SearchLeak: Ein neuer Angriffsvektor für KI-Systeme
Das Sicherheitsforschungsteam von Dark Reading hat eine kritische Sicherheitslücke in Microsoft Copilot dokumentiert, die unter dem Namen "SearchLeak" bekannt ist. Der Angriff funktionierte über einen dreistufigen Mechanismus und ermöglichte es Angreifern, mit nur einem Klick auf sensible Daten von Nutzern zuzugreifen.
Funktionsweise der Attacke
Die SearchLeak-Attacke basiert auf Prompt-Injection-Techniken, die versteckte URLs und andere Variablen nutzen. Das Kernprinzip: Angreifer injizieren bösartige Anweisungen in Prompts, die das KI-System dann ausführt — ohne dass der Nutzer die manipulierten Befehle sieht. Bei SearchLeak erfolgte dies über sorgfältig präparierte URLs, die die Copilot-Suchfunktion missbrauchten.
Die drei Stadien der Attacke waren kaskadierend aufgebaut und erlaubten es, zunächst die KI zu kompromittieren, dann auf Daten zuzugreifen und diese schließlich abzuleiten.
Ein symptomatisches Problem
SearchLeak ist nicht isoliert. Microsoft und die Security-Community erkennen eine wachsende Klasse von Prompt-Injection-Vulnerabilities, die speziell auf versteckte URLs und kontextuelle Variablen abzielen. Diese Angriffe sind tückisch, weil sie:
- Subtil sind: Sie erfordern keine Malware oder externe Exploits
- Vielseitig einsetzbar: Dasselbe Prinzip lässt sich auf verschiedene KI-Systeme anwenden
- Schwer zu erkennen: Nutzer sehen oft nicht, dass ihre KI manipuliert wurde
Status und nächste Schritte
Microsoft hat das SearchLeak-Leck bereits gepatcht. Allerdings zeigt der Vorfall, dass Prompt-Injection-Sicherheit noch nicht vollständig gelöst ist. Für Entwickler und Organisationen bedeutet das:
- Input-Validierung stärken: Alle Eingaben — auch über URLs — müssen gefiltert werden
- Kontextgrenzen setzen: KI-Modelle sollten klar definierte Grenzen haben, was sie aus Systemvariablen auslesen dürfen
- Monitoring ausbauen: Unerwartete Datenabfragen müssen erkannt werden
Die SearchLeak-Attacke ist ein Weckruf: KI-Sicherheit ist nicht nur ein Datenschutz-Problem, sondern auch ein Integritätsproblem. Je verbreiteter KI-Assistenten werden, desto wichtiger wird es, solche Vektoren proaktiv zu schließen — bevor sie in der Breite ausgenutzt werden.