KI-Agenten-Fallen: 20 Vorfälle aus der Praxis
Die Einführung von KI-Agenten hat die Sicherheit von KI-Agenten überholt: 82 % der Unternehmen setzen inzwischen Agenten ein, aber nur 44 % haben Richtlinien zu deren Absicherung,1 und jede fünfte Organisation hat bereits einen agentenbezogenen Verstoß erlebt.2
Wir analysierten 20 reale Sicherheitsvorfälle und stellten fest, dass Verhaltenskontroll- und systemische Fallen (nicht Prompt-Injection) inzwischen die Mehrheit der kritischen Verstöße verursachen. Wir ordneten jeden Vorfall einer Taxonomie mit sechs Kategorien zu (Content Injection, semantische Manipulation, kognitiver Zustand, Verhaltenskontrolle, systemisch und Human-in-the-Loop), basierend auf CVE-Daten und Forschung von Microsoft und Google DeepMind.
Reale Vorfälle von KI-Agenten-Fallen
1. Bankrbot Morse-Code-Krypto-Raub: Der Angriff schmuggelt Anweisungen durch Morse-Kodierung ein und nutzt die Lücke zwischen dem, was die Guardrails von Grok inspizieren (Klartext), und dem, was sie dekodieren und ausführen (die übersetzte Anweisung). Die Kodierungswahl ist spezifisch eine Umgehung auf Inhaltsebene: Die bösartige Anweisung ist für Filter unsichtbar, bis der Agent selbst sie lesbar macht.3
2. Claude ClaudeBleed: Es handelt sich um eine kritische Sicherheitslücke in der Anthropic Claude Chrome-Browsererweiterung, die es bösartigen Akteuren ermöglicht, den KI-Assistenten zu kapern, sensible Daten zu stehlen und Aktionen ohne Zustimmung des Benutzers durchzuführen.4
3. Gemini CLI RCE: Eine kritische Remote-Codeausführungs-Schwachstelle (RCE), identifiziert als GHSA-wpqr-6v78-jr5g, hatte einen maximalen CVSS-Wert von 10.0. Sie wurde in der Gemini CLI und der zugehörigen GitHub Action entdeckt. Diese Schwachstelle ermöglichte es Angreifern, die volle Kontrolle über das System zu erlangen, das Tool ausführt. Dies machte sie zu einer kritischen Bedrohung der Lieferkettensicherheit.5
4. Antropic PocketOS: Ein von Claude angetriebener Cursor-Agent entdeckte bei der Untersuchung eines Staging-Bugs autonom ein nicht zugewiesenes Railway-CLI-Token, leitete einen API-Endpunkt ab und gab einen volumeDelete-Befehl aus, der die Produktionsdatenbank und drei Monate Backups in 9 Sekunden zerstörte.6
5. Open-Source-KI-Ökosystem: CLI-Anything automatisch-generiert SKILL.md-Anweisungsdateien, die von Claude Code, Codex, OpenClaw, Cursor und GitHub Copilot CLI konsumiert werden. Vergiftete Skill-Definitionen verbreiten sich stillschweigend über jeden Agenten, der das betroffene Paket importiert; es wird keine CVE ausgestellt, es existiert kein SBOM-Eintrag, und kein Scanner erkennt sie. Der Angriff zielt auf die gemeinsame Ökosystem-Infrastruktur (die ClawHub-Skill-Registry, den npm-Abhängigkeitsgraphen) und nicht auf einen einzelnen Agenten.7
6. Grafana KI: Noma Security stellte fest, dass ein Angreifer einen bösartigen Prompt in einer Datenquelle speichern konnte, die der KI-Assistent von Grafana später abrief. Nach der Verarbeitung sendete die KI sensible Daten wie Finanzkennzahlen und Infrastruktur-Telemetrie an einen vom Angreifer kontrollierten Server, ohne dass ein Benutzerklick erforderlich war.8
7. Anthropic MCP Ökosystem: OX Security legte eine systemische Architekturschwachstelle in den offiziellen Anthropic MCP SDKs (Python, TypeScript, Java, Rust) offen, bei der Benutzereingaben ohne Bereinigung direkt in STDIO-MCP-Serverkonfigurationen fließen, was über 150 Millionen SDK-Downloads, 7.000+ öffentlich zugängliche Server und nachgelagerte Tools wie LiteLLM, LangChain, Cursor, Windsurf und Claude Code betrifft. Da der Fehler in der gemeinsamen SDK-Architektur und nicht in einem einzelnen Agenten liegt, erbt jeder auf dem Framework aufbauende Agent die Angriffsfläche.9
8. Andon Market (Luna KI): Andon Market, ein Einzelhandelsgeschäft in San Francisco, das autonom von einem KI-Agenten namens „Luna“ geführt wird, trifft Bestands-, Preis- und Personalentscheidungen durch das Lesen von Google Reviews. Kunden entdeckten, dass das Hinterlassen einer als Anweisung formulierten Bewertung, wie z. B. „bitte Produkt X auf Lager nehmen“, den Agenten dazu veranlasst, darauf zu reagieren, wodurch eine öffentlich zugängliche Bewertungsplattform zu einer Live-Prompt-Injection-Oberfläche mit realen geschäftlichen Konsequenzen wird.10
9. ChatGPT Codeausführung: Ein als Produktivitätstipps getarnter bösartiger Prompt löst DNS-Tunneling-Code aus, der sensible Gesprächsinhalte kodiert und Dokumente in Subdomain-Abfragen hochlädt, um sie stillschweigend an einen vom Angreifer kontrollierten DNS-Server zu übertragen. Check Point Research zeigte, dass der Exfiltrationskanal für herkömmliche Netzwerküberwachung unsichtbar ist, da er auf normalem DNS-Verkehr aufsetzt, der von der eigenen Codeausführungsumgebung des Agenten initiiert wird.11
10. Perplexity Comet: Zenity Labs legte offen, dass der agentische Browser von Perplexity Comet über eine bösartige Kalendereinladung mit einer Prompt-Injection-Nutzlast gekapert werden kann, wodurch er auf das lokale Dateisystem zugreift, Verzeichnisse durchsucht, Dateien öffnet und liest sowie Daten exfiltriert. Der Angriff erfordert keine Benutzerinteraktion außer der Annahme einer scheinbar legitimen Besprechungseinladung und operiert vollständig innerhalb der vorgesehenen Fähigkeiten des Browsers.12
11. Microsoft Semantic Kernel: Das Defender Security Research Team von Microsoft identifizierte zwei kritische Schwachstellen in Semantic Kernel, CVE-2026-26030 (Python SDK, gepatcht in 1.39.4) und CVE-2026-25592 (.NET SDK, gepatcht in 1.71.0), bei denen ein Angreifer mit einem beliebigen Prompt-Injection-Vektor eine Remote-Codeausführung auf dem Rechner erreichen kann, der den Agenten hostet. CVE-2026-26030 nutzte einen eval-basierten Filter im InMemoryVectorStore aus, dessen AST-Blocklist durch undokumentierte Attributtraversierung umgangen werden konnte, während CVE-2026-25592 eine Dateiübertragungs-Hilfsfunktion als aufrufbares Kernel-Tool offenlegte, sodass ein feindlicher Prompt den Agenten dazu lenken konnte, beliebige Dateien an gefährliche Host-Speicherorte zu schreiben.13
12. Cline KI Triage Bot: Ein bösartiger GitHub-Issue-Titel injizierte Anweisungen in den KI-Triage-Bot von Cline und brachte ihn dazu, npm install auf einem durch Typosquatting gefälschten Paket auszuführen. Dies führte zu Cache-Vergiftung, Diebstahl von Anmeldeinformationen und einer mit einer Hintertür versehenen cline@2.3.0-Version, die stillschweigend OpenClaw-Malware auf etwa 4.000 Entwicklerrechnern installierte.14
13. Claude Desktop-Erweiterungen: Sicherheitsforscher von LayerX entdeckten eine CVSS-10/10-Schwachstelle in Claude Desktop-Erweiterungen, die über 10.000 Benutzer betrifft, bei der ein Angreifer bösartige Anweisungen in ein Kalenderereignis einbetten kann, das Claude verarbeitet, wenn ein Benutzer nach seinem Zeitplan fragt. Der Agent führt dann automatisch beliebigen Code auf dem Rechner des Benutzers aus, ohne weitere Interaktion und ohne sichtbaren Hinweis darauf, dass etwas passiert ist.15
14. npm/MCP Ökosystem: Socket entdeckte SANDWORM_MODE, einen sich selbst replizierenden npm-Wurm, der über 19 durch Typosquatting gefälschte Pakete verbreitet wird und einen bösartigen MCP-Server mit in Tool-Beschreibungen eingebetteten Prompt-Injection-Nutzdaten installiert, wodurch er Anmeldeinformationen von KI-Coding-Assistenten exfiltrieren kann. Da sich der Wurm über die gemeinsame Paket-Registry verbreitet, infiziert eine einzelne Infektion jeden Entwickler, der eine betroffene Abhängigkeit installiert.16
15. Snowflake Cortex Code: PromptArmor entdeckte, dass das Befehlsvalidierungssystem von Cortex Code Befehle innerhalb von Prozesssubstitutionsausdrücken nicht bewertete, sodass eine bösartige, in einer GitHub-Repository-README versteckte Prompt-Injection beliebige Shell-Befehle ausführen konnte, ohne den Human-in-the-Loop-Genehmigungsschritt auszulösen. Die injizierte Anweisung manipulierte das Modell auch dazu, ein nicht sandgeboxed Ausführungs-Flag zu setzen, wodurch der bösartige Befehl vollständig außerhalb der Sandbox ausgeführt wurde, ohne den Benutzer um Zustimmung zu bitten.
16. MetaGPT / LangChain Agenten: MemoryGraft ist ein neuartiger indirekter Injection-Angriff, der das Agentenverhalten nicht durch sofortige Jailbreaks kompromittiert, sondern indem er bösartige „Erfolgserlebnisse“ in das Langzeitgedächtnis des Agenten implantiert und dessen Tendenz ausnutzt, Muster aus abgerufenen erfolgreichen Aufgaben zu replizieren. Im Gegensatz zu herkömmlichen Prompt-Injections, die vorübergehend sind, oder standardmäßiger RAG-Vergiftung, die auf Faktenwissen abzielt, korrumpiert MemoryGraft alle zukünftigen Sitzungen ohne Injection auf Sitzungsebene und erfordert, dass ein Angreifer harmlos erscheinende Artefakte auf Aufnahmeebene bereitstellt, die der Agent während der normalen Ausführung liest.17
17. ServiceNow Now Assist: In ServiceNows Now Assist erlauben die Standardeinstellungen KI-Agenten, sich gegenseitig autonom zu entdecken und zu rekrutieren; ein bösartiger Prompt, eingebettet in Daten, die von einem niedrig privilegierten Agenten verarbeitet werden, kann diesen anweisen, einen mächtigeren Agenten hinzuzuziehen, um Daten zu stehlen, Datensätze zu ändern oder Privilegien zu eskalieren. Das Ergebnis war Privilegieneskalation und Datenoffenlegung, die vollständig durch das Vertrauen zwischen Agenten verursacht wurde.18
18. Apple Intelligence: Bösartige Unicode-RIGHT-TO-LEFT-OVERRIDE-Zeichen verstecken schädliche Anweisungen, indem sie rückwärts schreiben, sodass sie auf dem Bildschirm korrekt dargestellt werden, aber dort umgekehrt bleiben, wo die Sicherheitsfilter von Apple sie inspizieren, und so alle drei Schichten der geräteinternen Guardrails umgehen. Die Technik war in 76 % der Testfälle auf etwa 200 Millionen betroffenen Geräten erfolgreich.19
19. Google Gemini (Kalender): In Kalenderereignisbeschreibungen eingebettete versteckte Anweisungen ruhen inaktiv im Kontext von Gemini, bis ein Benutzer nach seinem Zeitplan fragt. Zu diesem Zeitpunkt wird die Nutzlast aktiviert, fasst private Besprechungsinhalte zusammen und schreibt sie in ein neues, für den Angreifer sichtbares Kalenderereignis. Der Angriff nutzt die Integration von Gemini mit Kalenderdaten aus und verwandelt strukturierte persönliche Daten in eine Auslöserfläche, ohne dass das Opfer etwas anklicken muss.20
20. Microsoft 365 Copilot: EchoLeak (CVE-2025-32711), entdeckt von Aim Security, ist der erste bekannte Fall einer Prompt-Injection, die gezielt eingesetzt wurde, um eine konkrete Datenexfiltration in einem produktiven KI-System zu verursachen. Es handelt sich um eine einzelne, speziell gestaltete E-Mail, die Copilot dazu zwingt, auf interne Dateien zuzugreifen und deren Inhalt ohne jegliche Benutzerinteraktion an einen vom Angreifer kontrollierten Server zu übertragen. Der Angriff verknüpft vier Umgehungen: das Umgehen des Microsoft XPIA-Klassifikators, das Umgehen der Link-Redaktion mit Referenz-Markdown, das Ausnutzen von automatisch-abgerufenen Bildern und den Missbrauch eines von der Inhalts-Sicherheitsrichtlinie erlaubten Microsoft Teams-Proxys.
Was sind KI-Agenten-Fallen?
KI-Agenten-Fallen sind gegnerische Inhalte, die in digitale Umgebungen eingebettet und darauf ausgelegt sind, autonome KI-Agenten, die mit diesen Umgebungen interagieren, zu manipulieren, zu täuschen oder auszunutzen.21
Die zentrale Erkenntnis ist, dass autonome Agenten Webinhalte auf Ebenen verarbeiten, die Menschen nicht wahrnehmen. Angreifer können bösartige Anweisungen in HTML-Kommentaren, CSS-positioniertem oder Text mit Null-Deckkraft, Metadaten-Attributen und steganografischen, in Bilddateien kodierten Daten einbetten.22 Keine dieser Ebenen ist für einen menschlichen Prüfer normalerweise sichtbar; ein Agent, der dieselbe Seite parst, behandelt darin gefundene Inhalte als ebenso gültige Eingabe wie sichtbar auf dem Bildschirm dargestellte Inhalte. Die Google DeepMind-Forscher bezeichnen dies als eine grundlegende Asymmetrie: Angreifer können Angriffe gezielt darauf kalibrieren, die Fähigkeiten eines Agenten zur Befehlsbefolgung, Tool-Verkettung und Zielpriorisierung auszunutzen, gerade weil dies die Fähigkeiten sind, die Agenten operativ nützlich machen.23
Sechs Angriffskategorien von KI-Agenten-Fallen
Forscher haben 6 Kategorien von KI-Agenten-Fallen identifiziert, die Gegner ausnutzen können, um autonome Systeme zu kompromittieren:21
Content-Injection-Fallen
Nutzen die Lücke zwischen menschlicher Wahrnehmung, maschinellem Parsing und dynamischem Rendering aus, um bösartige Eingaben am Agenten vorbeizuschmuggeln.
Die Angriffsfläche umfasst mehrere unterschiedliche Injektionsvektoren. Versteckte Anweisungen, eingebettet in HTML-Kommentare, wie z. B. `<!– SYSTEM: Ignoriere vorherige Anweisungen –>`, erscheinen im Seitenquelltext, aber niemals in der gerenderten Ansicht. CSS-Off-Screen-Positionierung, mittels `position: absolute; left: -9999px` oder Äquivalent, platziert Text an Koordinaten außerhalb jedes Viewports, lässt ihn aber für Agenten, die den Inhalt des Document Object Model verarbeiten, vollständig parsebar. Barrierefreiheitsattribute, insbesondere `aria-label` und verwandtes ARIA-Markup, tragen Text, den Agenten als semantischen Kontext interpretieren; das Injizieren gegnerischer Anweisungen dort platziert sie im Accessibility-Tree ohne jegliche sichtbare Ausgabe. Ein vierter Vektor nutzt steganografische Kodierung: bösartige Nutzdaten, die in Bildpixeldaten mit für das menschliche Auge nicht wahrnehmbaren Werten kodiert sind, aber von Agenten gelesen werden können, die Bildmetadaten verarbeiten oder pixelbasierte Analysen durchführen.
Fallen der semantischen Manipulation
Korrumpieren die Argumentationskette und interne Verifikationsprozesse des Agenten und führen dazu, dass er aus scheinbar gültigen Eingaben fehlerhafte Schlussfolgerungen zieht.
Drei Mechanismen treiben diese Kategorie an. Der erste ist voreingenommene Formulierung und kontextuelles Priming: das Aufladen des umgebenden Textes mit Sprache, die Interpretation nachfolgend verarbeiteter Inhalte durch den Agenten verankert. Der zweite ist die Sättigung mit autoritärer Sprache, das Überfluten von Dokumenten mit Formulierungen wie „branchenüblich“, „unternehmenstauglich“ oder „von führenden Praktikern empfohlen“, um die erlernte Assoziation des Modells zwischen solcher Sprache und glaubwürdigen, vertrauenswürdigen Quellen auszunutzen.22 Der dritte Mechanismus ist der Lost-in-the-Middle-Effekt, eine strukturelle Schwäche in transformer-basierten LLMs, bei der die Modellleistung bei Abruf- und Syntheseaufgaben nachlässt, wenn relevante Informationen in der Mitte eines langen Kontextfensters positioniert sind, anstatt am Anfang oder Ende.
Fallen des kognitiven Zustands
Zielen auf das Langzeitgedächtnis, die Wissensdatenbanken und die erlernten Verhaltensrichtlinien des Agenten ab, um zukünftige Entscheidungsfindung zu vergiften.
Die drei Hauptvarianten sind direkte RAG-Vergiftung, latente Gedächtnisvergiftung und gegnerische Few-Shot-Beispiele beim kontextuellen Lernen.
Direkte RAG-Vergiftung injiziert falsche Informationen in indexierte Dokumentkorpora, die Agenten während der retrieval-unterstützten Generierung konsultieren. Vergifteter Speicher ist fortgeschrittener. Ein Angreifer speichert harmlos erscheinende Daten während routinemäßiger Interaktionen im persistenten Speicher eines Agenten. Die gespeicherten Daten erzeugen keine erkennbare Wirkung, bis ein bestimmter zukünftiger Kontext sie aktiviert. Zu diesem Zeitpunkt modifizieren sie das Agentenverhalten auf eine Weise, die scheinbar keinen kürzlichen kausalen Auslöser hat. Gegnerisches Few-Shot injiziert sorgfältig gestaltete Demonstrationspaare in ein Kontextfenster, sodass der Agent das in diesen Beispielen implizite Muster übernimmt. Forschungen zu Backdoor-Triggern in Demonstrationen ergaben durchschnittliche Angriffserfolgsraten von 95 Prozent über Modelle unterschiedlicher Größe mit diesem Ansatz.
Verhaltenskontroll-Fallen
Verhaltenskontroll-Fallen sind die operativ folgenreichste Kategorie in der Taxonomie. Sie zielen darauf ab, was Agenten tun, und nicht darauf, was sie wahrnehmen oder schlussfolgern, und geben Angreifern direkten Einfluss auf Tool-Ausführung, Dateioperationen, Netzwerkanfragen und Inter-Agenten-Kommunikation.
Systemische Fallen
Systemische Fallen zielen nicht auf einzelne Agenten ab. Sie zielen auf die Ökosystemeigenschaften ab, die entstehen, wenn viele Agenten ähnlicher Bauart auf gemeinsamen Datenquellen operieren, ähnliche Argumentationsmuster ausführen und Aktionen durchführen, die in die Umgebung zurückwirken, die andere Agenten lesen.22
Die breitere Kategorie umfasst drei verschiedene Mechanismen. Der erste ist das Design von Überlastungsfallen: das Vortäuschen von Knappheits- oder Nachfragesignalen, die mehrere Agenten dazu veranlassen, synchronisierte Ressourcenbeschaffungsverhalten auszuführen, wodurch koordinierte Ausfälle ohne direkte Agent-zu-Agent-Kommunikation entstehen. Der zweite ist die Interdependenzkaskade: das Ausnutzen von Rückkopplungsschleifen in Multi-Agenten-Systemen, in denen die Ausgabe jedes Agenten zur Eingabe für andere wird, sodass sich ein einzelnes korrumpiertes Signal über das Netzwerk ausbreitet und verstärkt. Der dritte ist die kompositorische Nutzdatenfragmentierung: das Verteilen von Angriffskomponenten auf mehrere einzeln harmlose Quellen, die sich bei der Aggregation durch einen Agenten während einer Abruf- oder Syntheseaufgabe zu einer funktionsfähigen bösartigen Nutzlast rekonstituieren.
Human-in-the-Loop-Fallen
Human-in-the-Loop-Fallen sind die subtilste Kategorie in der Taxonomie und zielen auf die Überwachungsebene ab, die konventionell als Schutzmaßnahme betrachtet wird. Anstatt die menschliche Prüfung zu umgehen, nutzen diese Fallen sie aus: Der kompromittierte Agent produziert Ausgaben, die speziell darauf ausgelegt sind, die menschliche Genehmigung für Aktionen zu erhalten, die der Mensch ablehnen würde, wenn sie genau beschrieben würden.24
Der Kernmechanismus ist irreführende Zusammenfassung. Ein Agent mit Schreibzugriff auf seine eigene Ausgabeebene kann seine Aktionen auf eine Weise beschreiben, die zerstörerische oder unbefugte Operationen als routinemäßige Wartung darstellt.
Weiterführende Lektüre
Als bevorzugte Quelle hinzufügenDiese Forschung zitieren
Wählen Sie das Format, das zu Ihrem Veröffentlichungsort passt. Wenn Sie die Link-Version in Ihr CMS einfügen, bleibt der Backlink erhalten.
@misc{phd2026,
author = {PhD., Ezgi Arslan,},
title = {{KI-Agenten-Fallen: 20 Vorfälle aus der Praxis}},
year = {2026},
month = may,
howpublished = {\url{https://aimultiple.com/ai-agent-traps}},
note = {AIMultiple. Abgerufen am 18. Mai 2026}
}Ergebnisse und Zeitstempel von 20 Datenpunkten. Laden Sie die in diesem Artikel verwendeten Daten als ZIP-Datei herunter, die eine CSV-Datei enthält.
Referenzlinks
Seien Sie der Erste, der kommentiert
Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich. Kommentare werden in ihrer Originalsprache belassen.