu laden. Damit werden die Daten unbemerkt auf die Server der Angreifer geschoben.

Zenity zeigte, dass der Angriff in der Praxis funktioniert:

• Bei ChatGPT wurden E-Mails so manipuliert, dass der KI-Agent Zugriff auf Google Drive bekam.
• In Microsofts Copilot Studio fanden die Forscher über 3.000 Fälle, bei denen CRM-Daten ungeschützt waren.
• Salesforce Einstein konnte dazu gebracht werden, Kundenkommunikation an fremde Adressen umzuleiten.
• Auch Google Gemini und Microsoft 365 Copilot ließen sich über gefälschte E-Mails und Kalendereinträge täuschen.
• Bei der Entwicklerplattform Jira bekamen Angreifer über präparierte Tickets sogar Zugriff auf Zugangsdaten.

OpenAI und Microsoft reagieren, andere Anbieter sehen keinen Handlungsbedarf

Die gute Nachricht: OpenAI und Microsoft haben nach der Meldung durch die Forscher bereits Updates veröffentlicht, um die Schwachstellen zu schließen. Andere Anbieter reagieren bisher zögerlich und stufen die Angriffe teils sogar als „beabsichtigtes Verhalten“ ein. Dass es sich nicht um eine theoretische Gefahr handelt, betonte auch Forscher Bargury: „Der Nutzer muss nichts tun, um kompromittiert zu werden, und nichts, damit die Daten abfließen.“