KI-Infos

Politico berichtet, dass aus Gründen der Cybersicherheit und des Datenschutzes die auf Smartphones und Tabletes integrierten KI-Funktionen der Abgeordneten und ihrer Mitarbeiter deaktiviert wurden. Aktuell wird noch geprüft, in welchem Umfang durch diese Funktionen Daten an Dienstleister weitergegeben werden. Bis dies vollständig geklärt ist, wird es als sicherer angesehen, solche Funktionen deaktiviert zu lassen.
URL:

• Politico: https://www.politico … cyber-privacy-fears/

Nach einem Update von Windows 11 informierte der Texteditor „Notepad“ , dass es „besser“ sei und sich mithilfe der integrierten KI Texte erstellen, umformulieren oder zusammenfassen lassen.
Allerdings erhielt die Anwendung dadurch auch eine Sicherheitslücke: bestimmte Befehle wurden in Notepad nicht ausreichend geprüft, wodurch es möglich war, dass Angreifer aus der Ferne schädlichen Code einschleusen und über das Netzwerk auf dem betroffenen Computer ausführen konnten.
Microsoft hat die Schwachstelle inzwischen im Rahmen der monatlichen Sicherheitsupdates behoben.
URLs

• Microsoft: https://msrc.microso … ility/CVE-2026-20841
• t3n: https://t3n.de/news/ … uecke-schuf-1729667/
• futurism: https://futurism.com … otepad-security-flaw
• Diskussion bei reddit: https://www.reddit.c … s_notepad_created_a/

“Prompt Injection” suggeriert eine einfache, singuläre Schwachstelle. Diese Darstellung verschleiert nach Ansicht von Schneier und seinen Mitautoren jedoch eine komplexere und gefährlichere Realität.
Angriffe auf LLM-basierte Systeme entwickelten sich zu einer eigenständigen Klasse von Malware-Ausführungsmechanismen, welche die Autoren als „Promptware“ bezeichnen. In iohrem Beitrag schlagen die Autoren vor, eine strukturierte siebenstufige “Promptware Kill Chain”:

1. Prompt-Injektion ist der erste Schritt in einer ausgeklügelten, mehrstufigen Operation, die traditionellen Malware-Kampagnen wie Stuxnet oder NotPetya ähnelt.
2. Werden bösartige Anweisungen in das Lernmaterial der KI integriert, geht der Angriff in eine Privilegienerweiterung über, die oft als „Jailbreaking“ bezeichnet wird. In dieser Phase umgeht der Angreifer die Sicherheitsschulungen und Richtlinien, die Anbieter wie OpenAI oder Google in ihre Modelle integriert haben.
3. Nach der Privilegienerweiterung folgt die Aufklärung. Hier manipuliert der Angriff das LLM, um Informationen über seine Ressourcen, verbundenen Dienste und Fähigkeiten preiszugeben.
4. Durch eine Vielzahl von Mechanismen bettet sich Promptware in das Langzeitgedächtnis eines KI-Agenten ein oder vergiftet die Datenbanken, auf die sich der Agent stützt. Beispielsweise könnte ein Wurm das E-Mail-Archiv eines Benutzers infizieren, sodass jedes Mal, wenn die KI vergangene E-Mails zusammenfasst, der bösartige Code erneut ausgeführt wird. Dies bezeichnen die Autoren als Persistenzphase.
5. Die Command-and-Control-Phase (C2) basiert auf der etablierten Persistenz (Schritt 4) und dem dynamischen Abruf von Befehlen durch die LLM-Anwendung während der Inferenzzeit aus dem Internet.
6. In der sechsten Phase breitet sich der Angriff vom ursprünglichen Opfer auf andere Benutzer, Geräte oder Systeme aus. Im Bestreben, KI-Agenten Zugriff auf E-Mails, Kalender und Unternehmensplattformen zu gewähren, schaffen wir „Autobahnen“ für die Verbreitung von Malware. Beispielsweise kann ein infizierter E-Mail-Assistent dazu verleitet werden, die schädliche Nutzlast an alle Kontakte weiterzuleiten und die Infektion wie einen Computervirus zu verbreiten.
7. Schließlich endet die Kill Chain mit „Actions on Objective“. Das Ziel von Promptware besteht oft darin, durch Datenexfiltration, Finanzbetrug oder sogar Auswirkungen auf die physische Welt konkrete böswillige Ergebnisse zu erzielen. Es gibt Beispiele dafür, dass KI-Agenten dazu manipuliert wurden, Autos für einen einzigen Dollar zu verkaufen oder Kryptowährung auf das Wallet eines Angreifers zu übertragen. Das Ergebnis dieser Phase bestimmt die Art der von Promptware ausgeführten Malware, darunter Infostealer, Spyware und Cryptostealer.

URLs:

• Lawfare: https://www.lawfarem … romptware-kill-chain
• arXiv: https://arxiv.org/abs/2601.09625
• Schneier on Security: https://www.schneier … ware-kill-chain.html

Bei Moltbook existiert eine gravierende Sicherheitslücke, die letztlich Zugriff auf alle Informationen der KI-Agenten, Chats usw. ermöglicht. Am 2. Februar wurde der Hack dokumentiert (https://www.wiz.io/b … millions-of-api-keys), Zugriff nach nur 3 Minuten, weil API-Keys unverschlüsselt abgreifbar waren: Fehler, der Informatik-Studierenden von mir eine 6 eingebracht hätte. (Aber vielleicht bin ich auch einfach nur zu streng 😉),
Abgesehen von dem Beitrag, in welchem Gal Nagli beschrieb, wie er den Hack durchführte, gibt es im Netz einige Berichte dazu:

• Wired: https://www.wired.co … ed-real-humans-data/
• t3n: https://t3n.de/news/ … n-3-minuten-1727898/
• Businesss Insider: https://www.business … n-3-minuten-gehackt/
• Reuters: https://www.reuters. … wiz-says-2026-02-02/

Fazit: Mal eben KI gemacht ist eine genauso miese Idee wie alles andere, was ohne echtes Wissen aus Trendgründen (”machen ja alle”, “ist gerade in” oder “wenn es doch der Kunde will”) umgesetzt wird.

Aktuelle Sicherheitsbenchmarks bewerten in erster Linie, ob KI-Agenten ausdrücklich schädliche Anweisungen ablehnen oder ob sie bei komplexen Aufgaben die Einhaltung von Verfahren gewährleisten können.
Forscher entwickelten einen Benchmark, welcher 40 verschiedene Szenarien umfasst. Jedes Szenario stellt eine Aufgabe dar, die mehrstufige Aktionen erfordert, und die Leistung des Agenten ist an einen bestimmten Key Performance Indicator (KPI) gebunden. Jedes Szenario umfasst Varianten mit vorgeschriebenen (durch Anweisungen vorgegebenen) und incentivierten (durch KPI-Druck motivierten) Maßnahmen, um zwischen Einhaltung von vorgegebenen Beschränkungen und auftretenden Abweichungen zu unterscheiden.
Bei 12 hochmodernen großen Sprachmodellen beobachten wir ergebnisorientierte Verstöße gegen Einschränkungen zwischen 1,3 % und 71,4 %. Dabei korreliert die Wahrscheinlichkeit für einen Verstoß nicht mit der Denkfähigkeit des Modells: Gemini-3-Pro-Preview, eines der leistungsfähigsten der evaluierten Modelle, wies mit 71,4 % die höchste Verstoßquote auf und neigt häufig zu schwerwiegendem Fehlverhalten, um die KPIs zu erfüllen.
Die Forschungsergebnisse unterstreichen die dringende Notwendigkeit einer realistischeren Schulung von KI-Nutzern hinsichtlich der Sicherheit von KI-Agenten vor deren Einsatz, um ihre Risiken in der realen Welt zu mindern.
URL:

• Forschungsergebnis bei arXiv: https://arxiv.org/abs/2512.20798