Sind KI-Browser sicher? (ChatGPT Atlas, Perplexity Comet)

Es kommt darauf an, was Sie sie sehen lassen. KI-Browser wie ChatGPT Atlas (OpenAI, gestartet im Oktober 2025) und Comet (Perplexity) sind „agentisch“. Sie surfen im Web, lesen Ihre Seiten und handeln in Ihrem Namen. Dafür laufen sie mit Ihren Rechten, in Ihren bereits angemeldeten Sitzungen. Der Haken: Sicherheitsforscher haben sie gekapert. Eine präparierte Seite kann ihnen versteckte Befehle erteilen. Das eigentliche Risiko ist kein isolierter Fehler. Es liegt in der Natur der gesamten Kategorie.

Was ein KI-Browser sieht und für Sie tut

Ein agentischer KI-Browser zeigt nicht nur Seiten an. Er handelt. Er kann Ihr Postfach verwalten, Formulare ausfüllen, nach Produkten suchen und Tickets buchen. Um diese Dienste zu erbringen, muss er den Inhalt Ihrer Seiten sehen.

Und er sieht ihn mit Ihren Rechten. Er arbeitet in Ihren angemeldeten Sitzungen. Also kann er auf Ihre E-Mails, Ihre Bank und Ihre internen Tools zugreifen, genau wie Sie es könnten. Genau dort wird Komfort zum Risiko. Der Assistent hat denselben Zugriff wie Sie, aber er gehorcht Text.

Die Warnung der Forscher: die Prompt-Injection

Das zentrale Risiko heißt indirekte Prompt-Injection. Die Idee ist einfach. Ein Angreifer versteckt Anweisungen in einer gewöhnlichen Webseite. Zum Beispiel weißen Text auf weißem Hintergrund oder einen HTML-Kommentar, der für das Auge unsichtbar ist. Der KI-Browser liest diese Anweisungen. Und er befolgt sie, als hätten Sie sie eingegeben.

Das Sicherheitsteam von Brave hat dies an Comet nachgewiesen. In ihrem Proof of Concept konnten versteckte Anweisungen auf einer Seite den Assistenten steuern. Er konnte die E-Mails des Nutzers lesen, ein Einmalpasswort (OTP) aus Gmail abrufen und dann Anmeldedaten exfiltrieren. Aktionen, die ein Bankportal, einen Gesundheitsdienstleister oder Unternehmenssysteme treffen könnten.

Braves Fazit ist unmissverständlich. Die indirekte Prompt-Injection ist kein isolierter Fehler. Sie ist eine systemische Herausforderung für die gesamte Kategorie der KI-Browser. Die klassischen Regeln des Webs gelten nicht mehr. Die Same-Origin-Policy — die Barriere, die verhindert, dass eine Website auf eine andere einwirkt — schützt nicht gegen eine agentische KI. Es braucht neue Sicherheitsarchitekturen.

OpenAI räumt dies öffentlich ein, und das ist bemerkenswert. Das Unternehmen sagt, die Prompt-Injection werde wahrscheinlich nie vollständig „gelöst“ sein. Ähnlich wie Betrug und Social Engineering im Web. Es weist darauf hin, dass der Agent-Modus von Atlas die Angriffsfläche vergrößert. Also behandelt es das Thema als langfristige Herausforderung, die durch fortlaufende Schutzmaßnahmen bewältigt wird, nicht durch eine einmalige Korrektur.

Ein weiterer Fall prägte 2025: „CometJacking“. Forscher zeigten, dass eine einzige präparierte URL mit einem Klick versteckte Anweisungen an Comet übergeben konnte. Der Befehl: Daten aus verbundenen Diensten wie Gmail und Kalender sammeln und sie dann an den Angreifer senden. Schlimmer noch: Das Codieren der Daten (zum Beispiel in base64) konnte die Schutzmaßnahmen von Perplexity gegen Exfiltration umgehen.

Speicher und Verlauf: ein zweiter Vektor

Die Prompt-Injection ist nicht das einzige Risiko. Der Speicher des KI-Browsers ist ein weiteres. Er ist ein eigenständiger Vektor für Datenexposition.

ChatGPT Atlas bietet eine Funktion „browser memories“, opt-in (standardmäßig deaktiviert). Sie speichert Fakten und Erkenntnisse aus Ihrem Surfverhalten — nicht den vollständigen Inhalt der Seiten. Atlas bietet außerdem eine Steuerung pro Seite, die „ChatGPT page visibility“, in der Adressleiste. Damit können Sie eine Seite von dem ausschließen, was der Assistent sieht und behält.

Diese Einstellungen helfen. Aber sie erfordern Sorgfalt auf jeder sensiblen Seite. Unabhängige Tests haben in einigen KI-Browsern schwächere integrierte Schutzmaßnahmen als in gängigen Browsern festgestellt. Vorsicht ist weiterhin geboten.

Die Abwehr: begrenzen, was die KI sieht

Der richtige Instinkt ist einfach. Begrenzen Sie, was der KI-Browser auf sensiblen Seiten sehen kann. Ein KI-Browser verlangt weitreichenden Zugriff: E-Mails, Kalender, Kontakte, Verlauf. Je weniger Sie ihm zeigen, desto geringer das Risiko.

Zwei praktische Regeln. Erstens: Erledigen Sie sensible Aufgaben — Bankgeschäfte, E-Mail, Gesundheit — in einem separaten, herkömmlichen Browser. Zweitens: Anonymisieren Sie jeden Inhalt, bevor Sie ihn einer KI anvertrauen. Diese beiden Schritte decken die meisten der von den Forschern beschriebenen Szenarien ab.

• Schalten Sie den Agent-Modus auf sensiblen Seiten aus (Bank, Mail, Gesundheit).
• Nutzen Sie die Steuerung pro Seite, um eine Seite vor dem Assistenten zu verbergen.
• Lassen Sie den Browser-Speicher deaktiviert, wenn Sie ihn nicht brauchen.
• Gehen Sie mit KI-Add-ons genauso sorgfältig um: siehe unseren Leitfaden zu KI-Browser-Erweiterungen.

1. 1Erkennen Sie die sensiblen Daten in dem Text, den Sie der KI übergeben.
2. 2Ersetzen Sie sie im Browser durch reversible Token.
3. 3Senden Sie nur den anonymisierten Text an das Modell.
4. 4Stellen Sie die echten Werte in der Antwort lokal wieder her.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten und ersetzt sie vor dem Senden durch reversible Token. Die Erkennung und das Mapping bleiben in Ihrem Browser. Nur anonymisierter Text erreicht das Modell. Selbst wenn Inhalte unterwegs gekapert würden, fänden sie dort nur Token — nicht Ihre echten Informationen.