Fallen für KI-Agenten: 20 reale Vorfälle
Die Einführung von KI-Agenten hat die Sicherheit von KI-Agenten überholt: 82 % der Unternehmen setzen mittlerweile Agenten ein, aber nur 44 % verfügen über Richtlinien zu deren Absicherung. 1 fünfte Organisation war bereits von einem agentenbezogenen Sicherheitsvorfall betroffen. 2
Wir analysierten 20 reale Sicherheitsvorfälle und stellten fest, dass Verhaltenskontrolle und systemische Fallen (nicht die sofortige Einschleusung von Schadcode) mittlerweile die Mehrheit der kritischen Sicherheitsverletzungen verursachen. Wir ordneten jeden Vorfall einer sechsstufigen Taxonomie zu (Inhaltseinschleusung, semantische Manipulation, kognitiver Zustand, Verhaltenskontrolle, systemische Schwachstellen und Mensch-Maschine-Interaktion), basierend auf CVE-Daten und Forschungsergebnissen von DeepMind (Microsoft und Google).
Vorfälle mit KI-Agenten in der realen Welt
1. Bankrbot-Morsecode-Krypto-Diebstahl: Der Angriff schmuggelt Anweisungen durch Morsecode-Verschlüsselung und nutzt dabei die Diskrepanz zwischen dem, was Groks Schutzmechanismen prüfen (Klartext), und dem, was dekodiert und ausgeführt wird (die übersetzte Anweisung). Die gewählte Verschlüsselungsmethode umgeht die Inhaltsebene: Die schädliche Anweisung ist für Filter unsichtbar, bis der Agent sie selbst lesbar macht. 3
2. Claude ClaudeBleed: Es handelt sich um eine kritische Sicherheitslücke in der Chrome-Browsererweiterung Claude (Anthropic), die es Angreifern ermöglicht, den KI-Assistenten zu kapern, sensible Daten zu stehlen und Aktionen ohne Zustimmung des Benutzers durchzuführen. 4
3. Gemini CLI RCE: Eine kritische Sicherheitslücke zur Remote -Codeausführung (RCE), identifiziert als GHSA-wpqr-6v78-jr5g, erreichte einen maximalen CVSS-Wert von 10,0. Sie wurde in der Gemini CLI und der zugehörigen GitHub-Aktion entdeckt. Diese Sicherheitslücke ermöglichte Angreifern die vollständige Kontrolle über das System, auf dem das Tool ausgeführt wurde. Dadurch stellte sie eine erhebliche Bedrohung für die Sicherheit der Lieferkette dar. 5
4. Antropic PocketOS: Ein Cursor-Agent, der von Claude unterstützt wird, entdeckte bei der Untersuchung eines Staging-Bugs selbstständig ein nicht bereichsbezogenes Railway CLI-Token, leitete daraus einen API-Endpunkt ab und gab einen volumeDelete-Befehl aus, der die Produktionsdatenbank und drei Monate an Backups in 9 Sekunden zerstörte. 6
5. Open-Source-KI-Ökosystem: CLI-Anything generiert automatisch SKILL.md-Anweisungsdateien, die von Claude Code, Codex, OpenClaw, Cursor und der GitHub Copilot CLI verwendet werden. Manipulierte Skill-Definitionen verbreiten sich unbemerkt auf allen Agenten, die das betroffene Paket importieren; es wird keine CVE-Meldung veröffentlicht, kein SBOM-Eintrag existiert und kein Scanner erkennt den Angriff. Der Angriff zielt auf die gemeinsame Infrastruktur des Ökosystems (die ClawHub-Skill-Registry, den npm-Abhängigkeitsgraphen) und nicht auf einzelne Agenten ab. 7
6. Grafana AI: Noma Security entdeckte, dass ein Angreifer eine schädliche Eingabeaufforderung in einer Datenquelle speichern konnte, die der KI-Assistent von Grafana später abrief. Nach der Verarbeitung sendete die KI sensible Daten wie Finanzkennzahlen und Infrastrukturtelemetrie an einen vom Angreifer kontrollierten Server, ohne dass ein Benutzerklick erforderlich war. 8
7. Anthropic MCP-Ökosystem: OX Security hat eine systemische Architekturlücke in den offiziellen MCP-SDKs (Python, TypeScript, Java, Rust) von Anthropic aufgedeckt. Benutzereingaben fließen ungeprüft direkt in die STDIO-Konfigurationen der MCP-Server. Betroffen sind über 150 Millionen SDK-Downloads, mehr als 7.000 öffentlich zugängliche Server sowie nachgelagerte Tools wie LiteLLM, LangChain, Cursor, Windsurf und Claude Code. Da die Schwachstelle in der gemeinsamen SDK-Architektur und nicht in einem einzelnen Agenten liegt, ist jeder auf diesem Framework basierende Agent betroffen. 9
8. Andon Market (Luna AI): Andon Market, ein Einzelhandelsgeschäft in San Francisco, das autonom von einem KI-Agenten namens „Luna“ betrieben wird, trifft Entscheidungen zu Lagerbestand, Preisen und Personaleinstellung auf Basis von Kundenrezensionen. Kunden stellten fest, dass Rezensionen in Form von Anweisungen, wie z. B. „Bitte Produkt X ins Sortiment aufnehmen“, den Agenten zum Handeln veranlassen. So wird aus einer öffentlichen Bewertungsplattform eine interaktive Feedback-Oberfläche mit direkten Geschäftsauswirkungen. 10
9. ChatGPT-Codeausführung: Eine als Produktivitätstipps getarnte, bösartige Aufforderung löst DNS-Tunneling-Code aus, der sensible Gesprächsinhalte verschlüsselt und Dokumente in Subdomain-Anfragen hochlädt, um sie unbemerkt an einen vom Angreifer kontrollierten DNS-Server zu übertragen. Check Point Research hat gezeigt, dass dieser Exfiltrationskanal für herkömmliche Netzwerküberwachung unsichtbar ist, da er den Standard-DNS-Verkehr nutzt, der von der Codeausführungsumgebung des Agenten selbst initiiert wird. 11
10. Comet: Zenity Labs gab bekannt, dass der agentenbasierte Browser Comet durch eine manipulierte Kalendereinladung mit einer Prompt-Injection-Payload kapert werden kann. Dadurch erhält er Zugriff auf das lokale Dateisystem, kann Verzeichnisse durchsuchen, Dateien öffnen und lesen sowie Daten exfiltrieren. Für den Angriff ist keine Benutzerinteraktion erforderlich, außer der Annahme einer scheinbar legitimen Besprechungseinladung. Der Angriff funktioniert vollständig innerhalb der vorgesehenen Funktionen des Browsers. 12
11. Microsoft Semantic Kernel: Das Defender Security Research Team von Microsoft identifizierte zwei kritische Schwachstellen im Semantic Kernel: CVE-2026-26030 (Python SDK, behoben in Version 1.39.4) und CVE-2026-25592 (.NET SDK, behoben in Version 1.71.0). Angreifer können mit beliebigen Methoden zur Eingabeaufforderung Schadcode auf dem Rechner ausführen, auf dem der Agent ausgeführt wird. CVE-2026-26030 nutzte einen eval-basierten Filter im InMemoryVectorStore aus, dessen AST-Blockliste durch undokumentierte Attributdurchquerung umgangen werden konnte. CVE-2026-25592 legte eine Hilfsfunktion für Dateiübertragungen als aufrufbares Kernel-Tool offen, wodurch eine manipulierte Eingabeaufforderung den Agent dazu veranlassen konnte, beliebige Dateien an gefährlichen Speicherorten des Hosts zu schreiben. 13
12. Cline AI Triage Bot: Ein manipulierter GitHub-Issue-Titel schleuste Anweisungen in den KI-Triage-Bot von Cline ein und verleitete ihn so dazu, `npm install` für ein durch Tippfehler beschädigtes Paket auszuführen. Dies führte zu Cache-Poisoning, dem Diebstahl von Zugangsdaten und der Veröffentlichung einer Hintertür in der Version cline@2.3.0, die unbemerkt die Malware OpenClaw auf etwa 4.000 Entwicklerrechnern installierte. 14
13. Claude Desktop Extensions: Sicherheitsforscher von LayerX entdeckten eine CVSS-10/10-Schwachstelle in Claude Desktop Extensions, die über 10.000 Nutzer betrifft. Ein Angreifer kann Schadcode in Kalendereinträge einbetten, die Claude verarbeitet, wenn ein Nutzer seinen Terminkalender abfragt. Der Agent führt dann automatisch beliebigen Code auf dem Rechner des Nutzers aus, ohne dass dieser mit dem System interagieren muss oder dies sichtbar ist. 15
14. npm/MCP-Ökosystem: Socket entdeckte SANDWORM_MODE, einen sich selbst replizierenden npm-Wurm, der über 19 falsch benannte Pakete verbreitet wird. Dieser installiert einen manipulierten MCP-Server mit in Toolbeschreibungen eingebetteten Prompt-Injection-Payloads, wodurch er Zugangsdaten von KI- Programmierassistenten abgreifen kann. Da sich der Wurm über das gemeinsame Paketregister verbreitet, löst eine einzige Infektion den Angriff bei allen Entwicklern aus, die eine betroffene Abhängigkeit installieren. 16
15. Snowflake Cortex Code: PromptArmor entdeckte, dass das Befehlsvalidierungssystem von Cortex Code Befehle innerhalb von Prozesssubstitutionsausdrücken nicht korrekt auswertete. Dadurch konnte eine in der README-Datei eines GitHub-Repositorys versteckte, bösartige Eingabeaufforderung beliebige Shell-Befehle ausführen, ohne dass der Benutzer um Zustimmung gebeten wurde. Die eingeschleuste Anweisung manipulierte das Modell zudem so, dass ein Flag für die Ausführung außerhalb der Sandbox gesetzt wurde. Dies führte dazu, dass der bösartige Befehl vollständig außerhalb der Sandbox ausgeführt wurde, ohne den Benutzer um Zustimmung zu bitten.
16. MetaGPT / LangChain Agents: MemoryGraft ist ein neuartiger indirekter Injektionsangriff, der das Verhalten von Agenten nicht durch sofortige Jailbreaks beeinträchtigt, sondern indem er bösartige „Erfolgserfahrungen“ in das Langzeitgedächtnis des Agenten einpflanzt. Dabei wird dessen Tendenz ausgenutzt, Muster aus abgerufenen erfolgreichen Aufgaben zu replizieren. Im Gegensatz zu herkömmlichen Prompt-Injektionen, die nur vorübergehend sind, oder dem Standard-RAG-Poisoning, das auf Faktenwissen abzielt, korrumpiert MemoryGraft alle zukünftigen Sitzungen ohne Injektion auf Sitzungsebene. Ein Angreifer muss lediglich harmlos erscheinende Artefakte auf Aufnahmeebene bereitstellen, die der Agent während der normalen Ausführung liest. 17
17. ServiceNow Now Assist: In ServiceNow Now Assist ermöglichen die Standardeinstellungen KI-Agenten, sich selbstständig zu erkennen und gegenseitig anzuwerben. Eine in die von einem Agenten mit geringen Berechtigungen verarbeiteten Daten eingebettete, bösartige Anweisung kann diesen dazu veranlassen, einen Agenten mit höheren Berechtigungen aufzurufen, um Daten zu stehlen, Datensätze zu verändern oder Berechtigungen zu erweitern. Das Ergebnis war eine Rechteausweitung und Datenoffenlegung, die ausschließlich auf dem Vertrauen zwischen den Agenten beruhte. 18
18. Apple Intelligence: Schädliche Unicode-Zeichen, die die Schreibrichtung von rechts nach links umgehen, verbergen schädliche Anweisungen, indem sie diese rückwärts schreiben. Dadurch werden sie zwar auf dem Bildschirm korrekt dargestellt, bleiben aber dort, wo Apples Sicherheitsfilter sie überprüfen, spiegelverkehrt und umgehen so alle drei Schutzebenen des Geräts. Die Technik war in 76 % der Testfälle auf rund 200 Millionen betroffenen Geräten erfolgreich. 19
19. Google Gemini (Kalender): Versteckte Anweisungen in Kalenderereignisbeschreibungen bleiben im Kontext von Gemini ungenutzt, bis ein Nutzer seinen Terminkalender abfragt. Dann wird die Schadsoftware aktiviert, fasst private Besprechungsinhalte zusammen und schreibt sie in ein neues, für den Angreifer sichtbares Kalenderereignis. Der Angriff nutzt die Integration von Gemini mit Kalenderdaten aus und verwandelt strukturierte persönliche Daten in eine Angriffsfläche, ohne dass das Opfer etwas anklicken muss. 20
20. Microsoft 365 Copilot: EchoLeak (CVE-2025-32711), entdeckt von Aim Security, ist der erste bekannte Fall, in dem Prompt Injection gezielt eingesetzt wurde, um Datenexfiltration in einem produktiven KI-System zu verursachen. Es handelt sich um eine speziell präparierte E-Mail , die Copilot dazu bringt, auf interne Dateien zuzugreifen und deren Inhalt ohne Benutzerinteraktion an einen vom Angreifer kontrollierten Server zu übertragen. Der Angriff nutzt vier Umgehungsmechanismen: die Umgehung des XPIA-Klassifikators von Microsoft, die Umgehung der Link-Schwächung durch Markdown im Referenzstil, die Ausnutzung automatisch abgerufener Bilder und den Missbrauch eines durch die Content -Security-Policy erlaubten Teams-Proxys von Microsoft.
Was sind KI-Agentenfallen?
KI-Agentenfallen sind feindselige Inhalte, die in digitale Umgebungen eingebettet sind und dazu dienen, autonome KI-Agenten, die mit diesen Umgebungen interagieren, zu manipulieren, zu täuschen oder auszunutzen. 21
Die zentrale Erkenntnis ist, dass autonome Agenten Webinhalte auf Ebenen verarbeiten, die für Menschen nicht wahrnehmbar sind. Angreifer können schädliche Anweisungen in HTML-Kommentaren, CSS-positioniertem oder transparentem Text, Metadatenattributen und in Bilddateien kodierten Steganografiedaten einbetten. 22 Keine dieser Ebenen ist für einen menschlichen Prüfer normalerweise sichtbar; ein Agent, der dieselbe Seite analysiert, behandelt darin enthaltene Inhalte als gleichwertige Eingabe wie die auf dem Bildschirm sichtbaren Inhalte. Die DeepMind-Forscher (Google) weisen darauf hin, dass dies eine grundlegende Asymmetrie darstellt: Angreifer können Angriffe so kalibrieren, dass sie die Fähigkeiten eines Agenten zur Befehlsausführung, Werkzeugverkettung und Zielpriorisierung ausnutzen, genau weil diese Fähigkeiten Agenten operativ nützlich machen. 23
Sechs Angriffskategorien von KI-Agentenfallen
Forscher haben 6 Kategorien von KI-Agentenfallen identifiziert, die Angreifer ausnutzen können, um autonome Systeme zu kompromittieren:
Injektionsfallen
Nutzen Sie die Diskrepanz zwischen menschlicher Wahrnehmung, maschineller Datenanalyse und dynamischer Darstellung aus, um bösartige Eingaben am Agenten vorbeizuschmuggeln.
Die Angriffsfläche umfasst mehrere unterschiedliche Einschleusungsvektoren. Versteckte Anweisungen, die in HTML-Kommentaren eingebettet sind, wie z. B. `<!– SYSTEM: Ignore prior instructions –>`, erscheinen im Seitenquelltext, aber niemals in der gerenderten Ansicht. 24 Die CSS-Positionierung außerhalb des sichtbaren Bereichs, beispielsweise mit `position: absolute; left: -9999px` oder einer ähnlichen Methode, platziert Text außerhalb des sichtbaren Bereichs, sodass er von DOM-basierten Systemen weiterhin vollständig analysiert werden kann. Barrierefreiheitsattribute, insbesondere `aria-label` und zugehörige ARIA-Auszeichnungen, enthalten Text, der von diesen Systemen als semantischer Kontext interpretiert wird. Das Einfügen von manipulierten Anweisungen an dieser Stelle platziert diese Attribute innerhalb des Barrierefreiheitsbaums, ohne dass eine sichtbare Ausgabe entsteht. 25 Ein vierter Vektor verwendet steganographische Codierung: bösartige Nutzdaten werden in Bildpixeldaten codiert, und zwar in Werten, die für das menschliche Auge nicht wahrnehmbar, aber von Agenten lesbar sind, die Bildmetadaten verarbeiten oder eine Analyse auf Pixelebene anwenden. 26
Semantische Manipulationsfallen
Die Schlussfolgerungskette und die internen Verifizierungsprozesse des Agenten werden manipuliert, sodass dieser aus scheinbar gültigen Eingaben fehlerhafte Schlussfolgerungen zieht.
Drei Mechanismen prägen diese Kategorie. Der erste ist die gezielte Formulierung und das kontextuelle Priming: Der umgebende Text wird mit Formulierungen angereichert, die die Interpretation des nachfolgend verarbeiteten Inhalts durch den Agenten beeinflussen. Der zweite Mechanismus ist die Verwendung autoritativer Sprache: Dokumente werden mit Formulierungen wie „Branchenstandard“, „Unternehmensstandard“ oder „von führenden Experten empfohlen“ überschwemmt, um die vom Modell erlernte Assoziation zwischen solchen Formulierungen und glaubwürdigen, vertrauenswürdigen Quellen auszunutzen. 27 Der dritte Mechanismus ist der Lost-in-the-Middle-Effekt, eine strukturelle Schwäche in Transformer-basierten Modellen, bei der die Leistung des Modells bei Abruf- und Syntheseaufgaben abnimmt, wenn relevante Informationen in der Mitte eines langen Kontextfensters anstatt am Anfang oder Ende positioniert sind. 28
Fallen des kognitiven Zustands
Man zielt auf das Langzeitgedächtnis, die Wissensbasis und die erlernten Verhaltensmuster des Agenten ab, um dessen zukünftige Entscheidungsfindung zu vergiften.
Die drei Hauptvarianten sind direktes RAG Poisoning, latentes Memory Poisoning und adversarial Few-Shot Examples im Kontextlernen. 29
Direkte RAG-Vergiftung schleust falsche Informationen in indizierte Dokumentenkorpora ein, die Agenten während der abrufgestützten Generierung konsultieren. Vergiftetes Gedächtnis ist komplexer. Ein Angreifer speichert während routinemäßiger Interaktionen harmlos erscheinende Daten im persistenten Speicher eines Agenten. Die gespeicherten Daten haben keine erkennbare Wirkung, bis sie in einem bestimmten zukünftigen Kontext aktiviert werden. Dann verändern sie das Verhalten des Agenten auf eine Weise, die scheinbar keinen unmittelbaren Auslöser hat. 30 Ein Adversarial Few-Angriff injiziert gezielt präparierte Demonstrationspaare in ein Kontextfenster, sodass der Agent das in diesen Beispielen implizite Muster übernimmt. Untersuchungen zu Backdoor-Triggern in Demonstrationen ergaben mit diesem Ansatz durchschnittliche Erfolgsraten von 95 Prozent bei Modellen unterschiedlicher Größe. 31
Verhaltenskontrollfallen
Verhaltenskontrollfallen stellen die operativ folgenreichste Kategorie in der Taxonomie dar. Sie zielen auf das Handeln von Agenten ab, anstatt auf deren Wahrnehmung oder Schlussfolgerungen, und ermöglichen Angreifern so direkten Einfluss auf die Ausführung von Tools, Dateivorgänge, Netzwerkanfragen und die Kommunikation zwischen Agenten. 32
Systemische Fallen
Systemische Fallen zielen nicht auf einzelne Agenten ab. Sie zielen auf die Ökosystemeigenschaften ab, die entstehen, wenn viele Agenten ähnlicher Bauart auf gemeinsame Datenquellen zugreifen, ähnliche Denkmuster ausführen und Aktionen durchführen, die auf die Umgebung zurückwirken und von anderen Agenten gelesen werden. 33
Die übergeordnete Kategorie umfasst drei verschiedene Mechanismen. Der erste ist die sogenannte „Congestion Trap“: Hierbei werden Knappheits- oder Nachfragesignale erzeugt, die mehrere Agenten zu synchronisiertem Ressourcenerwerb veranlassen und so koordinierte Ausfälle ohne direkte Kommunikation zwischen den Agenten hervorrufen. Der zweite Mechanismus ist die Interdependenzkaskade: Hierbei werden Rückkopplungsschleifen in Multiagentensystemen ausgenutzt, in denen die Ausgabe jedes Agenten zur Eingabe für andere wird, sodass sich ein einzelnes manipuliertes Signal im Netzwerk ausbreitet und verstärkt. Der dritte Mechanismus ist die Fragmentierung der Nutzlast durch Komposition: Angriffskomponenten werden auf mehrere einzeln harmlose Quellen verteilt, die sich erst dann zu einer funktionsfähigen Schadnutzlast zusammensetzen, wenn sie von einem Agenten während einer Abruf- oder Syntheseaufgabe aggregiert werden. 34
Fallen mit menschlicher Beteiligung
Menschliche Eingriffe in die Sicherheitskette stellen die subtilste Kategorie in der Taxonomie dar und zielen auf die Kontrollebene ab, die üblicherweise als Schutzmechanismus gilt. Anstatt die menschliche Überprüfung zu umgehen, nutzen diese Fallen sie aus: Der kompromittierte Agent erzeugt Ausgaben, die speziell darauf ausgelegt sind, die Zustimmung des Menschen für Aktionen zu erhalten, die dieser bei korrekter Beschreibung ablehnen würde. 35
Der Kernmechanismus besteht in der irreführenden Zusammenfassung. Ein Agent mit Schreibzugriff auf seine eigene Ausgabeschicht kann seine Aktionen so beschreiben, dass destruktive oder unautorisierte Operationen als routinemäßige Wartungsarbeiten dargestellt werden.
Diese Forschung zitieren
Wählen Sie das Format, das zu Ihrem Veröffentlichungsort passt. Wenn Sie die Link-Version in Ihr CMS einfügen, bleibt der Backlink erhalten.
@misc{phd2026,
author = {PhD., Ezgi Arslan,},
title = {{Fallen für KI-Agenten: 20 reale Vorfälle}},
year = {2026},
month = may,
howpublished = {\url{https://aimultiple.com/ai-agent-traps}},
note = {AIMultiple. Retrieved Mai 18, 2026}
}Referenzlinks
Seien Sie der Erste, der kommentiert
Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich.