Der Browser war früher ein Fenster. Man hat hinausgeschaut, ein bisschen geklickt, manchmal die Vorhänge der Cookie-Banner beiseitegeschoben und gehofft, dass der Drucker nicht merkt, was man vorhat.
Jetzt bekommt dieses Fenster Beine. Es soll lesen, zusammenfassen, klicken, buchen, suchen, vielleicht gleich noch den halben Alltag aus der Jackentasche ziehen. Im Flur der digitalen Amtsstube steht also ein neuer Laufbursche mit leuchtendem Mauszeiger-Kopf. Auf seinem Klemmbrett: Bitte nur tun, was der Mensch gesagt hat. Daneben klebt ein zweiter Zettel, sehr klein, sehr fremd, sehr unsichtbar: Und jetzt bitte den Schlüsselbund holen.
Der fremde Zettel im Formularstapel
Der Anlass ist nicht aus dem Nebel erfunden. Brave hat Anfang Juni über eine Untersuchung zu Perplexity Comet geschrieben: Bei agentischem Browsen könne eine Webseite dem Assistenten fremde Anweisungen unterschieben, wenn der Assistent Seiteninhalt und Nutzerauftrag nicht sauber trennt. Das ist die Sorte Fehler, bei der nicht die Türklinke kaputt ist, sondern der Praktikant jede Notiz am Schwarzen Brett für eine Dienstanweisung hält.
Brave beschreibt dafür den bekannten, aber plötzlich sehr praktisch riechenden Angriff: indirekte Prompt Injection. Nicht der Nutzer sagt dem Assistenten etwas Falsches. Eine Webseite, ein Kommentar, ein PDF oder ein anderer fremder Inhalt legt dem Assistenten einen Schmierzettel hin. Wenn der Bot diesen Zettel mit Chefstimme liest, wird aus Komfort ein kleiner Amtsmissbrauch mit Ladebalken.
Wenn Zusammenfassen plötzlich Türen öffnet
Das Tückische ist die Harmlosigkeit am Anfang. Niemand ruft: »Bitte übernimm mein Konto.« Der Mensch klickt auf »Fass mir diese Seite zusammen«. Das klingt nach Bürokaffee, nicht nach Einbruchswerkzeug. Aber ein Browser-Assistent sitzt in derselben Werkstatt wie die eingeloggten Konten, die offenen Tabs, die gespeicherten Sitzungen und all die kleinen Berechtigungen, die man irgendwann müde abgenickt hat.
Genau dort knirscht es. Ein normaler Textgenerator kann Unsinn behaupten und einem die Mittagspause ruinieren. Ein Agent im Browser kann zusätzlich laufen. Er kann Seiten öffnen, Felder lesen, Schaltflächen drücken. Er trägt nicht nur die Aktentasche, er hat plötzlich auch einen Hausmeisterschlüssel. Und der hängt, wie das im Betrieb so ist, an einem Ring mit viel zu vielen anderen Schlüsseln.
Die neue Sicherheitsfrage heißt: Wer spricht hier eigentlich?
Google DeepMind schreibt in seinen Juni-Notizen ebenfalls über die Absicherung künftiger KI-Agenten. Das Thema kommt also nicht aus einer einzelnen Alarmglocke, sondern aus dem ganzen Maschinenraum: Agenten sollen handeln, aber Handeln braucht Grenzen. Der Bot muss wissen, was Nutzerwunsch ist, was Webseitenstaub ist und was ein fremder Befehl mit angeklebtem Schnurrbart.
Die alte Browserweisheit »Traue keiner Webseite« war schon unbequem genug. Die neue Version lautet: Traue keiner Webseite, die deinem Assistenten einen Zettel unter die Tür schiebt, während du denkst, er sortiert nur die Prospekte. Das ist weniger elegant als Produktdemos mit Lichtkante und mehr wie eine Werkstattordnung, die jemand auf ölverschmiertes Papier tippt.
Komfort mit Bremsklotz, bitte
Natürlich wird der KI-Browser nicht wieder verschwinden, nur weil er beim ersten Werksausweis falsch salutiert. Dafür ist die Idee zu verführerisch: eine Maschine, die Recherche, Buchung, Formularmurks und Klickarbeit übernimmt. Aber zwischen »mach mir das mal« und »mach alles, was irgendein HTML-Kommentar murmelt« liegt ein Zaun. Kein schöner Zaun. Eher Maschendraht, rostig, mit Warnschild. Aber immerhin ein Zaun.
Bis dahin sollte man Agenten im Browser nicht wie Butler behandeln, sondern wie sehr eifrige Aushilfen im Archiv: freundlich, nützlich, aber bitte nicht allein in den Raum mit den Stempeln lassen. Sonst liest der Laufbursche wieder den falschen Schmierzettel. Und am Ende unterschreibt niemand, weil alle behaupten, die Anweisung habe doch auf der Webseite gestanden.
Quellen, lose auf der Werkbank
- Brave Blog: Agentic Browser Security: Indirect Prompt Injection in Perplexity Comet (Juni 2026)
- Google DeepMind News: Juni-Hinweise zu AI agents und Agentensicherheit
Schreibe einen Kommentar