Schwachstelle in Googles KI-Modell Gemini: Sicherheitsrisiken durch versteckte Angriffe

Versteckte Manipulation: Die Gemini-Schwachstelle und Googles Position

Künstliche Intelligenz (KI) entwickelt sich zunehmend zu einem integralen Bestandteil sowohl des privaten als auch des geschäftlichen Alltags. Während die Vorteile von KI-Tools wie Google Gemini unbestreitbar sind, eröffnen sich mit ihrer Verbreitung auch neue Angriffsvektoren für Cyberkriminelle. Aktuelle Forschungsergebnisse beleuchten eine spezifische Schwachstelle in Googles Gemini, die es Angreifern ermöglicht, sensible Daten zu manipulieren oder zu exfiltrieren. Dieser Artikel analysiert die Art der Bedrohung, Googles Reaktion darauf und die Implikationen für B2B-Anwender.

Die Natur der Angriffe: ASCII-Attacken und Prompt-Injection

Sicherheitsforscher, darunter Viktor Markopoulos von Firetail und Marco Figueroa, haben eine Methode identifiziert, mit der KI-Modelle wie Gemini dazu gebracht werden können, unerwünschte Aktionen auszuführen. Diese Technik wird oft als ASCII-Attacke oder Prompt-Injection bezeichnet. Dabei werden bösartige Befehle in scheinbar harmlose Texte eingebettet. Diese Befehle sind für menschliche Nutzer oft nicht sichtbar, da sie beispielsweise durch extrem kleine Schriftgrößen, weiße Schrift auf weißem Hintergrund, Off-Screen-Platzierung oder manipulierte HTML/CSS-Stile verborgen werden.

Die KI-Modelle verarbeiten jedoch den gesamten Rohtext, einschließlich der versteckten Anweisungen, und führen diese aus, ohne dass der Nutzer dies bemerkt. Markopoulos stellte fest, dass neben Deepseek und Grok auch Gemini anfällig für solche Angriffe ist, während Modelle wie ChatGPT, Microsoft Copilot und Claude effektivere Filtermechanismen aufweisen.

Geminis Integration als potenzielles Risiko

Die besondere Brisanz der Gemini-Schwachstelle ergibt sich aus der tiefen Integration des Modells in Google Workspace. Gemini ist in Anwendungen wie Google Kalender und Gmail aktiv, was die Angriffsfläche erheblich vergrößert. Markopoulos demonstrierte, dass eine einfache E-Mail oder Kalendereinladung mit versteckten Befehlen ausreichen kann, um Gemini anzuweisen, das Postfach nach sensiblen Dateien zu durchsuchen, Kontakte weiterzuleiten oder sogar bösartige Websites zu öffnen. Dies verwandelt eine standardmäßige Phishing-Mail in ein autonomes Tool zur Datenextraktion und ermöglicht es, Nutzer auf gefälschte Websites umzuleiten, die Schadcode oder weitere Phishing-Elemente enthalten könnten.

Ein weiteres Beispiel zeigt, wie eine manipulierte Kalendereinladung, deren Titel eine indirekte Prompt-Injection enthält, dazu führen kann, dass Gemini bei der Abfrage von Terminen den bösartigen Befehl als Teil des Kontexts interpretiert. Dies könnte Angreifer in die Lage versetzen, Kalenderereignisse zu löschen oder zu bearbeiten, URLs zu öffnen, IP-Adressen abzugreifen, an Zoom-Anrufen teilzunehmen, Smart-Home-Geräte über Google Home zu steuern oder auf E-Mails zuzugreifen.

Googles Haltung: Social Engineering statt Sicherheitslücke

Die Ergebnisse dieser Forschungen wurden Google im September 2025 mitgeteilt. Die Reaktion des Technologiekonzerns war jedoch, die Verantwortung für das Problem den Nutzern zuzuschreiben. Google argumentiert, dass es sich hierbei nicht um eine direkte Sicherheitslücke in Gemini selbst handelt, sondern um eine Form von Social-Engineering-Attacke auf die Nutzer. Dies impliziert, dass es in der Eigenverantwortung der Anwender liegt, solche Angriffe zu erkennen und sich davor zu schützen.

Diese Perspektive wirft Fragen für B2B-Anwender auf, insbesondere für Unternehmen, die Gemini in ihre operativen Prozesse integrieren. Die Erkennung solcher subtilen Angriffe erfordert ein hohes Maß an Sensibilisierung und technischem Verständnis, das bei vielen Endnutzern möglicherweise nicht vorhanden ist. Die Abgrenzung zwischen einer technischen Schwachstelle des KI-Modells und einem Social-Engineering-Angriff auf den Nutzer ist hier entscheidend.

Präventionsmaßnahmen und Handlungsempfehlungen für Unternehmen

Angesichts der aktuellen Situation sind proaktive Maßnahmen seitens der Unternehmen unerlässlich, um die Risiken im Umgang mit KI-Tools wie Gemini zu minimieren. Die folgenden Empfehlungen können dazu beitragen, die Sicherheit zu erhöhen:

• HTML-Bereinigung: Implementieren Sie Mechanismen zur Bereinigung eingehender HTML-Inhalte, die Inline-Stile entfernen oder neutralisieren, die Text unsichtbar machen (z.B. font-size:0, opacity:0, color:white).
• LLM-Firewalls und System-Prompts: Härten Sie die internen Abwehrmechanismen und System-Prompts Ihrer Large Language Models (LLMs), um versteckte Befehle effektiver zu filtern.
• Post-Processing-Filter: Nutzen Sie Filter, die die KI-Ausgabe nach verdächtigen Elementen wie dringenden Nachrichten, unbekannten URLs oder Telefonnummern durchsuchen und diese zur weiteren Überprüfung kennzeichnen oder unterdrücken.
• Nutzerawareness: Schulen Sie Ihre Mitarbeiter regelmäßig im Hinblick auf Social-Engineering-Taktiken und die Erkennung von Phishing-Versuchen, auch wenn diese durch KI-generierte Inhalte getarnt sind.
• Sandbox-Umgebungen: Führen Sie die Gemini CLI oder andere KI-gesteuerte Code-Assistenten nur in isolierten Sandbox-Umgebungen aus, wenn Sie mit nicht vertrauenswürdigen Codebasen arbeiten.
• Regelmäßige Updates: Stellen Sie sicher, dass alle verwendeten KI-Tools und -Integrationen stets auf dem neuesten Stand sind, um von den neuesten Sicherheits-Patches zu profitieren.

Fazit

Die Entdeckung von Schwachstellen in Googles Gemini durch Prompt-Injection-Techniken unterstreicht die Notwendigkeit einer kontinuierlichen Wachsamkeit im Bereich der KI-Sicherheit. Während Google diese Angriffe als Social Engineering klassifiziert und die Verantwortung bei den Nutzern sieht, müssen Unternehmen, die KI-Tools einsetzen, ihre eigenen Schutzstrategien entwickeln. Durch eine Kombination aus technischen Schutzmaßnahmen und umfassender Nutzeraufklärung können die Risiken minimiert und der sichere Einsatz von KI in Geschäftsprozessen gewährleistet werden. Die Entwicklung robuster Sicherheitsarchitekturen für KI-Systeme bleibt eine zentrale Herausforderung und erfordert eine fortlaufende Anpassung an neue Bedrohungslandschaften.

Bibliography

- Fuhrmann, Marvin. "Warum Google die Verantwortung bei den KI-Nutzern sieht." t3n. (Abgerufen am 15. Oktober 2025). - Mutzbauer, Julia. "Google Gemini-Lücke ermöglicht versteckte Phishing-Angriffe." CSOonline.com. (Abgerufen am 15. Oktober 2025). - van Klinken, Erik. "Vulnerability discovered in Google Gemini CLI, patch required." Techzine.eu. (Abgerufen am 15. Oktober 2025). - Fincken, Tristan. "Gemini per Kalendereinladung gehackt." CSOonline.com. (Abgerufen am 15. Oktober 2025). - Divya. "Gemini AI Exploited via Google Invite Prompt Injection to Steal Sensitive User Data." GBhackers.com. (Abgerufen am 15. Oktober 2025). - Santhanam, Aditya. "Major Malicious Prompt Flaw Exposed in Google's Gemini AI." Infisign.ai. (Abgerufen am 15. Oktober 2025). - Fadilpašić, Sead. "Google Gemini security flaw could have let anyone access systems or run code." Techradar.com. (Abgerufen am 15. Oktober 2025). - Santos, Marcos. "Flaw in Gemini CLI AI coding assistant allowed stealthy code execution." LinkedIn. (Abgerufen am 15. Oktober 2025).