Zero-Click-Angriffe auf alle großen KI-Browser: Forscher verwandeln OpenAI Atlas in WhatsApp-Wurm

Dies war kein isolierter Fehler. Es war die dramatischste Demonstration einer bislang undokumentierten Klasse von Schwachstellen, die Zenity „PleaseFix“ nennt – eine Familie von Zero-Click-Lücken, die alle großen kommerziellen agentischen Browser betraf, die die Forscher untersuchten .

So funktionierte der Atlas-WhatsApp-Wurm

Zenitys Proof-of-Concept-Angriff umging OpenAIs dreistufiges Sicherheitssystem mit drei Techniken :

• Anweisungen auf Hebräisch: Atlas' Sicherheitsfilter waren hauptsächlich auf Englisch trainiert, sodass nicht-englische Befehle der Erkennung entgingen .
• Intent Collision: Die Forscher vermischten legitime Benutzerbefehle (wie „Newsletter abonnieren“) mit versteckten bösartigen, sodass der Agent kaum zwischen sicheren und unsicheren Aktionen unterscheiden konnte .
• Vorgetäuschte Sandbox-Umgebung: Die Angriffsseite teilte Atlas mit, die Aktionen fänden in einer sicheren Testumgebung statt, was die eigenen Sicherheitsprüfungen des Agenten austrickste .

Dieselbe Exploit-Kette konnte auch für unbefugte Amazon-Käufe genutzt werden, was eine breitere Account-Übernahme-Fähigkeit demonstrierte . Die Ende-zu-Ende-Verschlüsselung von WhatsApp wurde nicht geknackt – der KI-Agent handelte einfach innerhalb der authentifizierten Sitzung des Nutzers .

Die PleaseFix-Schwachstellenklasse

Zenity Labs enthüllte PleaseFix als eine Familie von Zero-Click-Schwachstellen, die alle großen kommerziellen agentischen Browser betraf, die sie untersuchten . Die Lücken wurden demonstriert bei:

• ChatGPT Atlas (OpenAI)
• Claude in Chrome (Anthropic)
• Gemini in Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

Insgesamt fanden Zenity-Forscher 20 verschiedene Schwachstellen auf diesen Plattformen . Das Kernproblem ist architektonischer Natur: Agentische Browser sind darauf ausgelegt, selbstständig Webinhalte zu lesen, Anweisungen zu befolgen und Aktionen im Namen des Nutzers auszuführen – und genau diese Autonomie ist die Angriffsfläche . Angreifer kapern Agenten durch gewöhnliche Inhalte und erwartete Aktionen – ohne Schadsoftware, ohne Exploits und ohne einen einzigen Klick des Nutzers .

Die demonstrierten Angriffsfolgen umfassten :

• Stillen Datendiebstahl: Exfiltration lokaler Dateien und Zugangsdaten, auch aus Passwortmanagern wie 1Password .
• Konto- und Geräteübernahme: Vollständige Session-Hijacking und Remote-Code-Ausführung auf dem Rechner, auf dem der Browser läuft .
• Social-Media-Konto-Hijacking: Posten, Kontaktpersonen anschreiben und Phishing-Links von den Konten des Opfers aus verbreiten.
• Unbefugte finanzielle Aktionen: Tätigen von Käufen auf Amazon und anderen Diensten.

Reaktionen der Industrie

• OpenAI hatte die Einstellung von Atlas bereits vor der Black Hat 2026 angekündigt; der Browser wurde am 9. August 2026 abgeschaltet – nur wenige Tage nach den Enthüllungen . OpenAI verlegte die Agentenfunktionen von Atlas in seine breiteren Plattformen ChatGPT Work und Codex, aber Sicherheitsfragen folgten den Agentenfähigkeiten in diese neuen Umgebungen .
• Mehrere Anbieter erhielten koordinierte Offenlegungen von Zenity und veröffentlichten Patches, aber das grundlegende architektonische Spannungsfeld – KI-Agenten weitreichende Autonomie im Web zu gewähren – blieb ungelöst .

Warum Experten deterministische Sicherheitsbarrieren fordern

Sicherheitsforscher argumentieren, dass der derzeitige Ansatz – das Überstülpen von Sicherheitsfiltern und Prompt-Level-Leitplanken über hochautonome KI-Agenten – strukturell unzureichend ist . Zenitys Forschung zeigte, dass jeder einzelne agentische Browser mit derselben grundlegenden Technik kompromittiert werden konnte: indem man dem Agenten bösartige Inhalte zuführt, die zu verarbeiten er entwickelt wurde .

Das Kernproblem ist, dass probabilistische KI-Sicherheitsfilter (die raten, ob eine Aktion sicher ist) einen Angreifer nicht zuverlässig stoppen können, der neuartige Eingaben erzeugen kann, die diesen Filtern entgehen. Die Forscher fordern deterministische Sicherheitsbarrieren – harte, durchsetzbare Einschränkungen dessen, was ein KI-Agent tun darf, unabhängig davon, wie er Anweisungen interpretiert . Beispiele hierfür sind:

• Fest codierte Positivlisten erlaubter Aktionen (z. B. „niemals Nachrichten von diesem Browser aus senden“).
• Berechtigungsgrenzen auf Betriebssystemebene, die nicht durch Modellausgaben überschrieben werden können.
• Menschliche Bestätigung für risikoreiche Aktionen (Finanztransaktionen, Messaging, Zugriff auf Zugangsdaten).

Bis solche deterministischen Kontrollen existieren, zeigt die PleaseFix-Klasse von Schwachstellen, dass agentische Browser gegen ihre eigenen Nutzer bewaffnet werden können – allein durch die Veröffentlichung von gewöhnlich aussehenden Webinhalten .