Persönliche KI-Assistenten versprechen mehr Produktivität, eröffnen aber zugleich neue Angriffsflächen. Sicherheitsforscher von Thales haben nun demonstriert, wie sich OpenClaw durch versteckte Prompt-Injections in Nachrichtenobjekten manipulieren lässt. Die entdeckten Schwachstellen wurden inzwischen behoben, das zugrunde liegende Problem bleibt jedoch bestehen.
Foto: Genius - stock.adobe.com
Mit der zunehmenden Verbreitung persönlicher KI-Assistenten wächst auch deren Bedeutung für Unternehmen. Systeme wie OpenClaw können nicht nur Fragen beantworten, sondern Aufgaben automatisieren, externe Dienste ansteuern, Dateien verarbeiten und mehrstufige Workflows ausführen. Genau diese erweiterten Fähigkeiten machen sie jedoch zu einem attraktiven Ziel für Angreifer.
Sicherheitsforscher von Thales haben im Rahmen einer Untersuchung mehrere Angriffsszenarien identifiziert, bei denen sich OpenClaw durch sogenannte Prompt-Injections manipulieren ließ. Die Schwachstellen wurden dem Hersteller verantwortungsvoll gemeldet und mit der Version 2026.4.23 behoben. Dennoch sehen die Forscher weiterhin grundlegende Herausforderungen für die gesamte Branche.
Im Mittelpunkt der Untersuchung stand die Frage, ob sich Anweisungen so in Nachrichtenobjekten verstecken lassen, dass sie weder von Anwendern noch von den zugrunde liegenden Sprachmodellen als Manipulationsversuch erkannt werden. Die Forscher konzentrierten sich dabei auf zwei zentrale Hypothesen: Welche Angriffsvektoren lassen sich aus Sicht der LLMs verbergen und können diese gleichzeitig auch für die Nutzer unsichtbar bleiben?
Funktionsweise einer Attacke (Quelle: Thales)
Als Ausgangspunkt diente die Idee, versteckte Befehle in Bilddateien einzubetten. Dabei wurden Anweisungen mithilfe kaum sichtbarer Farbunterschiede im Bild platziert. Dieser Ansatz blieb jedoch erfolglos, da moderne Sprachmodelle offenbar bereits auf solche bekannten Angriffsmuster trainiert wurden.
Erfolgreicher waren hingegen ungewöhnlichere Angriffsvektoren. Die Forscher konnten nachweisen, dass speziell präparierte Kontaktinformationen, vCard-Dateien oder Standortangaben in Nachrichten dazu genutzt werden konnten, versteckte Anweisungen in den Verarbeitungsprozess des KI-Agenten einzuschleusen. In mehreren Testfällen führte dies dazu, dass das System von Angreifern vorgegebene Aktionen ausführte, ohne dass die betroffenen Nutzer die Manipulation erkennen konnten.
Die Ursache liegt laut den Forschern in der Art und Weise, wie bestimmte Nachrichtenobjekte an Sprachmodelle übergeben werden. So werden etwa Kontaktdaten, vCards oder Geolokationsinformationen in einigen Fällen direkt in den Prompt integriert. Dadurch verschwimmt die Grenze zwischen vertrauenswürdigen Benutzereingaben und potenziell manipulierten Daten.
Besonders problematisch ist dies bei persönlichen KI-Assistenten, die über weitreichende Berechtigungen verfügen. OpenClaw kann unter anderem externe APIs ansprechen, mit Dateisystemen interagieren, Datenbanken nutzen und operative Prozesse automatisieren. Damit reicht die potenzielle Auswirkung einer erfolgreichen Prompt-Injection deutlich über klassische Chatbot-Szenarien hinaus.
Die Forscher weisen zudem darauf hin, dass solche Systeme standardmäßig oft über dauerhafte Speicherfunktionen verfügen. Dadurch könnte eine einmal eingeschleuste Manipulation langfristige Auswirkungen entfalten und sich unter Umständen sogar über häufig geteilte Inhalte verbreiten.
Noch vor der Veröffentlichung informierten die Sicherheitsforscher das OpenClaw-Team über ihre Erkenntnisse. Mit Version 2026.4.23 wurde daraufhin eine Sicherheitsverbesserung eingeführt. Kontaktnamen, vCard-Felder und Standortbezeichnungen werden nun nicht mehr direkt in den Prompt eingebettet, sondern in einen separaten Kanal für nicht vertrauenswürdige Metadaten verschoben.
Damit ist das Problem aus Sicht der Forscher jedoch keineswegs gelöst. In ihrer Analyse stellten sie ähnliche Muster auch bei anderen KI-Assistenten fest. Das Risiko sei daher nicht produktspezifisch, sondern resultiere aus grundlegenden Designentscheidungen moderner KI-Agenten. Insbesondere fehle bislang ein branchenweiter Standard dafür, wie Messaging-Objekte verarbeitet und an Sprachmodelle übergeben werden. Gleichzeitig gilt die Abwehr von Prompt-Injections weiterhin als weitgehend ungelöste Herausforderung für die gesamte Branche.
Für Unternehmen ergeben sich daraus konkrete Handlungsempfehlungen. Die Forscher raten dazu, verfügbare Sandbox-Mechanismen zu aktivieren, das Least-Privilege-Prinzip konsequent auf die Berechtigungen von Agenten-Tools anzuwenden und KI-Agenten möglichst getrennt von sensiblen Datenumgebungen zu betreiben. Zudem sollten Herkunft und Inhalt von Nachrichtenobjekten überprüft werden, bevor diese an KI-Systeme weitergegeben werden.
Die Untersuchung zeigt, dass persönliche KI-Assistenten zwar erhebliche Produktivitätsgewinne ermöglichen, gleichzeitig aber eine neue Angriffsklasse schaffen. Mit der zunehmenden Integration solcher Systeme in Unternehmensprozesse dürfte die Absicherung gegen Prompt-Injection-Angriffe daher zu einer zentralen Aufgabe für IT- und Security-Verantwortliche werden.
.jpg&size=390x230&crop=0&trim=1)
