HashJack Neue Angriffsmethode trickst KI-gestützte Browser aus

Anbieter zum Thema

Cato Networks (EU) B.V

Fsas Technologies GmbH

FTAPI Software GmbH

Forscher von Cato Networks warnen vor „HashJack“. Die neue An­griffs­me­thode missbraucht KI-Browser wie Copilot, Gemini oder Perplexity, um über unsichtbare URL-Fragmente Phishing, Datenklau und Manipulation aus­zu­lösen.

Die Forschenden von Cato Networks haben eine neue Angriffsmethoden entdeckt, die her­kömmliche Sicherheitsmechanismen umgehen kann. Die Methode nutze eine Schwachstelle in KI-gestützten Browsern und verwandle vertrauenswürdige Webseiten in Werkzeuge für Phishing, Datenklau und Manipulation.

Schwachstelle im KI-Browser von OpenAI

Sicherheitslücke in ChatGPT Atlas erlaubt Übernahme von Nutzerkonten

Copilot, Gemini, Perplexity,Comet und Dia betroffen

Betroffen von der Sicherheitslücke sind die Browser Comet von Perplexity, Copilot für Edge von Microsoft, Dia von The Browser Company und Gemini für Chrome von Google. Die Methode, die Schwachstelle auszunutzen, nannten die Sicherheitsforscher „HashJack“. Sie nutze die Tatsache aus, dass die Browser den Teil einer URL nach dem Zeichen „#“ – den sogenannten Fragment-Identifikator – nicht an den Server übermitteln, sondern ausschließlich lokal verarbeiten wür­den. Angreifer könnten in diesem Fragment unsichtbare Befehle platzieren, die vom KI-As­sis­ten­ten des Browsers automatisch in dessen Kontext übernommen würden. Diese versteckten Anweisungen könn­ten je nach Szenario für eine Vielzahl von Angriffen genutzt werden. So könnten die Browser dazu gebracht werden, bei gezielten Phishing-Versuchen zu unterstützen, sensible Daten weiterzugeben, Falschinformationen zu verbreiten, Anleitungen zur Installation von Schadsoftware oder sogar gefährliche medizinische Ratschläge auszugeben.

Neuen Bedrohungskategorie

Check Point entdeckt Prompt-Injection-Versuch

„Unsichtbare“ URL-Fragmente

Das Gefährliche an HashJack sei, dass die schädlichen Inhlte für klassiche Sicher­heits­me­chan­is­men unsichtbar seien, da die URL-Fragmente den Browser nicht verlassen würden und somit weder in Serverprotokollen noch in Netzwerküberwachungssystemen auf­tauch­en würden. Andererseits würde die neue Angriffsmethode das Vertrauen der User in die Webseite, die sie besuchen und deren KI-Assistenten, missbrauchen. Für Cyberkriminelle ist diese Angriffstaktik perfekt. Denn sie müssen den Informationen von Cato zufolge keine Kontrolle über die eigentliche Webseite erangen. Die Schwachstelle liege allein in der Art und Wiese, wie KI-Browser mit URL-Fragmenten umgehen würden.

Neue Risiken in der E-Mail-Security durch manipulierte KI-Tools

Wie Angreifer KI-Assistenten über E-Mails manipulieren

Ablauf eines HashJack-Angriffs

Ein typischer Angriff über HashJack beginne damit, dass der Angreifer eine legitime URL auswähle und im Fragmentteil dieser URL versteckte Anweisungen einfüge. Anschließend werde diese URL über E-Mails, soziale Netzwerke oder eingebettete Links verbreitet. Wenn der Nutzer die Seite öffne, erscheine zunächst nichts Verdächtiges. Erst wenn er den KI-Assistenten aktiviere und eine passende Frage stelle, würden die im Fragment enthaltenen Befehle wirk­sam. Der Assistent integriere sie in seine Antwort und füge zum Beispiel einen Link ein, gebe Schritt-für-Schritt-Anweisungen oder führe in agentenbasierten Browsern sogar Hin­ter­grundaktionen aus.

Da die schädlichen Inhalte ausschließlich im Browser verarbeitet würden, würden weder In­trusion-Detection-Systeme noch Content-Security-Policies Schutz bieten. Selbst vorsichtige Nutzer könnten in die Irre geführt werden, da die Antwort des Assistenten den Anschein er­wecke, direkt von der besuchten, vertrauenswürdigen Seite zu stammen.

Trotz Kritik und möglicher Sicherheitsrisiken

Microsoft treibt agentenbasiertes Windows 11 weiter voran

HashJack verdeutlicht den Forschern zufolge, wie die Anfälligkeit großer Sprachmodelle für Prompt Injection in Kombination mit der technischen Umsetzung von KI-Browsern eine neue Klasse von Bedrohungen schafft. Die Technik erlaube es, legitime Websites in Angriffs­platt­for­men zu verwandeln, ohne dass diese selbst kompromittiert werden müssten. Die Erfolgs­wahr­schein­lich­keit solcher Angriffe sei deutlich höher als bei herkömmlichen Phishing-Methoden, da die meisten Nutzer sowohl der Website als auch dem Assistenten ver­trauen würden.

ChatGPT, Copilot und DeepSeek getäuscht

Neue Jailbreak-Taktik zwingt LLMs dazu, Passwörter zu stehlen

(ID:50666727)