Der KI-gestützte Webbrowser Comet von Perplexity gehört zu den Pionieren einer neuen Browser-Generation, die auf intelligenten Agenten basiert. Er verbindet klassische Internetnavigation mit leistungsstarken KI-Funktionen, die Nutzern dabei helfen, Webseiteninhalte effizient zu analysieren, E-Mails zu organisieren und komplexe Prozesse automatisch auszuführen – alles direkt im Browser. Sicherheitsforscher von Brave haben jedoch Alarm geschlagen: Comet könnte anfällig für indirekte Prompt-Injection sein, eine gefährliche Schwachstelle, die es Angreifern ermöglicht, den Browser zur Ausführung unbeabsichtigter Aktionen zu verleiten und so hochsensible Benutzerdaten offenzulegen.
Da KI-gesteuerte Browser immer beliebter werden, taucht diese Herausforderung zu einem kritischen Zeitpunkt auf und lenkt den Fokus auf die dringende Notwendigkeit einer robusten Web-Sicherheit im Zeitalter der intelligenten Automatisierung.
Was schiefgelaufen ist: Wie die Sicherheitslücke „Prompt Injection“ von Comet funktioniert
Brave hat festgestellt, dass Comet nicht in der Lage ist, Benutzerbefehle von riskanten Webseiteninhalten zu trennen. Wenn ein Benutzer eine Eingabeaufforderung wie „Fasse diese Seite zusammen“ ausgibt, nimmt der KI-Browser den Inhalt der Seite – und alle darin versteckten bösartigen Anweisungen – auf und behandelt alle Eingaben so, als wären sie vom Benutzer initiiert worden.
Diese Technik – die indirekte Eingabeaufforderung – ermöglicht es Angreifern, Befehle in scheinbar harmlose Webseitenelemente einzubetten (z. B. weißer Text auf weißem Hintergrund, HTML-Kommentare oder Reddit-Beiträge). Die KI von Comet interpretiert diese möglicherweise als gültige Anweisungen und ermöglicht so Aktionen wie das Extrahieren von E-Mails, OTPs, Bankdaten oder sogar das Senden dieser Daten an Dritte.
Brave demonstrierte, wie Comet durch versteckte Eingaben Einmalpasswörter ohne Nutzerzustimmung auslesen und öffentlich machen kann. Der KI-Agent agiert über authentifizierte Sitzungen hinweg und umgeht dabei etablierte Sicherheitsmechanismen wie die Same-Origin-Policy und CORS. Dadurch wird der Schutz vertraulicher Daten im Browser erheblich geschwächt und Angreifern potenziell Zugriff auf Nutzerkonten ermöglicht.
Umfassendere Risiken: KI-Browser und reale Bedrohungen
KI-gestützte Browser wie Comet bieten Komfort, indem sie autonom arbeiten – aber diese Autonomie schafft neue Angriffsflächen. Herkömmliche Browser verlassen sich auf menschliches Urteilsvermögen; KI-Browser vertrauen zu leichtfertig.
Das Sicherheitsunternehmen Guardio testete Comet, indem es das Programm auf einer gefälschten Walmart-Website eine Apple Watch kaufen ließ. Comet füllte daraufhin automatisch die Zahlungsdaten aus und schloss den Kauf ab, oft ohne dass der Nutzer dazu aufgefordert wurde. In anderen Tests wurden Phishing-E-Mails mit bösartigen Links als Aufgaben behandelt – Comet klickte darauf und gab Zugangsdaten preis.
Diese Beispiele veranschaulichen, wie KI-Browser die übermäßige Vertrauensseligkeit der KI übernehmen und Nutzer erheblichen Datenschutz- und Finanzrisiken aussetzen können.
Die Reaktion von Perplexity – und warum sie möglicherweise nicht ausreicht
Perplexity erkannte den Fehler schnell: „Die Sicherheitslücke wurde behoben. Wir haben direkt mit Brave zusammengearbeitet, um die Sicherheitslücke zu identifizieren und zu beheben“, sagte Sprecher Jesse Dwyer. Nachfolgende Tests von Brave und unabhängigen Sicherheitsforschern zeigen jedoch, dass das Problem unter bestimmten Umständen weiterhin besteht.
Obwohl bisher noch keine Exploits in der Praxis aufgetaucht sind, ist das Zeitfenster für die Ausnutzung der Sicherheitslücke – die Wochen zwischen der ersten Entdeckung und der vollständigen Behebung – besorgniserregend und unterstreicht die Notwendigkeit strengerer Sicherheitsvorkehrungen.
Technische Analyse: Warum die Schwachstelle besteht
- Keine Trennung zwischen Befehlsquelle und Inhalt: Comet führt Benutzeraufforderungen und Webseiteninhalte zu einer einzigen KI-Eingabe zusammen, ohne dabei eine Unterscheidung beim Parsen vorzunehmen.
- KI vertraut Text unterschiedslos: Dem Modell von Comet fehlen Mechanismen, um zu überprüfen, ob Befehle vom Benutzer oder von der Seite stammen.
- Veraltete Browser-Schutzmaßnahmen versagen: Richtlinien wie SOP und CORS schützen nicht vor semantischen Schwachstellen wie Prompt-Injection.
- Nutzung privilegierter Zugriffsrechte: Da Comet mit authentifizierten Sitzungen arbeitet, können injizierte Befehle auf Cookies, E-Mails und andere sensible Daten zugreifen.
Gesellschaftliche und sicherheitspolitische Auswirkungen
Die Comet-Sicherheitslücke verdeutlicht eine wachsende Herausforderung bei der Zusammenarbeit zwischen KI und Menschen:
- Die OWASP Top 10 für LLMs aus dem Jahr 2025 stuften Prompt Injection als das höchste Risiko für LLM-integrierte Systeme ein.
- Wissenschaftliche Studien zeigen, wie nicht vertrauenswürdige Webinhalte KI-Agenten kapern können – was zu Identitätsdiebstahl, Datenexfiltration und vollständigem Session-Hijacking führt.
- Entwickler müssen Sicherheitsarchitekturen für agentenbasiertes Browsen neu aufbauen – einschließlich Eingabesanitierung, Validierung ausgeführter Aufgaben, Berechtigungsisolierung und expliziter Benutzerbestätigung für sensible Aktionen.
Empfohlene Sicherheitsanforderungen für Agentic-Browser
Brave bietet klare Maßnahmen zum Schutz vor Prompt-Injection und ähnlichen Bedrohungen:
- Trennen Sie Benutzeranweisungen strikt vom Inhalt der Webseite. Webinhalte dürfen nicht als vertrauenswürdig eingestuft werden.
- „Stellen Sie sicher, dass die Ergebnisse und die Zielsetzung des Agenten sorgfältig geprüft werden, bevor Maßnahmen ergriffen werden – insbesondere bei Vorgängen, die persönliche Daten betreffen.
- Holen Sie stets eine eindeutige Zustimmung des Nutzers ein, bevor Sie vertrauliche Aktionen wie Finanztransaktionen oder das Versenden von E-Mails durchführen.“
- Trennen Sie den agentenbasierten Browsing-Modus vom normalen Browsing-Modus; die Berechtigungen sollten minimal und für die Benutzer transparent sein.
Diese Maßnahmen spiegeln umfassendere KI-Sicherheitsstrategien wider, wie beispielsweise „Input-Sanitization“, „formale Analysatoren“ und „Planer-Ausführungs-Isolation“, wie sie in aktuellen Forschungsarbeiten vorgeschlagen werden.
Bewährte Verfahren für Benutzer zum jetzigen Zeitpunkt
Während Sie auf Updates warten, sollten Sie Vorsicht walten lassen:
- Vermeiden Sie die Verwendung von Comet für sensible Aufgaben wie Bankgeschäfte oder die Verwaltung persönlicher Zugangsdaten, bis die Sicherheit gewährleistet ist.
- Deaktivieren Sie die agentenbasierte Zusammenfassung oder automatische Aktionen auf unbekannten oder nicht vertrauenswürdigen Websites.
- Beobachten Sie Updates und Versionshinweise von Perplexity, um verifizierte Fehlerbehebungen zu erhalten.
- Führen Sie eine manuelle Überprüfung durch, bevor Comet eine Aktion ausführt.
Allgemeine Stimmung und zukünftige Ausrichtung
Die Schwachstelle von Comet dient als warnendes Beispiel: Agente KI-Tools müssen mit integrierten Sicherheitsfunktionen entwickelt werden. Der CEO von Perplexity hat den Browser als „Killer-App der KI“ bezeichnet, mit dem Ziel, die Produktivität neu zu definieren. Aber mit dieser Macht geht auch Verantwortung einher – und frühe Fehler müssen zu umfassenden Korrekturen führen, nicht nur zu Patches.
Sowohl wissenschaftliche Untersuchungen als auch Berichte aus der Praxis zeigen eindeutig, dass eine sofortige Injektion keine hypothetische Gefahr darstellt, sondern ein reales Risiko und eine anhaltende Bedrohung für die Sicherheit ist. Andere KI-gestützte Plattformen haben in ähnlicher Weise unter semantischen Angriffen gelitten, was auf eine systemische Herausforderung beim Design von KI-integrierten Anwendungen hindeutet.
Schlussfolgerung
Die Entdeckung von Schwachstellen für Prompt-Injection im Comet-Browser von Perplexity ist ein Weckruf. Agentische KI bringt transformative Fähigkeiten mit sich, führt aber auch neue, hochriskante Sicherheitsbedrohungen ein. Da sich Browser zu intelligenten Agenten entwickeln, müssen sie mit grundlegend neuen Datenschutzarchitekturen ausgestattet werden.
Vorerst sollten Nutzer vorsichtig sein. Die Konvergenz von Sicherheit und KI erfordert sowohl Innovation als auch Wachsamkeit – und die Schwachstelle von Comet unterstreicht, wie wichtig dieses Gleichgewicht tatsächlich ist.
FAQs
Was ist der Comet-Browser?
Perplexity Comet ist ein KI-gestützter Agent, der direkt im Browser arbeitet und Aufgaben wie Zusammenfassungen und das Verfassen von E-Mails ermöglicht, ohne die Webseite verlassen zu müssen.
Was ist die Schwachstelle?
Comet verarbeitet Webseiteninhalte, ohne sie von Benutzeranweisungen zu unterscheiden, was eine indirekte Prompt-Injektion ermöglicht, die sensible Daten gefährden könnte.
Können meine Passwörter oder OTPs gestohlen werden?
Ja – Brave hat herausgefunden, dass versteckte Eingabeaufforderungen KI dazu verleiten können, OTPs oder Kontodaten an Angreifer weiterzugeben.
Hat Perplexity das Problem behoben?
Das Unternehmen hat eine erste Korrektur bereitgestellt, aber Tests von Brave deuten darauf hin, dass das Problem weiterhin besteht – was auf eine unvollständige Lösung hindeutet.
Was sollten Benutzer tun?
Vermeiden Sie die Verwendung von Comet für sicherheitsrelevante Aufgaben, bis eine robuste Korrektur gewährleistet ist. Bevorzugen Sie manuelles Surfen für Bankgeschäfte oder private Daten. Beobachten Sie offizielle Updates.
