Ein Exploit gegen ChatGPT ermöglichte es, private Daten angemeldeter Personen über einen präparierten Freigabelink auszulesen und Aktionen in ihrem Namen auszuführen. Ein Exploit ist eine Methode, die eine konkrete Schwachstelle ausnutzt. Der Vorfall betrifft nicht nur Sicherheitsfachleute: Wer KI-Tools, Erweiterungen oder automatisch handelnde Assistenten verwendet, überträgt ihnen häufig Zugang zu Daten und Arbeitsabläufen.
Die Angriffsfläche liegt in den Verbindungen
Die von Parameter Labs beschriebene und inzwischen geschlossene ChatGPT-Lücke entstand nicht im eigentlichen Sprachmodell, sondern in der Darstellung interaktiver Inhalte. ChatGPT zeigte benutzerdefinierte HTML-Anwendungen in einer Sandbox an, also in einem abgeschotteten Bereich, der fremden Code vom übrigen Dienst trennen soll. Laut dem Bericht über die Übernahme von ChatGPT-Konten liess sich diese Trennung durch eine mehrstufige Angriffskette umgehen.
Eine für mathematische Darstellungen verwendete JavaScript-Bibliothek enthielt eine virtuelle Tastatur, die Nachrichten aus eingebetteten Seitenrahmen verarbeiten konnte. JavaScript ist eine Programmiersprache für interaktive Webinhalte, ein eingebetteter Seitenrahmen zeigt eine Webseite innerhalb einer anderen an. Der Nachrichtenempfänger konnte fremdes HTML in die übergeordnete Seite einsetzen. Dadurch liess sich wiederum ein neuer Rahmen ohne die vorgesehenen Einschränkungen laden.
Zusätzliche Sicherheitsregeln blockierten zwar direkt eingebettete Skripte, erlaubten aber Code von ausgewählten Diensten, darunter YouTube. Diese Ausnahme liess sich laut Bericht missbrauchen, um JavaScript auf der ChatGPT-Seite auszuführen. Danach konnten Angreifer private Daten über interne Schnittstellen abrufen und über eine Bildanfrage nach aussen übertragen. Eine solche Schnittstelle, auch Application Programming Interface (API) genannt, verbindet Anwendungen und Datenquellen miteinander.
Für den Angriff genügte ein präparierter ChatGPT-Freigabelink, den eine bereits angemeldete Person öffnete. Das konkrete Alltagsbeispiel ist damit unangenehm schlicht: Du erhältst einen vermeintlich interessanten geteilten Chat, öffnest ihn und setzt damit eine Angriffskette in Gang, ohne ein Programm zu installieren. OpenAI schloss die Lücke und zahlte eine Prämie von 5000 US-Dollar; der Autor des Berichts hielt diese Summe angesichts der Schwere für niedrig.
Erweiterungen machen Vertrauen zur Lieferkette
Ein zweiter Vorfall betraf eine manipulierte Version einer Claude-Code-Erweiterung im Erweiterungsmarktplatz von Cursor. Erweiterungen sind Zusatzmodule, die einem Programm neue Funktionen geben. Die Version war laut Cursor rund elf Stunden verfügbar und betraf möglicherweise bis zu 5000 Personen. Anthropic war an ihrer Entwicklung nicht beteiligt, obwohl Name und Auftritt einen Bezug zu Claude Code vermuten liessen.
Die manipulierte Cursor-Erweiterung versuchte, Hostname, Benutzername, Betriebssystem und öffentliche IP-Adresse zu sammeln. Zudem sollte sie einen Fernzugriff für den Angreifer einrichten. Ein solcher versteckter Zugang wird oft als Backdoor bezeichnet. Cursor erklärte allerdings, dass dieser Teil auf den meisten Computern nicht funktioniert hätte, weil dafür Administratorrechte nötig gewesen wären.
Nach der Entdeckung entfernte Cursor die Erweiterung, schaltete den gesamten Marktplatz vorübergehend ab und baute ihn neu auf. Andere Erweiterungen seien nicht betroffen gewesen. Diese Angaben stammen vom Anbieter und wurden in der vorliegenden Quelle nicht unabhängig geprüft.
Das Berufsbeispiel betrifft etwa ein Team, das eine Erweiterung für KI-gestützte Programmieraufgaben installiert. Selbst wenn niemand vertrauliche Texte bewusst in einen Chat kopiert, kann das Zusatzmodul Angaben zum Computer erfassen oder einen Fernzugriff vorbereiten. Entscheidend ist deshalb nicht nur, welchem KI-Anbieter du vertraust, sondern auch dem Marktplatz, dem Herausgeber der Erweiterung und dem Aktualisierungsweg.
Diese Lieferkettenperspektive wurde auch am Gohack26 in Zürich diskutiert. Beim Schweizer Symposium zu Lieferketten, Insidern und KI warnten Fachleute, dass gehackte Softwarelieferanten und IT-Dienstleister häufig auch Kundendaten gefährden. Für Schweizer kleine und mittlere Unternehmen sowie grössere Organisationen bedeutet das: KI-Sicherheit gehört in die Beschaffung und Rechteverwaltung, nicht nur in die technische Abteilung.
KI beschleunigt Angriff und Verteidigung
Künstliche Intelligenz (KI) kann Schwachstellen nicht nur finden, sondern zunehmend auch in funktionierende Angriffe übersetzen. Forschende von Epoch AI liessen das frei verfügbare Modell GLM 5.3 eine sogenannte Patch Gap untersuchen. Damit ist das Zeitfenster gemeint, in dem ein Sicherheitsfix bereits öffentlich im Programmcode sichtbar ist, aber noch nicht bei den Anwenderinnen und Anwendern angekommen ist.
Das Modell erkannte laut dem Bericht zum Firefox-Patch-Gap sicherheitsrelevante Änderungen trotz Mozillas Verschleierungsversuchen. In Tests mit sechs Firefox-Versionen, die zwischen dem 17. September und dem 26. Oktober veröffentlicht wurden, baute es autonom mehrstufige Angriffsketten. Die Forschenden gaben nur grundlegende Anweisungen; danach wählte das Modell Ziele aus und entwickelte die Angriffe selbstständig.
Ein Test führte zu einer Webseite, die beim blossen Besuch lokale Dateien auslesen und an einen Angreifer-Server senden konnte. Ein weiterer Klick war nicht nötig. Angesichts von mehr als 200 Millionen aktiven Firefox-Nutzerinnen und -Nutzern hätten damit potenziell gespeicherte Passwörter, Anmelde-Cookies und private Dokumente offengelegt werden können. Cookies sind kleine Datensätze, die unter anderem angemeldete Sitzungen speichern.
Die automatische Entwicklung eines funktionierenden Angriffs kostete laut Quelle rund 1000 US-Dollar an API-Gebühren. Weder Z.ai noch andere verwendete API-Anbieter hätten Sicherheitswarnungen oder Ablehnungen ausgelöst. Die Forschenden bezeichneten ihr Vorgehen als Sicherheitsübung, erklärten aber zugleich, es sei vom Verhalten eines echten Angreifers nicht zu unterscheiden gewesen.
Die Verteidigung setzt ebenfalls auf KI. Anthropic, OpenAI, Cloudflare und Google bieten Sicherheitsagenten an, die Programmcode auf Schwachstellen untersuchen. Ein Agent ist ein KI-System, das mehrstufige Aufgaben mit einem gewissen Grad an Selbstständigkeit bearbeitet. Die Gegenüberstellung der vier Sicherheitsagenten beschreibt ein gemeinsames Prinzip: Ein Agent sucht den Fehler, ein anderer versucht ihn unabhängig zu widerlegen, und erst bestätigte Funde führen zu einem Bericht oder Patch-Vorschlag.
Pro und Kontra von KI-Sicherheitsagenten
Pro:
- Schnellere Prüfung – KI-Agenten können umfangreiche Codebestände und neue Änderungen systematisch nach verdächtigen Stellen durchsuchen.
- Getrennte Kontrolle – Die vier verglichenen Ansätze trennen Suche und Bestätigung, damit ein Agent nicht seine eigene Vermutung absegnet.
- Konkrete Nachweise – Googles Mantis reproduziert Fehler in einer Sandbox, während Claude Security Auswirkungen und Schritte zur Reproduktion dokumentiert.
- Unterstützung bei Korrekturen – Mehrere Systeme schlagen Patches vor, ohne sie zwingend selbst in die produktive Software zu übernehmen.
Kontra:
- Fehlalarme – Googles Sicherheitsteam berichtet, dass ungenaue KI-Scanner auf Trefferquoten unter sieben Prozent kommen können und damit zusätzliche Prüfarbeit verursachen.
- Neue Berechtigungen – Sicherheitsagenten benötigen Zugang zu Code und Arbeitsumgebungen, wodurch eine weitere schützenswerte Verbindung entsteht.
- Unklare Verantwortung – Ein automatisch erzeugter Bericht ersetzt keine Person oder Organisation, die Entscheidungen und Folgen verantwortet.
- Nutzungskosten – Claude Security benötigt zwar keinen separaten API-Schlüssel, seine Scans werden aber auf die Nutzungslimiten des Claude-Abonnements angerechnet.
Die Schutzsysteme lösen das Grundproblem somit nicht automatisch. Google empfiehlt laut Vergleich ausdrücklich, Mantis isoliert auszuführen. Auch ein Sicherheitswerkzeug sollte so behandelt werden, als könnte es Fehler machen oder selbst angegriffen werden. Trocken formuliert: Ein zusätzlicher Wächter bleibt ein zusätzliches Konto mit zusätzlichen Schlüsseln.
Diese Schutzmassnahmen sind jetzt sinnvoll
Schritt 1: Als Einsteiger Angriffsflächen verkleinern
Für Einsteiger ist der erste sinnvolle Schritt eine Bestandsaufnahme: Welche KI-Dienste, Browser, Marktplätze und Erweiterungen verwendest du tatsächlich? Entferne nicht benötigte Zusatzmodule, installiere verfügbare Sicherheitsupdates zeitnah und öffne geteilte KI-Inhalte nur mit derselben Vorsicht wie andere fremde Links. Die Fälle von ChatGPT, Cursor und Firefox zeigen drei verschiedene Wege zum gleichen Ergebnis: ein präparierter Inhalt, eine manipulierte Erweiterung oder ein noch nicht ausgeliefertes Update.
- Prüfe installierte KI-Erweiterungen und entferne alle, deren Herausgeber oder Zweck du nicht eindeutig zuordnen kannst.
- Aktualisiere Browser und KI-Werkzeuge, sobald der jeweilige Anbieter einen Sicherheitsfix bereitstellt.
- Begrenze Administratorrechte, weil sie im Cursor-Fall den versuchten Fernzugriff auf vielen Geräten erschwerten.
- Behandle Freigabelinks und interaktive KI-Inhalte als fremden Code, auch wenn sie innerhalb eines bekannten Dienstes erscheinen.
Schritt 2: Als fortgeschrittenes Team Kontrollen trennen
Fortgeschrittene Teams holen mehr heraus, wenn sie Erweiterungen und KI-Agenten wie Bestandteile einer Software-Lieferkette verwalten. Dazu gehören eine nachvollziehbare Auswahl der Herausgeber, minimale Zugriffsrechte und getrennte Prüfungen für automatisch gemeldete Schwachstellen. Das am Gohack26 diskutierte Problem betrifft ausdrücklich auch KMU und Grossunternehmen: Wird ein Lieferant kompromittiert, reichen dessen Verbindungen bis in die Daten der Kundschaft.
- Dokumentiere, welche KI-Tools und Erweiterungen Zugriff auf interne Daten, Codebestände oder Benutzerkonten haben.
- Trenne das Finden, Bestätigen und Beheben einer Schwachstelle, wie es die vier verglichenen Sicherheitsagenten vormachen.
- Führe Agenten mit weitreichendem Zugriff möglichst in isolierten Umgebungen aus und lasse Änderungen vor der Übernahme prüfen.
- Plane den Ausfall eines Marktplatzes oder Dienstleisters ein, statt Erweiterungen und Aktualisierungen von einer einzigen Vertrauenskette abhängig zu machen.
Die Vorfälle zeigen keine einzelne kaputte KI, sondern ein strukturelles Problem: Moderne KI-Dienste bestehen aus Modellen, Weboberflächen, Bibliotheken, Marktplätzen, Erweiterungen und externen Schnittstellen. Jeder Übergang kann Schutz bringen, aber auch eine Lücke öffnen. KI-Sicherheitsagenten verbessern die Suche nach Schwachstellen, während dieselben Fähigkeiten Angriffe schneller und günstiger machen können; offen bleibt vor allem, ob Anbieter Schutzmassnahmen, Updates und unabhängige Kontrollen mit diesem Tempo weiterentwickeln.
Quellen
- How We Took Over ChatGPT Accounts – Simon Willison’s Weblog, 2026-10-31
- Mainpulierte Claude-Code-Extension für Cursor sammelte Nutzerdaten und richtete Fernzugriff ein – THE DECODER, 2026-10-30
- Patch Gap: KI erkennt getarnte Firefox-Sicherheitsfixes und entwickelt daraus funktionierende Angriffe – THE DECODER, 2026-10-30
- Wie IT-Lieferketten und Insider zur Gefahr werden können – Netzwoche, 2026-10-30
- AI Security Agents Compared: Claude, Codex, Mantis, Cloudflare – MarkTechPost, 2026-10-30
Bild: Gustavo Fring via Pexels