Die Sicherheitsforschungsorganisation RSAC, bekannt für die gleichnamige Konferenz, hat eine bemerkenswerte Verwundbarkeit in Apples Intelligence-System nachgewiesen. Das System kombiniert generative KI mit persönlichen Nutzerdaten und wurde als tief integrierte Intelligenzplattform für iOS, iPadOS und macOS konzipiert.
Apple Intelligence verarbeitet Aufgaben primär lokal auf Apple-Prozessoren durch ein kompaktes On-Device-Sprachmodell. Für komplexere Anfragen erfolgt eine Verlagerung auf größere Foundational Models über Apples Private Cloud Compute (PCC). Das System nutzt persönliche Kontexte wie Nachrichten, Fotos und Kalendereinträge, um Funktionen wie systemweite Schreibwerkzeuge und Siri zu unterstützen.
Die RSAC-Forscher entwickelten einen zweistufigen Angriffsansatz. Zunächst einsetzten sie Neural Execs, eine bekannte Prompt-Injection-Technik, die “Unsinn”-Eingaben verwendet, um das KI-Modell zu beliebigen Aktionen zu bewegen. Diese Eingaben fungieren als universelle Trigger, die nicht für verschiedene Payloads angepasst werden müssen.
Die zweite Methode – Unicode-Manipulation – erwies sich als besonders wirksam gegen Content-Filter. Die Forscher schrieben bösartige Textausgaben rückwärts und nutzten die Unicode-Funktion Right-to-Left-Override, um die Ausgabefilter zu umgehen. “Wir codierten den bösartigen englischsprachigen Output-Text durch Rückwärtsschreiben und verwendeten unseren Unicode-Hack, um das Sprachmodell zur korrekten Wiedergabe zu zwingen,” erklärten die Forscher.
In Tests mit 100 zufälligen Prompts erreichte der kombinierte Angriff eine Erfolgsquote von 76 Prozent. Die Forscher schätzen, dass zwischen 100.000 und 1 Million Nutzer Apps installiert haben könnten, die für solche Angriffe anfällig sind.
Die potenziellen Folgen sind erheblich: Angreifer könnten nicht nur offensive Inhalte erzeugen, sondern auch private Daten manipulieren und Funktionen in Drittanwendungen beeinflussen, die in Apple Intelligence integriert sind – etwa Gesundheitsdaten oder persönliche Medien.
Apple wurde im Oktober 2025 informiert und hat schnell reagiert. Mit den Updates iOS 26.4 und macOS 26.4 wurden Schutzmaßnahmen implementiert. Bislang gibt es keine Hinweise auf bösartige Exploits in freier Wildbahn. Dennoch unterstreicht der Fall die wachsenden Herausforderungen bei der Sicherung von KI-Systemen, die direkt in kritische Betriebssysteme integriert sind.