Zenity Labs ordnet „PleaseFix“ als neue Klasse von Angriffen auf KI-Browser ein. Anders als klassische Browser halten diese Systeme Inhalte aus verschiedenen Quellen nicht strikt voneinander getrennt, sondern lassen ihre Agenten Informationen aus E-Mails, Kalendern, Webseiten und anderen Diensten zusammenführen und darauf reagieren. Genau dieses Vertrauensmodell werde ausgenutzt, erklärte Zenity in einer Mitteilung am Montag.
Nach Angaben des Unternehmens platzieren Angreifer dabei versteckte Anweisungen in Inhalten, auf die der Agent im Rahmen einer legitimen Aufgabe zugreift, etwa in E-Mails, Kalendereinladungen oder Webseiten. Über eine von Zenity Labs als „Intentenkollision“ bezeichnete Technik sollen diese eingebetteten Befehle die eigentliche Nutzeranfrage stören und den Agenten dazu bringen, im Interesse des Angreifers zu handeln – mit der Identität, den Berechtigungen und den Zugriffen des Nutzers.
Auf der Black Hat USA 2026 demonstrierten die Forscher mehrere Szenarien für unterschiedliche Produkte. Bei Claude in Chrome zeigte Zenity, wie bereits die Bitte, eine E-Mail mit schädlichen Anweisungen zusammenzufassen, einen Angriff auslösen kann. In dem gezeigten Szenario führte das zur Exfiltration von Gmail-Daten, zur Freigabe des Google Drive des Opfers und zur Übernahme weiterer Konten, darunter Slack, X und Claude.
Für Perplexity Comet demonstrierte Zenity einen Angriff über eine manipulierte Kalendereinladung, der den Agenten ohne jede Nutzerinteraktion kapern sollte. Damit sei ein Zugriff auf lokale Dateien und auf Abläufe von Passwort-Managern möglich gewesen, um sensible Daten und Zugangsdaten zu stehlen. Bei ChatGPT Atlas wiederum zeigten die Forscher, wie ein unauffälliger Link auf X den Arbeitsablauf des Agenten übernehmen und ihn dazu bringen konnte, Phishing-Nachrichten über das WhatsApp-Konto des Opfers zu verschicken.
In einem weiteren Beispiel manipulierte Zenity nach eigenen Angaben eine Amazon-Bestellung und brachte Amazons KI-Assistenten dazu, einen betrügerischen Kauf mit der Kreditkarte des Opfers abzuschließen. Zenitys KI-Sicherheitsforschungsleiter Stav Cohen beschrieb einen KI-Browser als eine Art Mitarbeiter im Web, der bereits in E-Mail, Dateien, Kalender und Arbeitsanwendungen eingeloggt sei. Wenn ein Angreifer versteckte Anweisungen in Inhalte einbringen könne, die der Agent lese, lasse sich dieser gegen den Nutzer wenden – innerhalb des eigenen Netzes und mit den Zugriffsrechten des Mitarbeiters.
Cohen betont, dass es sich nicht einfach um einen einzelnen Fehler handle, der sich mit einem Patch beheben lasse. Das Kernproblem sei, dass der Agent nicht zuverlässig zwischen normalen Inhalten und darin verborgenen schädlichen Anweisungen unterscheiden könne. Deshalb passe diese Bedrohung auch nicht zu den Annahmen, auf denen bestehende Schutzmechanismen aufbauen.
Eine einzelne technische Korrektur gibt es laut Cohen nicht. Organisationen könnten den möglichen Schaden aber begrenzen, indem sie davon ausgehen, dass ein Agent gekapert werden kann, und ihm nur die wirklich nötigen Rechte lassen. Konkret empfiehlt er, Browsereinstellungen zu überprüfen und Vorgaben zu deaktivieren, sich mit einem KI-Browser nicht bei Arbeitskonten wie E-Mail, AWS oder GitHub anzumelden, den Aktionsradius des Browsers einzuschränken und sich nicht allein auf ein Hinweisfenster nach dem Muster „vor dem Ausführen nachfragen“ zu verlassen.
Zugleich sollten Hersteller dort, wo es möglich ist, einzelne Ausnutzungswege schließen. Das grundlegende Designproblem bleibe jedoch bestehen, weil ein KI-Browser zwangsläufig Inhalte aus dem offenen Web lesen und darauf reagieren müsse – und diese Inhalte seien per Definition nicht vertrauenswürdig und manipulierbar.