KI-gesteuerte Browser können dazu verleitet werden, Ihre Daten zu stehlen. Die Unternehmen, die sie entwickeln, haben entschieden, dass dieses Risiko es wert ist, eingegangen zu werden.
Cheng Xin/Getty Image
Eine Version dieses Artikels erschien ursprünglich im AI & Tech Newsletter von Quartz. Melden Sie sich hier an, um die neuesten AI- und Tech-Nachrichten, Analysen und Einblicke direkt in Ihren Posteingang zu erhalten.
Im Oktober, hat OpenAI Atlas gestartet, seinen ChatGPT-basierten Browser, der gegen Google $GOOGL Chrome antreten soll. Perplexity hat Comet. Opera (erinnerst du dich an sie?) hat Neon vorgestellt. Mozilla, das seine gesamte Marke darauf aufgebaut hat der vertrauenswürdige Browser zu sein, hat gerade ein "AI-Fenster" für Firefox angekündigt.
Schließen Sie sich über 500.000 Lesern an, die ihren Tag mit Quartz beginnen.
Mit dem Abonnieren stimmen Sie unseren Nutzungsbedingungen und unserer Datenschutzrichtlinie zu.
Die Botschaft aus dem Silicon Valley ist unmissverständlich. All diese Unternehmen versprechen Browser, die nicht nur Webseiten laden, sondern sie tatsächlich verstehen. Browser, die für Sie einkaufen, Ihre E-Mails zusammenfassen, Ihre Reisen buchen und die langweiligen Dinge erledigen, während Sie etwas Interessanteres tun. Das Angebot ist verlockend. Die Sicherheitslage ist es nicht.
Das Sicherheitsteam des Brave-Browsers (der ebenfalls KI-Funktionen einführt) veröffentlichte diesen Herbst eine Serie die zeigt, wie anfällig KI-Browser für Prompt Injection sind, eine Art von Angriff, bei dem versteckte Anweisungen eine KI dazu bringen, Dinge zu tun, die der Benutzer nie verlangt hat. In Tests mit Perplexitys Comet betteten Forscher unsichtbare Befehle in ein Bild auf einer Webseite ein. Als ein Benutzer den Browser bat, die Seite zusammenzufassen, navigierte er stattdessen zum Perplexity-Konto des Benutzers, extrahierte dessen E-Mail-Adresse und sendete diese Daten an einen externen Server. Keine Genehmigung angefordert, keine erteilt.
Ein weiterer Test zeigte, dass OpenAIs Atlas von Anweisungen manipuliert werden konnte, die versteckt waren in gewöhnlichen Online-Dokumenten, wodurch es die Einstellungen ohne Zustimmung des Benutzers ändern kann. Der Chief Information Security Officer von OpenAI erkannte auf X $TWTR an, dass die Prompt Injection nach wie vor "ein ungelöstes Sicherheitsproblem ist." Das Unternehmen hat Atlas trotzdem gestartet.
Bisher waren die demonstrierten Angriffe ziemlich begrenzt – E-Mail-Adressen, Verifizierungscodes, Browsereinstellungen. Aber die Schwachstellen werden nicht kleiner, wenn die Fähigkeiten größer werden. Google hat bereits ein Zahlungsprotokoll angekündigt, das es KI-Agenten ermöglicht, in Ihrem Namen einzukaufen, während Sie schlafen. Dieselben Tricks zur Prompt Injection, die heute eine E-Mail stehlen, könnten morgen ein Bankkonto leeren.
Warum also die Eile? Weil Browser nicht mehr nur Browser sind. Drei Jahrzehnte lang waren sie Fenster zum Web. Jetzt werden sie zu Kommandozentralen für KI-Agenten, die auf Ihre E-Mails, Kalender, Dokumente, Einkaufswagen und Bankkonten zugreifen können.
Die Kontrolle über diese Schnittstelle bedeutet die Kontrolle über die Beziehung zwischen Nutzern und im Grunde allem online. Als Perplexity ein 34,5-Milliarden-Dollar-Gebot für Chrome abgab bereits Anfang dieses Jahres erklärte der Geschäftsleiter des Unternehmens die Logik unverblümt. Der Browser bietet KI-Unternehmen "eine viel größere Oberfläche" und Zugang zu weit mehr Kontext über die Nutzer.
Die finanzielle Rechnung ist einfach. Googles Chrome bedient rund 3 Milliarden Nutzer und hat den Markt seit einem Jahrzehnt dominiert. OpenAIs ChatGPT zieht 800 Millionen wöchentliche Nutzer an, aber viele von ihnen greifen über Chrome darauf zu. Für OpenAI bedeutet es, diese Nutzer in seinen eigenen Browser zu bringen, Daten zu erfassen, die sonst an Google fließen würden, neue Werbemöglichkeiten zu schaffen und die Abhängigkeit von der Infrastruktur eines Konkurrenten zu verringern.
Die „Alles-App“ war seit Jahren ein weißer Wal im Silicon Valley, einer, der im Westen nie Gestalt angenommen hat, egal wie sehr sich Unternehmen bemüht haben, Chinas WeChat nachzubilden, mit der Nutzer Nachrichten senden, Rechnungen bezahlen, Ärzte buchen, Essen bestellen und einkaufen können, ohne die App jemals zu verlassen. Aber mit Hunderten von Milliarden, die in die KI fließen, unternimmt die Branche einen weiteren Versuch. Browser sind der schnellste Weg zu dieser Vision. Auch wenn sie nicht bereit für die Hauptsendezeit sind.
Im Dezember riet Gartner Unternehmenskunden, KI-Browser zu blockieren. vollständig. Das Forschungsunternehmen warnte, dass die Standardeinstellungen in diesen Produkten die Benutzererfahrung über die Sicherheit priorisieren und Organisationen Angriffen durch Prompteinspritzung und Datenlecks aussetzen. Analysten wiesen auch auf ein banaleres Risiko hin: Mitarbeiter, die KI-Agenten nutzen, um Pflichtsicherheitsschulungen in ihrem Namen zu absolvieren.
Sicherheitsforscher, die studieren diese Schwachstellen neigen dazu, zum gleichen Schluss zu kommen unangenehmen Schlussfolgerung. Prompt-Injektion ist kein Fehler, den man beheben kann. Es ist eine Klasse von Angriffen, die existieren wird, solange KI-Modelle Texte lesen, die Angreifer beeinflussen können. Zu den empfohlenen Maßnahmen gehören die Einschränkung dessen, was KI-Agenten tun können, der eingeschränkte Zugriff auf private Daten und die konstante menschliche Aufsicht.
Aber ständige Aufsicht untergräbt den ganzen Zweck. Der Nutzen dieser Browser besteht darin, dass sie Dinge autonom erledigen, während Sie etwas anderes tun. In dem Moment, in dem Sie aufhören zu beobachten, vertrauen Sie einem unvollkommenen System mit unvollkommenen Verteidigungen, Entscheidungen mit Ihren Anmeldedaten und Ihren Daten zu treffen.
Die KI-Unternehmen verstehen diesen Kompromiss. Sie haben sich entschieden, trotzdem weiterzumachen. Im Rennen darum, das neue Tor zum Internet zu werden, scheint es wichtiger zu sein, zuerst dort zu sein, als sicher zu sein. Für die Nutzer ist das Ergebnis eine neue Generation von Tools, die versprechen, das Internet für uns zu verwalten, auch wenn sie uns verwundbarer als je zuvor dafür machen.
