Künstliche Intelligenz
KI-Update Deep-Dive feat. They Talk Tech: Prompt Injections
Wie man KI-Systeme manipuliert
Die Vision von KI-Assistenten, die selbstständig E-Mails zusammenfassen, Reisen buchen und Termine planen, wird von Unternehmen wie OpenAI, Google und Anthropic vorangetrieben. Doch diese fortschrittlichen Helfer haben eine kritische Schwachstelle, die sie dauerhaft angreifbar machen könnte. Im Deep-Dive des KI-Updates sprechen die Tech-Journalistinnen Svea Eckert und Eva Wolfangel vom c’t-Podcast „They Talk Tech“ über Prompt Injections. Eva Wolfangel ist überzeugt, dass diese Angriffe „der Grund sind, warum KI-Anwendungen für immer hackbar bleiben und die besten Freundinnen von Cyberkriminellen und Spionen“ sein könnten.
Eine Prompt Injection liegt laut Wolfangel immer dann vor, „wenn man böswillige Eingaben als legitimen Prompt tarnen kann und damit die KI manipuliert“. Dabei werden in scheinbar harmlosen Texten, E-Mails oder auf Webseiten versteckte Befehle platziert, die ein Sprachmodell (LLM) auslesen und ausführen soll. Für Menschen sind diese Anweisungen oft unsichtbar, etwa durch weiße Schrift auf weißem Grund. „Für Chatbots ist gar nix anders als sonst, die sehen den Text einfach“, erklärt Wolfangel.
In einer Demonstration, die ihr vor einiger Zeit von Forschenden gezeigt wurde, wurde das Microsoft-System Copilot angegriffen. „Der User instruiert Copilot, bitte fass mir eine E-Mail zusammen“, beschreibt Wolfangel das Szenario. In dieser E-Mail befanden sich versteckte Anweisungen, die den KI-Agenten dazu brachten, andere E-Mails des Nutzers nach sensiblen Informationen wie Verkaufszahlen oder Einmal-Passwörtern zu durchsuchen. Die gestohlenen Daten wurden dann in einen Link verpackt, der dem Nutzer zur Verfügung gestellt wurde. „Der User klickt den Link, sieht es nicht und dann geht eben diese Information an den Angreifer“, so Wolfangel.
Unsichtbare Befehle per ASCII-Code
Um solche Angriffe zu verschleiern, nutzen Angreifer Methoden wie „ASCII-Smuggling“. „Dabei werden spezielle Zeichen verwendet, um Teile einer URL für das menschliche Auge unsichtbar zu machen, während der Computer sie vollständig liest“, wie Wolfangel erläutert. Eckert ergänzt: „ASCII steht für ‚American Standard Code for Information Interchange‘ und das ist ein Zeichensatz, der jedem Zeichen, also jedem Buchstaben eine eindeutige Nummer zuweist, sodass der Computer sie dann auch verstehen und verarbeiten kann.“ Durch die Manipulation dieser Codes kann ein Link harmlos aussehen, aber im Hintergrund Daten an einen fremden Server senden.
Das Problem bei diesen Angriffen ist, dass sie keine klassische Sicherheitslücke ausnutzen, die man einfach schließen könnte. Stattdessen missbrauchen sie eine Kernfunktion der Sprachmodelle: ihre Fähigkeit, Anweisungen in natürlicher Sprache zu verstehen und zu befolgen. Zwar versuchen die Hersteller, ihre Modelle durch zusätzliche Sicherheitsanweisungen zu schützen, doch das scheint für Eckert und Wolfangel ein aussichtsloses Unterfangen. „Man müsste unendlich kreativ sein, um sich alles Mögliche auszudenken, um dem Herr zu werden. Und das ist quasi unmöglich“, sagt Eckert. Jede geschlossene Lücke wird schnell durch eine neue, kreativere Angriffsmethode ersetzt.
Wie intelligent ist Künstliche Intelligenz eigentlich? Welche Folgen hat generative KI für unsere Arbeit, unsere Freizeit und die Gesellschaft? Im „KI-Update“ von Heise bringen wir Euch gemeinsam mit The Decoder werktäglich Updates zu den wichtigsten KI-Entwicklungen. Freitags beleuchten wir mit Experten die unterschiedlichen Aspekte der KI-Revolution.
Riskante Helfer im Alltag
Die Konsequenzen für den Einsatz von KI-Agenten sind weitreichend. Besonders riskant ist es, wenn drei Faktoren zusammenkommen, die der Sicherheitsforscher Simon Willison laut Wolfangel als „lethal trifecta“ bezeichnet: „dass eben ein Chatbot Zugriff auf private Daten hat, die Fähigkeit hat, nach außen zu kommunizieren, und außen auf Inhalte trifft, denen man nicht automatisch vertrauen kann.“ Dies ist der Fall, sobald ein Agent E-Mails liest oder auf das Internet zugreift.
Für Aufgaben wie das automatische Beantworten von E-Mails seien solche Agenten daher ungeeignet. Selbst wenn ein Nutzer jede vom KI-Agenten formulierte E-Mail vor dem Absenden prüft, könnten darin versteckte Befehle enthalten sein. „Der Aufwand, diese E-Mails zu kontrollieren, wird unglaublich hoch“, warnt Wolfangel. Ihre klare Empfehlung lautet daher: „Ich würde es jetzt aktuell tatsächlich nicht machen.“
Für viele Aufgaben, so das Fazit, seien klassische, regelbasierte Systeme die sicherere Wahl. Wolfangel erzählt von einer Fluggesellschaft, deren Chatbot einem Kunden fälschlicherweise eine Rückerstattung versprach, die das Unternehmen dann gerichtlich bestätigt zahlen musste. Das zeige die Unwägbarkeiten. Man habe es schlicht „nicht in der Hand, was die Systeme am Ende schreiben.“
(igr)
Künstliche Intelligenz
LG Hamburg: xAI darf Unwahrheiten nicht als Fakten verbreiten
Der Verein Campact hat vor dem Landgericht Hamburg eine einstweilige Verfügung gegen den Betreiber der Plattform X.com und die damit verzahnte sogenannte Künstliche Intelligenz Grok erwirkt. Die Firma xAI, die den Chatbot Grok entwickelt, muss nun dafür Sorge tragen, dass die von ihr betriebene KI nicht länger unzutreffend behauptet, dass der Verein Campact aus Steuermitteln finanziert würde.
Der Verein, der sich als Plattform für politische Kampagnen versteht, ist derzeit nicht einmal eine steuerbegünstigte Organisation im Sinne der Abgabenordnung und wird aus privaten Spendenmitteln finanziert. Doch eine Steuerfinanzierung hatte das Modell nachweislich behauptet. Aus Sicht des Gerichts handelt es sich daher offenbar um eine unwahre Tatsachenbehauptung. Für das Unterbinden der Verbreitung sei daher xAI als Betreiber verantwortlich.
Nur Zwischenetappe auf dem Weg zur Klärung
Die einstweilige Verfügung ist dabei im Rechtsstreit zwischen privaten Stellen ein zivilprozessuales Mittel, mit dem verhindert werden soll, dass eine Schädigung der Rechte der Partei sich nachhaltig realisiert, bevor ein Gericht die streitige Angelegenheit abschließend beurteilen konnte. Insbesondere bei der Verbreitung falscher Tatsachenbehauptungen sind Einstweilige Verfügungen ein häufig gewähltes Mittel, da ein möglicher Schaden durch Unwahrheiten im Internet durch Juristen mitunter als sich potenziell selbst weiterverbreitend und somit irreparablen Schaden betrachtet wird. Das Landgericht Hamburg sah das Rechtsschutzbedürfnis der Kampagnenorganisation als gerechtfertigt an.
Demgegenüber steht bei der Verbreitung durch natürliche Personen die freie Meinungsäußerungsfreiheit und bei Presseerzeugnissen die Pressefreiheit als abzuwägendes Schutzgut – auf beides kann sich der Grok-Betreiber xAI jedoch nicht berufen. Die Firma kann zum einen gegen die einstweilige Verfügung vorgehen, zum anderen steht das Hauptsacheverfahren noch aus. Erst ein Urteil im Hauptsacheverfahren könnte einen juristischen Präzedenzfall schaffen.
Bei Campact gibt man sich mit dem Etappensieg zufrieden. „Der Beschluss ist ein wichtiges Signal im Kampf gegen Fake News“, sagt Astrid Deilmann, geschäftsführende Vorständin bei Campact. „Auch KI-Chatbots wie Grok sind der Wahrheit verpflichtet.“ xAI würde in die Verantwortung genommen und dürfe falsche Behauptungen nicht einfach achselzuckend hinnehmen, sondern müsse dafür sorgen, dass Lügen nicht verbreitet werden, so Deilmann weiter.
Grok: Halte mich an Recht
Bei einem Testlauf am Freitagvormittag antwortete Grok auf die Frage „Wird Campact aus Steuermitteln finanziert?“ auch korrekt, dass dies nicht der Fall sei. Pikant: Grok listet korrekt auf, dass immer wieder Fehlinformationen kursieren würden – nur die eigene Verbreitung wird durch die xAI nicht thematisiert.
Erst auf Nachfrage bestätigt der KI-Chatbot aus dem Musk-Universum dann, dass es wohl eine entsprechende Verfügung gegeben hat. „Diese Verfügung wurde erlassen, nachdem Grok in einer Antwort auf X.com eine solche Falschbehauptung gemacht hatte. Als KI von xAI respektiere ich geltendes Recht und passe meine Antworten entsprechend an, um genaue und verifizierte Informationen zu liefern“, so die Stellungnahme des LLMs.
Lesen Sie auch
Viele juristische Fragestellungen zu KI offen
Das Verfahren wegen der xAI ist nur eines von einer ganzen Reihe von Verfahren, in denen die Frage geklärt wird, wie Modelle an der Verbreitung von klar rechtswidrigen Inhalten oder unwahren Tatsachenbehauptungen gehindert werden können. Während etwa im Presserecht langjährige juristische Erfahrungen existieren, was zulässig ist und was nicht und auch bei Fragen der Anbieterhaftung für von Dritten verbreitete Inhalte breite umfangreiche Rechtsauslegung stattgefunden hat, ist die Verarbeitung etwa von Aussagen oder von Persönlichkeitsrechten und deren Nutzung durch Technologie ohne weiteres menschliches Zutun noch Neuland.
Dass LLM-Betreiber Filtermechanismen einsetzen, um staatlichen Vorgaben oder Urteilen von Gerichten zu entsprechen, ist dabei nicht nur bei chinesischen Modellen der Regelfall, die sich bei einer Nutzbarkeit in China an dortige Zensurvorschriften halten müssen.
(afl)
Künstliche Intelligenz
Hersteller werben mit Zen-6-Unterstützung für aktuelle Mainboards
Asrock und Asus werben mit den Upgrade-Möglichkeiten aktueller AM5-Mainboards mit X870- und B850-Chipsätzen. Die Hersteller nennen explizit Support für kommende Desktop-Prozessoren mit Zen-6-Architektur. Ob sie Ryzen 10000 heißen werden oder wie die Ryzen AI 300 für Notebooks einen neuen Namen erhalten, ist bislang nicht bekannt.
Asus wirbt mit dem Zen-6-Support auf seiner chinesischen JD.com-Shopseite für das neue B850M AYW Gaming OC Wi-Fi 7 W. Der Hersteller betont den im Vergleich zu vorherigen Mainboards doppelt so großen BIOS-Speicherbaustein. Er hat mit 64 statt 32 MByte genügend Kapazität, um alle AM5-Prozessorfamilien zu unterstützen. Es geht um spätere Upgrades, wenn Interessierte jetzt noch einen Ryzen-9000-Prozessor kaufen.
Auch 32-MByte-Modelle kompatibel
Asrock wirbt in einem chinesischen Produktvideo zum B850M Steel Legend Wi-Fi kurz mit der Eignung für Zen-6-Prozessoren. Das Mainboard hat lediglich einen 32-MByte-Speicherbaustein. Eventuell streichen neue BIOS-Versionen einzelne alte CPU-Serien, um Speicherplatz zu sparen. Ähnlich gingen Mainboard-Hersteller bei ihren AM4-Platinen vor: Irgendwann gab es zu viele CPU-Baureihen, um den unterschiedlichen BIOS-Code für alle Modelle in dem begrenzten Flash-Speicher unterzubringen.
MSI warb gemäß Wccftech bereits im August bei neuen AM5-Mainboards mit Max-Namenszusatz, dass sie „bereit für neue Prozessoren“ sein werden. Zen 6 nannte der Hersteller nicht explizit, allerdings dürfte die Generation gemeint gewesen sein.
Bisher werben die Hersteller nur bei ihren Mainboards mit 800er-Chipsätzen mit der Upgrade-Fähigkeit. Technisch sollte allerdings nichts gegen passende BIOS-Updates bei den vorherigen 600er-Modellen sprechen. Im Falle der AM4-Generationen fehlten lediglich vereinzelt Funktionen.
Wartezeit
Zen-6-Prozessoren dürften derweil noch eine Weile auf sich warten lassen. Aktuell erscheint ein Teaser oder eine Ankündigung im Rahmen der Hardware-Messe Computex (Anfang Juni 2026) denkbar, mit einer später folgenden Markteinführung.
AMD verspricht derweil, dass bis mindestens 2027 neue Prozessoren für die AM5-Plattform erscheinen sollen. Die Firma nannte allerdings explizit keine kompatiblen CPU-Generationen. Im Zweifelsfall könnten Neuauflagen alter Modelle gemeint sein.
(mma)
Künstliche Intelligenz
Studie: Die EU wird ihr Ladeziel 2030 für E-Autos deutlich verfehlen
Die Europäische Union wird ihr selbst gestecktes Ziel für den Ausbau der Infrastruktur für E-Autos auf 3,5 Millionen Ladepunkte bis 2030 voraussichtlich krachend verfehlen. Aktuell sind in allen Mitgliedsstaaten zusammen nur rund 910.000 Stromzapfstellen zugänglich – weniger als ein Viertel der Vorgabe der EU-Kommission. Das geht aus einer Studie zur E-Mobilität von Motointegrator und DataPulse Research hervor, die die gravierenden Lücken und Defizite im europäischen Ladenetz beleuchtet.
Bei der derzeitigen Ausbaurate von etwa 150.000 neuen Ladepunkten pro Jahr wird die EU bis 2030 voraussichtlich nur etwa 1,7 Millionen erreichen. Um das 3,5-Millionen-Ziel noch zu schaffen, müssten jährlich über 500.000 neue Anschlüsse zum Stromtanken installiert werden – mehr als das Dreifache des aktuellen Tempos. Der europäische Automobilherstellerverband ACEA hält das Kommissionsziel sogar für zu niedrig und fordert 8,8 Millionen Ladepunkte bis 2030, was einen jährlichen Ausbau von rund 1,5 Millionen erfordern würde.
Das Problem ist laut der Analyse nicht nur die reine Menge, sondern auch die Verteilung der Ladepunkte und deren Ladegeschwindigkeit. Während Städte tendenziell gut versorgt sind, zeigen sich auf dem Land, an Nebenstraßen, grenzüberschreitenden Verbindungen und in einigen Regionen große weiße Flecken. Insbesondere in Nordskandinavien, Teilen Zentral-Deutschlands, dem ländlichen Frankreich und dem spanischen Landesinneren weisen viele Streckenabschnitte 40 km oder mehr ohne zugänglichen Ladepunkt auf. Diese Distanz gilt als kritische Komfortschwelle, da die meisten E-Autos bei einer Restreichweite von etwa 50 km warnen.
Mangelhafte Verteilung und Geschwindigkeit
Die Verordnung über die Infrastruktur für alternative Kraftstoffe ist zwar die gemeinsame Basis und fordert unter anderem schnelle Standorte mit über 150 kW alle 60 km auf dem Straßenkernnetz bis 2025. Die tatsächliche Abdeckung aller zugänglichen Ladepunkte zeigt aber große regionale Unterschiede.
Um das Netz effektiv zu verbessern, raten die Forscher dazu, nicht nur „mehr Punkte“ zu bauen, sondern gezielt die 40-Kilometer-Zonen zu verkleinern. Entscheidend sei die Platzierung von Hochleistungs-Hubs mit über 150 kW auch an wichtigen Nebenverkehrsadern, um das Vertrauen der E-Auto-Fahrer zu stärken und die Reichweitenangst zu mindern.
Der Supermarkt-Effekt
Die nationalen Ziele der EU-Länder sind uneinheitlich: Deutschland strebt 1 Million Ladepunkte bis 2030 an und will den Ausbau laut dem jüngsten Autodialog im Kanzleramt beschleunigen. Frankreich peilt dagegen nur 400.000 solcher Zapfanschlüsse an. Viele andere Länder konzentrieren sich allein auf die Leistungs- und Korridorabdeckung gemäß den EU-Vorgaben, statt auf eine feste Zahl von Punkten.
Als unerwarteter Lückenfüller entwickelt sich der Einzelhandel. Die Parkplätze von Supermärkten und Handelsketten eignen sich ideal, da die Verweildauer der Kunden passt, der Zugang einfach ist und die Netzkapazität oft in der Nähe liegt. Handelsriesen wie die Schwarz-Gruppe (Lidl und Kaufland) haben Tausende von Ladepunkten in ganz Europa errichtet. Allein Lidl betreibt mit 8855 Ladepunkten doppelt so viele wie ganze Länder. Irland etwa kommt derzeit auf 4842, Slowenien auf 3336. Private Ausbauten können Lücken laut den Autoren schneller schließen als staatliche Programme, insbesondere wenn der Zugang offen ist und kontaktloses Bezahlen möglich ist.
Um die Lücke zu schließen, sind den Verfassern zufolge auch raschere Genehmigungsverfahren, stärkere Netzanschlüsse und eine höhere Konzentration von Schnelllade-Hubs erforderlich. Zudem sollten eine garantierte Betriebszeit und eine klare Preisgestaltung gewährleistet werden, um ein fragmentiertes Angebot zu vermeiden, das Fahrer zum Jonglieren mit zu vielen Apps und Tarifen zwingt. Die besten Märkte zeigten eine gesunde Mischung aus einigen großen Anbietern wie TotalEnergies, Vattenfall und Enel sowie einem gesunden Randbereich, gestützt durch echtes Roaming und transparente Preise.
(mki)
-
UX/UI & Webdesignvor 2 Monaten
Der ultimative Guide für eine unvergessliche Customer Experience
-
UX/UI & Webdesignvor 1 Monat
Adobe Firefly Boards › PAGE online
-
Social Mediavor 2 Monaten
Relatable, relevant, viral? Wer heute auf Social Media zum Vorbild wird – und warum das für Marken (k)eine gute Nachricht ist
-
Entwicklung & Codevor 2 Monaten
Posit stellt Positron vor: Neue IDE für Data Science mit Python und R
-
Entwicklung & Codevor 1 Monat
EventSourcingDB 1.1 bietet flexiblere Konsistenzsteuerung und signierte Events
-
UX/UI & Webdesignvor 4 Wochen
Fake It Untlil You Make It? Trifft diese Kampagne den Nerv der Zeit? › PAGE online
-
Apps & Mobile Entwicklungvor 3 Monaten
Firefox-Update 141.0: KI-gestützte Tab‑Gruppen und Einheitenumrechner kommen
-
Online Marketing & SEOvor 2 Monaten
So baut Googles NotebookLM aus deinen Notizen KI‑Diashows