AI Recommendation Poisoning: Versteckte Prompt-Injections in „Ask AI“-Buttons auf Websites

Kurzfassung

Auf kommerziellen Websites taucht eine neue Form von Prompt Injection auf. Angreifer verstecken Anweisungen in vorbefüllten Deep Links hinter Schaltflächen wie „Ask AI“. Der Knackpunkt: Dafür braucht es weder Malware noch gestohlene Zugangsdaten oder eine neu entdeckte Schwachstelle.

Für Unternehmen ist das vor allem dann relevant, wenn Kunden, Mitarbeiter oder Support-Teams auf KI-Assistenten mit solchen Links reagieren. Wer Inhalte aus Webseiten, Vergleichsseiten oder Marketingflächen in Assistenten übernehmen lässt, öffnet damit ein Einfallstor für Manipulationen. Ob daraus eine echte Persistenz im „Gedächtnis“ des Modells entsteht, lässt die Quelle nur angerissen erkennen.

Was ist passiert?

Die beobachtete Technik nutzt eine Standardfunktion vieler KI-Assistenten aus: vorgefüllte Deep Links. Auf Websites werden in unsichtbaren oder schwer erkennbaren Bereichen Prompt-Injection-Payloads eingebettet. Klickt ein Nutzer auf einen „Ask AI“-Button, landet nicht nur eine harmlose Anfrage beim Assistenten, sondern auch fremder Steuertext.

Die Angreifer setzen damit auf Social Engineering im Gewand einer Komfortfunktion. Der Nutzer glaubt, eine legitime Hilfefunktion zu starten. Tatsächlich übergibt er dem Assistenten Anweisungen, die das Antwortverhalten beeinflussen können.

Technische Details

Die Quelle beschreibt eine Klasse von Angriffen, die sich auf eingebettete Deep Links stützt. Diese Links werden mit Prompt-Injection-Inhalten vorbereitet und auf Produktionswebsites platziert, etwa auf Marketingseiten oder Vergleichsseiten von Wettbewerbern. Der Angriff braucht keinen klassischen Exploit gegen den Browser, kein kompromittiertes Konto und kein Schadprogramm auf dem Endgerät.

Technisch läuft das über die Art, wie viele Assistenten Eingaben aus Links, Konfigurationen oder vorbefüllten Feldern verarbeiten. Sobald der Assistent den Inhalt übernimmt, kann er ihn als Teil der Nutzeranfrage interpretieren. Der Begriff „Recommendation Poisoning“ deutet darauf hin, dass die Angreifer gezielt Antworten, Empfehlungen oder interne Zustände des Assistenten verzerren wollen. Wie breit sich das auf verschiedene kommerzielle KI-Systeme übertragen lässt, bleibt offen.

Wer ist betroffen?

Direkt betroffen sind Betreiber von Websites, die „Ask AI“-Buttons, Chat-Integrationen oder ähnliche Komfortfunktionen einsetzen. Das gilt besonders für Marketing-, Produkt- und Vergleichsseiten, auf denen externe Inhalte in Assistentenflüsse eingespeist werden. Auch Unternehmen in DACH, die generative KI in Support, Vertrieb oder Wissensportalen verwenden, sollten genauer hinsehen.

Für Endnutzer ist das Risiko vor allem indirekt. Wer einen solchen Button anklickt, kann die KI dazu bringen, manipulierte Antworten auszugeben. Für Privatnutzer wird es dann kritisch, wenn der Assistent sensible Entscheidungen vorbereitet, etwa bei Kaufberatung, Produktvergleich oder interner Wissenssuche.

Empfohlene Maßnahmen

Admins sollten zuerst prüfen, ob ihre Websites oder eingebetteten Assistenten vorbefüllte Deep Links nutzen. Wenn ja, gehören diese Stellen auf versteckte Parameter, URL-Fragmenten und eingebettete Instruktionen getestet. Inhalte aus Marketingseiten sollten nicht ungefiltert in den Systemkontext eines Assistenten wandern.

Praktisch heißt das: Eingaben strikt trennen, Kontextquellen whitelisten und jede externe Übergabe bereinigen. Wenn ein „Ask AI“-Button vorhanden ist, sollte er nur klar definierte, harmlose Metadaten übergeben. Sicherheitsverantwortliche sollten außerdem Logging und Monitoring aktivieren, um ungewöhnliche Prompt-Muster zu erkennen. Wer KI-gestützte Empfehlungen produktiv nutzt, braucht dafür Missbrauchsprüfungen wie bei jedem anderen externen Input auch.

Einschätzung von CyberSecurity-News.de

Der Fall zeigt ein ärgerliches Muster: Viele Unternehmen bauen KI-Funktionen ein, ohne die Eingabekette sauber zu kontrollieren. Genau dort schlägt dieser Angriff zu. Das ist weniger spektakulär als ein Zero-Day, aber im Alltag oft wirksamer, weil die Schwachstelle im Prozess liegt und nicht im Patch-Management.

Die Quellenlage wirkt noch dünn. Es ist klar, dass die Technik existiert und praktisch missbraucht werden kann. Offen bleibt aber, wie weit die Auswirkungen auf echte „Memory“-Mechanismen von LLMs reichen und welche Systeme konkret betroffen sind. Wer KI im Unternehmen einsetzt, sollte das Thema trotzdem ernst nehmen. Nicht aus Panik, sondern weil sich solche Angriffe sehr leicht in bestehende Web-Workflows einschleusen lassen.

Fazit

„Ask AI“-Buttons sind bequem. Genau das macht sie angreifbar. Wo vorbefüllte Links in Assistenten fließen, können fremde Anweisungen das Ergebnis verfälschen.

Für Unternehmen heißt das: KI-Funktionen wie jede andere Eingabeschnittstelle behandeln, nicht wie eine Spielerei. Wer jetzt die eigene Website, die Link-Parameter und die Übergabe an LLMs prüft, reduziert das Risiko spürbar.