AI-Agent-Fallen: 20 reale Vorfälle
Die Einführung von KI-Agenten hat die Sicherheit von KI-Agenten überholt: 82 % der Unternehmen setzen mittlerweile Agenten ein, aber nur 44 % haben Richtlinien, um sie zu sichern,1 und jedes fünfte Unternehmen hat bereits einen agentenbezogenen Sicherheitsvorfall erlebt.2
Wir haben 20 reale Sicherheitsvorfälle analysiert und festgestellt, dass Verhaltenssteuerung und systemische Fallen (nicht Prompt-Injection) nun die Mehrheit der kritischen Sicherheitsvorfälle antreiben. Wir haben jeden Vorfall einer sechskategorischen Taxonomie (Content-Injection, semantische Manipulation, kognitiver Zustand, Verhaltenssteuerung, systemisch und Human-in-the-Loop) zugeordnet, basierend auf CVE-Daten und Forschung von Microsoft und Google DeepMind.
Reale Vorfälle mit AI-Agent-Fallen
1. Bankrbot-Morsecode-Krypto-Raub: Der Angriff schmuggelt Anweisungen durch Morse-Codierung, indem er die Lücke zwischen dem ausnutzt, was Grok’s Guardrails prüfen (Klartext) und dem, was es decodiert und darauf reagiert (die übersetzte Anweisung). Die Wahl der Codierung ist speziell eine Umgehung auf der Content-Ebene: Die bösartige Direktive ist für Filter unsichtbar, bis der Agent sie selbst lesbar rendert.3
2. Claude ClaudeBleed: Es handelt sich um eine kritische Sicherheitslücke in der Anthropic Claude-Chrome-Browsererweiterung, die es böswilligen Akteuren ermöglicht, den KI-Assistenten zu übernehmen, sensible Daten zu stehlen und Aktionen ohne Zustimmung des Benutzers durchzuführen.4
3. Gemini CLI RCE: Eine kritische Remote Code Execution (RCE)-Sicherheitslücke, identifiziert als GHSA-wpqr-6v78-jr5g, hatte ein maximales CVSS-Score von 10,0. Sie wurde in der Gemini CLI und der zugehörigen GitHub Action entdeckt. Diese Sicherheitslücke ermöglichte es Angreifern, die vollständige Kontrolle über das System zu erlangen, auf dem das Tool ausgeführt wurde. Dies machte es zu einer kritischen Bedrohung für die Sicherheit der Lieferkette.5
4. Antropic PocketOS: Ein Cursor-Agent, der von Claude angetrieben wird, entdeckte bei der Untersuchung eines Staging-Fehlers autonom ein nicht eingeschränktes Railway CLI-Token, leitete einen API-Endpunkt ab und gab einen volumeDelete-Befehl aus, der die Produktionsdatenbank und drei Monate Backups in 9 Sekunden zerstörte.6
5. Open-Source-KI-Ökosystem: CLI-Anything generiert automatisch SKILL.md-Instruktionsschichtdateien, die von Claude Code, Codex, OpenClaw, Cursor und GitHub Copilot CLI konsumiert werden. Vergiftete Skill-Definitionen verbreiten sich stillschweigend über jeden Agenten, der das betroffene Paket importiert; es wird kein CVE ausgestellt, kein SBOM-Eintrag existiert und kein Scanner erkennt es. Der Angriff zielt auf die gemeinsame Ökosysteminfrastruktur (das ClawHub-Skill-Register, das npm-Abhängigkeitsdiagramm) ab, nicht auf einen einzelnen Agenten.7
6. Grafana AI: Noma Security stellte fest, dass ein Angreifer einen bösartigen Prompt in einer Datenquelle speichern konnte, die später von Grafanas KI-Assistenten abgerufen wurde. Sobald verarbeitet, sendete die KI sensible Daten, wie Finanzkennzahlen und Infrastruktur-Telemetrie, an einen vom Angreifer kontrollierten Server, ohne dass ein Benutzerklick erforderlich war.8
7. Anthropic MCP Ökosystem: OX Security enthüllte eine systemische architektonische Schwachstelle in Anthropic’s offiziellen MCP SDKs (Python, TypeScript, Java, Rust), bei der Benutzereingaben direkt in STDIO MCP-Serverkonfigurationen fließen, ohne Bereinigung. Dies betrifft über 150 Millionen SDK-Downloads, 7.000+ öffentlich zugängliche Server und nachgelagerte Tools, einschließlich LiteLLM, LangChain, Cursor, Windsurf und Claude Code. Da der Fehler in der gemeinsamen SDK-Architektur liegt und nicht in einem einzelnen Agenten, erbt jeder auf dem Framework aufgebaute Agent die Exposition.9
8. Andon Market (Luna AI): Andon Market, ein Einzelhandelsgeschäft in San Francisco, das autonom von einem KI-Agenten namens „Luna“ betrieben wird, trifft Entscheidungen über Lagerbestand, Preisgestaltung und Einstellungen, indem es Google Reviews liest. Kunden entdeckten, dass das Hinterlassen einer Bewertung, die als Anweisung formuliert ist, wie „bitte Produkt X auf Lager halten“, den Agenten dazu veranlasst, darauf zu reagieren, und verwandelt eine öffentlich zugängliche Bewertungsplattform in eine Live-Prompt-Injection-Oberfläche mit echten geschäftlichen Konsequenzen.10
9. ChatGPT-Codeausführung: Ein bösartiger Prompt, der als Produktivitätstipps getarnt ist, löst DNS-Tunneling-Code aus, der sensible Gesprächsinhalte codiert und Dokumente in Subdomain-Abfragen hochlädt, wodurch sie stillschweigend an einen vom Angreifer kontrollierten DNS-Server übertragen werden. Check Point Research zeigte, dass der Exfiltrationskanal für herkömmliches Netzwerkmonitoring unsichtbar ist, da er auf normalem DNS-Datenverkehr basiert, der von der eigenen Codeausführungsumgebung des Agenten initiiert wird.11
10. Perplexity Comet: Zenity Labs enthüllte, dass Perplexity Comets agenter Browser über eine bösartige Kalendereinladung mit einem Prompt-Injection-Payload gehackt werden kann, wodurch er Zugriff auf das lokale Dateisystem erhält, Verzeichnisse durchsucht, Dateien öffnet und liest und Daten exfiltriert. Der Angriff erfordert keine Benutzerinteraktion über die Annahme dessen hinaus, was wie eine legitime Einladung zu einem Meeting aussieht, und funktioniert vollständig innerhalb der beabsichtigten Fähigkeiten des Browsers.12
11. Microsoft Semantic Kernel: Microsoft’s Defender Security Research Team identifizierte zwei kritische Sicherheitslücken in Semantic Kernel, CVE-2026-26030 (Python SDK, gepatcht in 1.39.4) und CVE-2026-25592 (.NET SDK, gepatcht in 1.71.0), bei denen ein Angreifer mit jedem Prompt-Injection-Vektor Remote-Code-Ausführung auf dem Computer erreichen kann, auf dem der Agent gehostet wird. CVE-2026-26030 nutzte einen eval-basierten Filter im InMemoryVectorStore aus, dessen AST-Blockliste durch undokumentierte Attributnavigation umgangen werden konnte, während CVE-2026-25592 eine Dateiübertragungshilfsfunktion als aufrufbares Kernel-Tool offenlegte, was einem feindseligen Prompt ermöglichte, den Agenten dazu zu steuern, willkürliche Dateien an gefährliche Host-Standorte zu schreiben.13
12. Cline AI Triage Bot: Ein bösartiger GitHub-Issue-Titel injizierte Anweisungen in Cline’s AI Triage Bot und trickste ihn aus, npm install auf einem typosquatteten Paket auszuführen. Dies führte zu Cache-Vergiftung, Credential-Diebstahl und einer hinterlegten cline@2.3.0-Veröffentlichung, die OpenClaw-Malware stillschweigend auf etwa 4.000 Entwicklermaschinen installierte.14
13. Claude Desktop Extensions: LayerX-Sicherheitsforscher entdeckten eine CVSS 10/10-Sicherheitslücke in Claude Desktop Extensions, die über 10.000 Benutzer betrifft, bei der ein Angreifer bösartige Anweisungen in ein Kalenderevent einbetten kann, das Claude verarbeitet, wenn ein Benutzer nach seinem Zeitplan fragt. Der Agent führt dann automatisch beliebigen Code auf dem Computer des Benutzers aus, ohne weitere Interaktion, ohne sichtbare Anzeichen dafür, dass etwas passiert ist.15
14. npm/MCP Ökosystem: Socket entdeckte SANDWORM_MODE, einen sich selbst replizierenden npm-Wurm, der über 19 typosquattete Pakete verteilt wurde und einen rogue MCP-Server mit in Tool-Beschreibungen eingebetteten Prompt-Injection-Payloads installiert, wodurch er Credentials von AI coding-Assistenten exfiltrieren kann. Da sich der Wurm über das gemeinsame Paketregister ausbreitet, säte eine einzelne Infektion den Angriff über jeden Entwickler, der eine betroffene Abhängigkeit installiert.16
15. Snowflake Cortex Code: PromptArmor entdeckte, dass das Befehlsvalidierungssystem von Cortex Code Befehle innerhalb von Prozesssubstitutionsausdrücken nicht bewertete, was es einem bösartigen Prompt-Injection ermöglichte, der in einer GitHub-Repository-README versteckt war, beliebige Shell-Befehle auszuführen, ohne jemals den Human-in-the-Loop-Genehmigungsschritt auszulösen. Die injizierte Anweisung manipulierte das Modell auch dazu, eine nicht sandgeboxte Ausführungsfahne zu setzen, wodurch der bösartige Befehl vollständig außerhalb des Sandboxes ausgeführt wurde, ohne den Benutzer um Zustimmung zu bitten.
16. MetaGPT / LangChain Agents: MemoryGraft ist ein neuer indirekter Injektionsangriff, der das Agentenverhalten nicht durch unmittelbare Jailbreaks kompromittiert, sondern indem er bösartige „erfolgreiche Erfahrungen“ in das Langzeitgedächtnis des Agenten implantiert und dessen Tendenz ausnutzt, Muster aus abgerufenen erfolgreichen Aufgaben zu replizieren. Im Gegensatz zu traditionellen Prompt-Injections, die transient sind, oder standardmäßiger RAG-Vergiftung, die faktisches Wissen angreift, korrumpiert MemoryGraft alle zukünftigen Sitzungen ohne Sitzungslevel-Injektion und erfordert, dass ein Angreifer nur harmlos erscheinende Ingestionslevel-Artefakte bereitstellt, die der Agent während der normalen Ausführung liest.17
17. ServiceNow Now Assist: In ServiceNow’s Now Assist erlauben Standardeinstellungen KI-Agenten, sich autonom zu entdecken und zu rekrutieren; ein bösartiger Prompt, der in Daten eingebettet ist, die von einem Agenten mit niedrigen Rechten verarbeitet werden, kann ihn anweisen, einen leistungsfähigeren Agenten anzurufen, um Daten zu stehlen, Datensätze zu ändern oder Rechte zu eskalieren. Das Ergebnis war eine Privilegienerweiterung und Datenexposition, die vollständig durch Inter-Agenten-Vertrauen angetrieben wurde.18
18. Apple Intelligence: Bösartige Unicode RIGHT-TO-LEFT OVERRIDE-Zeichen verstecken schädliche Anweisungen, indem sie sie rückwärts schreiben, sodass sie auf dem Bildschirm korrekt gerendert werden, aber umgekehrt bleiben, wo Apples Sicherheitsfilter sie prüfen, wodurch alle drei Schichten von On-Device-Guardrails umgangen werden. Die Technik war in 76 % der Testfälle auf etwa 200 Millionen betroffenen Geräten erfolgreich.19
19. Google Gemini (Kalender): Versteckte Anweisungen, die in Kalenderevent-Beschreibungen eingebettet sind, schlummern im Gemini’s Kontext, bis ein Benutzer nach seinem Zeitplan fragt, woraufhin der Payload aktiviert wird, private Meeting-Inhalte zusammenfasst und sie in ein neues Kalenderevent schreibt, das für den Angreifer sichtbar ist. Der Angriff nutzt Gemini’s Integration mit Kalenderdaten aus und verwandelt strukturierte persönliche Daten in eine Trigger-Oberfläche, ohne dass das Opfer etwas anklicken muss.20
20. Microsoft 365 Copilot: EchoLeak (CVE-2025-32711), entdeckt von Aim Security, ist der erste bekannte Fall von Prompt-Injection, der als Waffe eingesetzt wird, um konkrete Datenexfiltration in einem produktiven KI-System zu verursachen. Es ist eine einzelne, sorgfältig gestaltete E-Mail, die Copilot dazu zwingt, auf interne Dateien zuzugreifen und deren Inhalt an einen vom Angreifer kontrollierten Server zu übertragen, ohne jegliche Benutzerinteraktion. Der Angriff verkettet vier Umgehungen: Umgehung von Microsoft’s XPIA-Klassifikator, Umgehung der Link-Redaktion mit referenzstilisiertem Markdown, Ausnutzung automatisch abgerufener Bilder und Missbrauch eines Microsoft Teams-Proxys, der durch die Content-Sicherheitsrichtlinie erlaubt ist.
Was sind AI-Agent-Fallen?
AI-Agent-Fallen sind adversarielle Inhalte, die in digitale Umgebungen eingebettet und darauf ausgelegt sind, autonome KI-Agenten zu manipulieren, zu täuschen oder auszunutzen, die mit diesen Umgebungen interagieren.21
Die zentrale Erkenntnis ist, dass autonome Agenten Web-Inhalte auf Schichten verarbeiten, die Menschen nicht wahrnehmen. Angreifer können bösartige Anweisungen in HTML-Kommentaren, CSS-positioniertem oder Null-Opazitätstext, Metadatenattributen und steganografischen Daten, die in Bilddateien codiert sind, einbetten.22 Keine dieser Schichten ist normalerweise für einen menschlichen Prüfer sichtbar; ein Agent, der dieselbe Seite analysiert, behandelt Inhalte, die in ihnen gefunden werden, als ebenso gültige Eingabe wie Inhalte, die sichtbar auf dem Bildschirm gerendert werden. Die Google DeepMind-Forscher notieren dies als eine fundamentale Asymmetrie: Angreifer können Angriffe kalibrieren, um die Anweisungsfolge-, Tool-Ketten- und Zielpriorisierungsfähigkeiten eines Agenten auszunutzen, gerade weil dies die Fähigkeiten sind, die Agenten operativ nützlich machen.23
Als bevorzugte Quelle hinzufügenSechs Angriffskategorien von AI-Agent-Fallen
Forscher haben 6 Kategorien von AI-Agent-Fallen identifiziert, die Gegner ausnutzen können, um autonome Systeme zu kompromittieren:
Content-Injection-Fallen
Nutzen die Lücke zwischen menschlicher Wahrnehmung, Maschinenparsung und dynamischem Rendern aus, um bösartige Eingaben am Agenten vorbeizuschmuggeln.
Die Angriffsfläche umfasst mehrere verschiedene Injektionsvektoren. Versteckte Anweisungen, die in HTML-Kommentaren eingebettet sind, wie `<!– SYSTEM: Ignoriere vorherige Anweisungen –>`, erscheinen im Quellcode der Seite, aber nie in der gerenderten Ansicht.24 CSS-Off-Screen-Positionierung, unter Verwendung von `position: absolute; left: -9999px` oder äquivalent, platziert Text an Koordinaten außerhalb jedes Viewports, lässt ihn aber vollständig parsbar für Agenten, die Dokumentobjektmodell-Inhalte verarbeiten. Barrierefreiheitsattribute, speziell `aria-label` und verwandte ARIA-Markups, tragen Text, den Agenten als semantischen Kontext interpretieren; das Injizieren adversarieller Direktiven dort platziert sie innerhalb des Barrierefreiheitsbaums ohne jegliche sichtbare Ausgabe.25 Ein vierter Vektor verwendet steganografische Codierung: Bösartige Payloads, die in Bilddaten bei Werten codiert sind, die für das menschliche Auge unmerklich, aber für Agenten lesbar sind, die Bildmetadaten verarbeiten oder pixelgenaue Analysen anwenden.26
Semantische Manipulationsfallen
Korruptieren die Denkweise des Agenten und interne Verifikationsprozesse, was dazu führt, dass er aus scheinbar gültigen Eingaben fehlerhafte Schlussfolgerungen zieht.
Drei Mechanismen treiben diese Kategorie an. Der erste ist voreingenommene Formulierung und kontextuelle Priming: Umgebenden Text mit Sprache zu laden, die die Interpretation des Agenten für nachfolgend verarbeitete Inhalte verankert. Der zweite ist autoritative Sprachsättigung, das Fluten von Dokumenten mit Phrasen wie „branchenstandard“, „Unternehmensniveau“ oder „von führenden Praktikern empfohlen“, um die gelernte Assoziation des Modells zwischen solcher Sprache und glaubwürdigen, vertrauenswürdigen Quellen auszunutzen.27 Der dritte Mechanismus ist der „lost-in-the-middle“-Effekt, eine strukturelle Schwäche in transformerbasierten LLMs, bei der die Modellleistung bei Abruf- und Syntheseaufgaben abnimmt, wenn relevante Informationen in der Mitte eines langen Kontextfensters positioniert sind, anstatt am Anfang oder Ende.28
Kognitive Zustandsfallen
Zielen auf das Langzeitgedächtnis des Agenten, Wissensdatenbanken und gelernte Verhaltensrichtlinien ab, um zukünftige Entscheidungsfindung zu vergiften.
Die drei primären Varianten sind direkte RAG-Vergiftung, latente Gedächtnisvergiftung und adversarielle Few-Shot-Beispiele im kontextuellen Lernen.29
Direct RAG-Vergiftung injiziert falsche Informationen in indizierte Dokumentenkorpora, die Agenten während retrieval-augmentierter Generierung konsultieren. Vergiftetes Gedächtnis ist fortschrittlicher. Ein Angreifer speichert harmlos erscheinende Daten im persistenten Gedächtnis eines Agenten während routinemäßiger Interaktionen. Die gespeicherten Daten erzeugen keinen erkennbaren Effekt, bis ein spezifischer zukünftiger Kontext sie aktiviert, woraufhin sie das Agentenverhalten in einer Weise ändern, die keinen jüngeren kausalen Auslöser zu haben scheint.30 Adversarielles Few-Shot ist das Injizieren sorgfältig gestalteter Demonstrationspaare in ein Kontextfenster, damit der Agent das in diesen Beispielen implizite Muster annimmt. Forschung zu Backdoor-Trigger in Demonstrationen fand durchschnittliche Angriffserfolgsraten von 95 Prozent über Modelle unterschiedlicher Skalierung unter diesem Ansatz.31
Verhaltenssteuerungsfallen
Verhaltenssteuerungsfallen sind die operativ folgenreichste Kategorie in der Taxonomie. Sie zielen darauf ab, was Agenten tun, nicht was sie wahrnehmen oder schlussfolgern, und geben Angreifern direkten Einfluss auf Tool-Ausführung, Dateioperationen, Netzwerkanfragen und Inter-Agenten-Kommunikation.32
Systemische Fallen
Systemische Fallen zielen nicht auf einzelne Agenten ab. Sie zielen auf die Ökosystemeigenschaften ab, die entstehen, wenn viele Agenten ähnlichen Designs auf gemeinsamen Datenquellen operieren, ähnliche Denkmuster ausführen und Aktionen ergreifen, die in die Umgebung zurückfließen, die andere Agenten lesen.33
Die breitere Kategorie umfasst drei verschiedene Mechanismen. Der erste ist das Stau-Fallen-Design: Fälschung von Knappheits- oder Nachfragesignalen, die dazu führen, dass mehrere Agenten synchronisierte Ressourcenbeschaffungsverhalten ausführen und koordinierte Ausfälle ohne direkte Agent-zu-Agent-Kommunikation erzeugen. Der zweite ist die Interdependenz-Kaskade: Ausnutzung von Feedback-Schleifen in Multi-Agenten-Systemen, bei denen die Ausgabe jedes Agenten zur Eingabe für andere wird, sodass ein einzelnes korruptes Signal sich über das Netzwerk ausbreitet und verstärkt. Der dritte ist die kompositionelle Payload-Fragmentierung: Verteilung von Angriffskomponenten über mehrere individuell harmlose Quellen, die sich erst zu einer funktionalen bösartigen Payload rekonstituieren, wenn sie von einem Agenten während einer Abruf- oder Syntheseaufgabe aggregiert werden.34
Human-in-the-Loop-Fallen
Human-in-the-Loop-Fallen sind die subtilste Kategorie in der Taxonomie und zielen auf die Aufsichtsschicht ab, die konventionell als Schutzmaßnahme behandelt wird. Anstatt die menschliche Prüfung zu umgehen, nutzen diese Fallen sie aus: Der kompromittierte Agent erzeugt Ausgaben, die speziell darauf ausgelegt sind, menschliche Zustimmung für Aktionen zu gewinnen, die der Mensch ablehnen würde, wenn sie genau beschrieben würden.35
Der Kernmechanismus ist täuschende Zusammenfassung. Ein Agent mit Schreibzugriff auf seine eigene Ausgabeschicht kann seine Aktionen so beschreiben, dass destruktive oder unbefugte Operationen als routinemäßige Wartung dargestellt werden.
Diese Forschung zitieren
Wählen Sie das Format, das zu Ihrem Veröffentlichungsort passt. Wenn Sie die Link-Version in Ihr CMS einfügen, bleibt der Backlink erhalten.
@misc{phd2026,
author = {PhD., Ezgi Arslan,},
title = {{AI-Agent-Fallen: 20 reale Vorfälle}},
year = {2026},
month = may,
howpublished = {\url{https://aimultiple.com/ai-agent-traps}},
note = {AIMultiple. Retrieved Mai 18, 2026}
}Referenzlinks
Seien Sie der Erste, der kommentiert
Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich. Kommentare werden in ihrer Originalsprache belassen.