Immer mehr Assistenzsysteme arbeiten wie „agentische“ Browser: Sie lesen Inhalte, folgen Links und führen Aufgaben in Webumgebungen aus. Genau diese Fähigkeiten werden in zwei neuen Untersuchungen von Zenity zum Sicherheitsproblem – denn die Forschenden beschreiben einen Zero-Click Angriff, der ohne sichtbare Nutzerinteraktion gezielt übernehmen kann, was die KI im Browser tut.
Konkret geht es um zwei Fälle: ChatGPT Atlas (ein agentischer Browser) sowie Claude in der offiziellen Chrome-Erweiterung. In beiden Szenarien nutzen Angreifer indirekte Prompt-Injection-Techniken und Schwachstellen, die nicht wie klassische Softwarefehler funktionieren, sondern aus Architektur- und Berechtigungseigenschaften entstehen.
Warum ein Zero-Click Angriff bei KI-Browsern besonders gefährlich ist
Bei herkömmlichen Anwendungen muss ein Angreifer meist auf irgendeine Weise „Hand anlegen“: eine Datei ausliefern, einen Klick erzwingen oder eine direkt ausführbare Anweisung platzieren. Anders beim beschriebenen Ansatz: Die KI wird so gelenkt, dass sie scheinbar harmlose Nutzerwünsche anders interpretiert und in authentifizierten Sitzungen unerwünschte Aktionen ausführt.
Zenity stellt dabei heraus, dass der Kern des Problems nicht nur „Bug“-Charakter hat, sondern an grundlegenden Designentscheidungen ansetzt. Agentische Browser agieren als übergreifende Instanz über mehrere Tabs und können dabei Logik aus unzuverlässigen Webseitenquellen in Handlungen für andere, bereits eingeloggte Domains übersetzen.
ChatGPT Atlas: Hijacking über X-Kommentare
Im ersten Forschungsbericht konzentrieren sich die Zenity-Autorinnen und Autoren auf das ChatGPT Atlas-Modell. Laut Bericht ist Atlas anfällig für Zero-Click Angriff-artige Abläufe über eine Form von indirekter Prompt-Injection, bei der die eigentliche Manipulation über Inhalte erfolgt, die der Angreifer an einer scheinbar „harmlosen“ Stelle platziert.
Das Szenario beginnt auf X (früher Twitter): In einem Thread platziert ein Angreifer einen einzigen Kommentar, der als „gepflanzte“ Information dient. Sobald ein Nutzer Atlas bittet, eine normale Aufgabe zu erledigen – etwa sich aus einem X-Beitrag heraus für einen Newsletter anzumelden – kann die vorinstallierte Instruktion die beabsichtigte Handlung umbiegen.
Die Angreifer lenken Atlas dabei so um, dass es eine manipulierte Payload-Seite besucht. Von dort aus kann die KI dann Aktionen durchführen, die der Angreifer direkt nicht hätte anstoßen können, ohne dass der Nutzer selbst aktiv wird.
Phishing über WhatsApp Web
Ein im Bericht beschriebenes Beispiel zeigt, wie Atlas nach der Umleitung zu WhatsApp Web navigiert. Im nächsten Schritt kann die KI die Kontaktliste der betroffenen Person auslesen und im Anschluss Phishing-Nachrichten an alle Kontakte versenden.
Für Nutzer wirkt das Ereignis oft wie ein missverstandener Assistenzauftrag: Die KI „hilft“ beim gewünschten Schritt, doch durch die Umleitungslogik wird der eigentliche Zweck zur Social-Engineering-Kampagne.
Amazon-Käufe durch Agenten-Umwege
Im zweiten Atlas-Beispiel wird der Angreifer direkt auf den Marktplatz gezogen: Atlas wird auf Amazon gesteuert, fügt Produkte dem Warenkorb hinzu und aktualisiert die Lieferadresse so, dass sie zum Standort des Angreifers passt.
Damit es nicht an der letzten Kaufentscheidung scheitert, die normalerweise durch Einschränkungen geschützt ist, nutzt Atlas einen vorhandenen Mechanismus: Die KI kann Amazons eingebautem Assistenten Rufus die Bestellung übertragen, statt selbst die finale Kaufaktion zu bestätigen.
Damit zeigt Zenity, wie ein agentischer Browser „im Hintergrund“ Umgehungen finden kann, ohne dass der Nutzer sichtbar zusätzliche Schritte ausführt.
Wie die Architektur die Schutzbarrieren verschiebt
Zenity begründet die Anfälligkeit u. a. damit, dass agentische Browser wie Atlas die Same-Origin Policy (SOP) nicht im klassischen Sinne als starre Schranke ausnutzen. Da die KI als eine Art einheitliche Instanz über mehrere authentifizierte Tabs hinweg agiert, wird das Prinzip wieder „entstaubt“, das bei Websites traditionell gegen Cross-Site Request Forgery (CSRF) eingesetzt wird.
Das hat Konsequenzen: Wenn die KI eine bösartige Anweisung auf einer untrusted Seite verarbeitet, kann sie diese Anweisung möglicherweise trotzdem auf andere Domains anwenden, bei denen der Nutzer bereits eingeloggt ist.
Der Bericht beschreibt damit keine bloße Theorie, sondern demonstriert nachvollziehbare Abläufe, die in authentifizierten Sessions ausgeführt werden können.
Claude in Chrome: Von indirekter Injection zur Kontoübernahme
Der zweite Bericht behandelt Claude in der offiziellen Chrome-Erweiterung. Auch hier beschreibt Zenity eine Angriffskette, die als Zero-Click Angriff eingeordnet wird: Der Nutzer muss dabei nicht zwingend aktiv klicken oder eine Datei öffnen, um die Manipulation wirksam zu machen.
Die Forschenden greifen eine Eigenschaft an, die bei Browsererweiterungen häufig erwartet wird: erhöhte Berechtigungen innerhalb aktiver Benutzersitzungen. Dadurch kann die KI Aktionen ausführen, die bei einer rein isolierten Web-App nicht in dieser Form möglich wären.
Maliziöse E-Mails mit unsichtbaren Strukturen
In einem beschriebenen Szenario erhält ein Opfer eine maliziöse E-Mail. Diese enthält unsichtbare Prompt-Strukturen. Wenn das Opfer Claude etwa bittet, die neuesten E-Mails zu zusammenzufassen, interpretiert der Agent die versteckten Anweisungen offenbar als direkten Auftrag.
Standard-Sicherheitsmechanismen sollen zwar verhindern, dass schädliche Skripte direkt ausgeführt werden. Angreifer können diesen Schutz umgehen, indem sie dafür sorgen, dass die KI über scheinbar legitime Import-Pfade Ressourcen lädt, die dann stillschweigend Code nachladen.
Zenity beschreibt dazu den Einsatz eigener NPM-Pakete auf einem unzuverlässigen CDN. Claude wird so zu einem harmlos wirkenden Import verleitet, wodurch Payload-Code unbemerkt aktiviert werden kann.
Exfiltration über Gmail und Zugriff auf Google Drive
Da der Angriff im Kontext gültiger Session-Cookies stattfindet, kann die bösartige Routine laut Bericht die Gmail-Atom-Feeds abfragen. Sie extrahiert Message-IDs, liest den vollständigen Inhalt der E-Mails und übermittelt die Daten anschließend unauffällig an einen Server, den der Angreifer kontrolliert.
Zusätzlich zeigt Zenity einen weiteren Effekt: Die KI kann auch Dateien in einem Google Drive-Konto teilen – und zwar an ein Zielkonto, das der Angreifer kontrolliert.
Account Takeover auch für Slack und X
Nicht nur E-Mail-Postfächer geraten laut Zenity unter Druck. Die Forschenden demonstrieren ebenfalls eine Account Takeover-Strategie gegen Slack und X-Konten.
Der Ansatz: Angreifer können über den Agenten Sign-in- oder Passwort-Reset-Vorgänge anstoßen. Währenddessen kann die KI den Eingang von Verifikationscodes aus dem Gmail-Konto überwachen und diese Codes weiterleiten. So wird die Session-Hijacking-Kette vervollständigt.
Für Betroffene bedeutet das: Selbst wenn ein Angreifer nicht direkt in die Konten „eingreift“, kann die Kombination aus Agentenfähigkeit, Session-Kontext und manipulierter Informationsaufnahme dennoch zu vollständigem Kontrollverlust führen.
Bekanntgabe und Einordnung
Zenity berichtet, dass die Ergebnisse zu den beschriebenen Problemen den jeweiligen Anbietern gemeldet wurden. Für Atlas erfolgte die Meldung an OpenAI im Januar 2026; für die Claude-Erweiterung an Anthropic im Dezember 2025 und Januar 2026. Die Berichte wurden von den Empfängern zur Kenntnis genommen, laut Zenity aber als schwierig zu beheben eingeordnet.
Der Grund: Der exploitierende Weg hängt nicht nur an einem externen „Fehler“, sondern an einer Kernfähigkeit agentischer Browser – Inhalte lesen und über authentifizierte Bereiche hinweg handeln.
Was Nutzer und Teams daraus ableiten können
Auch wenn die Details technisch sind, lassen sich mehrere praktische Konsequenzen ableiten. Wer agentische Browser oder KI-Erweiterungen im Alltag einsetzt, sollte besonders vorsichtig mit Aufgaben umgehen, die untrusted Inhalte (z. B. Social-Media-Posts oder E-Mails) direkt in Aktionen übersetzen.
Team-Entscheider können zudem prüfen, wie diese Systeme innerhalb ihres Betriebsumfelds eingesetzt werden: Welche Berechtigungen sind nötig? Welche Aktionen sind wirklich erlaubt? Und welche Schutzschichten gibt es, wenn ein Agent in einer Sitzung etwas ausführt, das nicht zu der ursprünglichen Anfrage passt?
Je stärker ein System in mehreren Bereichen gleichzeitig handeln kann, desto wichtiger werden klare Grenzen – nicht nur auf der Ebene von „Skripte ausführen ja/nein“, sondern auch bei der Interpretation von Anweisungen durch den Agenten.
Fazit
Die von Zenity beschriebenen Beispiele machen deutlich, warum ein Zero-Click Angriff gegen KI-Browser besonders problematisch ist: Er nutzt weniger klassische Schwachstellen, sondern die Art, wie agentische Systeme Anfragen verstehen und in authentifizierten Webumgebungen umsetzen.
Ob durch manipulative X-Kommentare, versteckte Prompt-Strukturen in E-Mails oder Umwege über eingebettete Funktionen wie Amazons Assistenten – die Angriffe zielen darauf ab, aus harmlosen Benutzeranliegen echte Schadaktionen zu machen. Für Anbieter und Anwender wird damit klar: Sicherheit muss bei agentischen Browsern nicht nur „exploit-blocking“ sein, sondern vor allem auch „intent-hijacking“-Risiken adressieren.
