Chaikin beschrieb auf der Black Hat USA 2026 ein Grundproblem moderner KI-Browser: Sie verarbeiten Inhalte aus dem Web und führen teils selbstständig Aktionen im Namen des Nutzers aus. Dadurch können manipulierte Webseiten dem Modell versteckte Anweisungen unterjubeln. Nach seinen Angaben war jeder von ihm analysierte Browser anfällig für solche indirekten Prompt-Injections.
In der ersten Hälfte seines Vortrags demonstrierte der Brave-Sicherheitsingenieur konkrete Beispiele. Bei Opera zeigte er, wie hinter HTML verborgene Anweisungen vorhandene Schutzmechanismen umgehen konnten. Bei Perplexity nutzte er nahezu unsichtbaren Text, der über ein Bild gelegt war, sowie einen hinter Spoiler-Tags versteckten Reddit-Kommentar, um dieselben Abwehrmechanismen zu unterlaufen.
Als typische Schutzmaßnahmen nannte Chaikin den Einsatz leistungsfähiger Frontier-Modelle von Anbietern wie Anthropic, OpenAI und Google, strenge System-Prompts, menschliche Freigaben vor riskanten Aktionen, Markierungen für vertrauenswürdige Inhalte sowie Prüfmechanismen für Werkzeugaufrufe vor der Ausführung von Ausgaben. Diese Verfahren seien allgemein empfohlene Praktiken, reichten aber jeweils für sich genommen nicht aus.
Das illustrierte er am Beispiel von ChatGPT Atlas. Der Browser verfügt laut Chaikin über System-Prompts, Markierungen für vertrauenswürdige und nicht vertrauenswürdige Inhalte, ein zusätzliches Modell zur Prüfung von Werkzeugaufrufen sowie Nutzerbestätigungen. Trotzdem sei auch dieses Produkt in seiner Untersuchung anfällig geblieben.
In einer Demonstration zeigte Chaikin, dass Angreifer Markierungen für vertrauenswürdige Inhalte in Webseiten nachahmen können, um das Modell zu verwirren. Bei der Prüfung von Werkzeugaufrufen identifizierte er zudem ein Problem mit in URL-Fragmenten versteckten Exfiltrationsdaten, die nicht korrekt gescannt wurden. Besonders auffällig war aus seiner Sicht ein weiterer Punkt: Nutzer mit kostenfreiem Zugang, die an Nutzungslimits stoßen, könnten auf ein anderes Modell herabgestuft werden, das sich als anfälliger für Prompt-Injections erweist. Dazu sagte Chaikin scherzhaft: „Man könnte denken: Moment mal, ist das hier eine Art Bezahlen, um zu überleben?“
Die Ergebnisse veranlassten ihn nach eigener Aussage, die Erkenntnisse auf Braves eigenen Browser zu übertragen. „Nachdem ich all diese Probleme gefunden hatte, wurde mir klar, dass die Aufgabe, dafür zu sorgen, dass das Brave nicht passiert, jetzt bei mir liegt“, sagte er. „Das war sehr stressig.“
Braves Ansatz umfasst laut Chaikin mehrere Schutzfunktionen. Dazu gehören getrennte Browserprofile, sodass persönliche Konten standardmäßig abgemeldet sind, Modellanforderungen, die keine Herabstufung unter eine bestimmte Sicherheitsschwelle erlauben, sowie eine sprachbasierte Alignment-Prüfung. Brave stufe nicht unter Claude Haiku 4.5 herab, sagte Chaikin.
Die Alignment-Prüfung orientiert sich nach seinen Angaben an Konzepten der Prompt Firewall von Meta und ähnlichen Architekturen in Agentensystemen. Dabei bereitet das primäre LLM eine Werkzeugaktion vor, die Ausführung wird jedoch vorerst angehalten. Ein zweites „Wächter“-Modell prüft dann die ursprüngliche Anfrage des Nutzers, den bisherigen Gesprächskontext und die vorgeschlagene Werkzeugaktion und bewertet, ob das Vorhaben riskant ist. Dieses Risiko wird dem Nutzer über eine Rückfrage angezeigt, etwa ob er wirklich einen Link öffnen möchte.
Wenn ein Nutzer einen Agenten etwa anweist, eine Webseite zusammenzufassen, und der Agent wegen einer indirekten Prompt-Injection stattdessen Gmail öffnen will, würde das Wächter-Modell diese Schritte voraussichtlich als nicht zueinander passend erkennen. Weitere Forschungsrichtungen sieht Chaikin unter anderem in der Bereinigung von Text, bevor er das Modell erreicht, in eigens auf Prompt-Injections trainierten Erkennungsmodellen sowie in dynamischen Berechtigungen, die nur für die konkret angeforderte Aufgabe gelten.
Sein Fazit bleibt dennoch eindeutig: Gegen Prompt-Injections in KI-Browsern gibt es derzeit keine bekannte perfekte Lösung. Bessere Modelle, starke System-Prompts, Inhaltsmarkierungen, Werkzeugprüfungen und zusätzliche Prüfmodelle könnten helfen, absolute Garantien gebe es aber nicht. „Ehrlich gesagt habe ich das Gefühl, dass wir mit dieser Unsicherheit einfach leben müssen, aber wir werden sehen“, sagte er.