KI-Assistenten im Visier von Cyberkriminellen

„EchoLeak“-Exploit bei Microsoft Copilot (CVE-2025-32711)
Der Angreifer sendet präparierte E-Mails an Mitarbeiter im Unternehmen. Wenn der firmeninterne KI-Assistent Copilot sie im Hintergrund scannt, um den Nutzern Zusammenfassungen zu liefern, werden versteckte Prompts ausgeführt, die den Assistenten kapern. Mit Hilfe des übernommenen Assistenten können Angreifer dann sensible Unternehmensdaten und Dokumente des Nutzers ausspähen und sie unbemerkt an einen Server schicken. Besonders heimtückisch daran ist, dass die Mitarbeiter noch nicht einmal mit der Schad-E-Mail interagieren müssen. Es reicht, wenn der Assistent sie scannt.

„ForcedLeak“-Exploit in Salesforce Agentforce
Bei dieser 2025 entdeckten Schwachstelle schleusen Hacker schädliche Verhaltensanweisungen über ein öffentliches Kontaktformular ein. Der interne KI-Agent, der Kundendaten verarbeitet, wird so überlistet, dass die Instruktionen der Angreifer als legitime Befehle interpretiert werden. Die Angreifer umgehen damit die internen Filter, erhalten Zugriff auf die gesamte Sales-Pipeline, und können sensible Kundendaten abgreifen.

„YOLO Mode“-Exploit in GitHub Copilot (CVE-2025-53773)
Diese Schwachstelle betrifft vor allem den Bereich der Softwareentwicklung. Hacker verstecken schädliche Prompts in Kommentaren von Open Source Code oder GitHub-Issues. Liest ein interner Coding-Assistent diesen Text, führt er unter Umständen versteckten Schadcode aus, der den Assistenten in den YOLO-Modus überführt. Dadurch erhalten Hacker Zugriff auf die lokale Maschine des Entwicklers – und damit oft auf unverschlüsselte API-Keys, Server-Zugänge und Passwörter.

Prinzip der minimalen Rechte (Least Privilege)
Setze die Zugriffsrechte so restriktiv wie möglich. Ein KI-Assistent darf nur Zugriff auf Daten erhalten, die er für seine spezifische Aufgabe zwingend benötigt. Ein Marketing-Bot braucht zum Beispiel keinen Zugriff auf die HR-Datenbank oder die Passwort-Verzeichnisse der IT.

Menschliche Freigabe (Human-in-the-Loop)
Lass die KI niemals kritische Aktionen vollautomatisch ausführen. Das Ändern von Passwörtern, das Versenden von Daten an externe Server oder das Tätigen von Transaktionen muss immer an eine manuelle Bestätigung durch einen Menschen gekoppelt sein.

Strikte Eingangs- und Ausgangsfilter (Guardrails)
Schalte Sicherheitsleitplanken vor und nach die KI. Bevor Daten an ein Sprachmodell übergeben werden, sollten sie auf bekannte Prompt-Injection-Muster gescannt werden. Und andersherum: Bevor die KI dem Nutzer antwortet, müssen Filter sensible Daten wie Passwörter oder Kreditkartennummern automatisch erkennen und schwärzen.

Schatten-KI verbieten und sichere Umgebungen schaffen
Oft nutzen Mitarbeiter aus Bequemlichkeit private Konten kostenloser Tools für Firmenzwecke. Dabei fließen womöglich Daten ungewollt ab. Unternehmen sollten datenschutzkonforme Enterprise-Lizenzen bereitstellen und die Nutzung unautorisierter KI-Tools im Firmennetzwerk technisch blockieren.