Zusammenfassung
Im August 2025 veröffentlichten die Sicherheits- und Datenschutzforschenden von Brave eine Analyse von Comet, dem Browser von Perplexity mit eingebautem KI-Agenten. Sie berichteten eine Schwäche für indirekte Prompt Injection in der Art, wie Comet Webseiteninhalte für den Agenten verarbeitete: Bat eine Person den Agenten, mit einer Seite zu arbeiten, konnten Inhalte dieser Seite sein Verhalten lenken, während er im angemeldeten Browser der Person agierte.
Dieser Eintrag ist ein Red-Team-Befund. Er dokumentiert eine kontrollierte Demonstration von Forschenden, keine beobachteten Angriffe auf Comet-Nutzende.
Einordnung und Evidenzstatus
| Feld | Wert |
|---|---|
| Record-Typ | Red-Team-Befund |
| Öffentliche Offenlegung | 2025-08-20 |
| Hersteller / Produkt | Perplexity / Comet |
| Angriffsklasse | Indirekte Prompt Injection |
| Eintragsweg | Webinhalte - vom Angreifer kontrollierte Inhalte auf einer Webseite, die der Browser-Agent auf Wunsch der Nutzenden verarbeitet |
| Betroffene Daten / Fähigkeiten | Angemeldete Browsersitzungen und Aktionen, die der Comet-Agent im Namen der Nutzenden ausführen konnte |
| Demonstrierte Wirkung | In der Demonstration der Forschenden wurde der Agent dazu gelenkt, auf sensible Informationen zuzugreifen und außerhalb der zusammengefassten Seite zu handeln |
| Ausnutzung in freier Wildbahn | Keine Ausnutzung in freier Wildbahn in den zitierten Quellen berichtet. Die Offenlegung beschreibt nur eine kontrollierte Forschungsdemonstration. |
| Behebungsstatus | Unbekannt. Braves Zeitleiste berichtet von einer ersten Behebung durch Perplexity, von Nachtests, die sie als unvollständig erwiesen, und von einem späteren Hinweis, dass die Angriffsklasse nach der Veröffentlichung weiterhin nicht vollständig entschärft war und erneut gemeldet wurde. Aktueller Status des Produkts: unbekannt. |
| Kennungen | Keine Kennung angegeben |
| Externe Bewertung | Keine externe Bewertung angezeigt |
Betroffenes System und Vertrauenspfad
Ein agentischer Browser vereint zwei sehr unterschiedliche Dinge in einem Kontext: die Seite, nach der gefragt wird, also variable Inhalte beliebiger Websites, und die eigene Autorität der Nutzenden einschließlich aktiver Sitzungen auf anderen Websites. Wenn Seiteninhalte beeinflussen können, welche Aktionen der Agent ausführt, leiht sich Text Dritter faktisch die angemeldeten Fähigkeiten der Nutzenden. Vertraute Isolationsannahmen des Webs, nach denen eine Website nicht für eine andere handeln kann, gelten für einen websiteübergreifend handelnden Agenten nicht automatisch.
Angriffskette im Überblick
Im Überblick: Vom Angreifer kontrollierte Inhalte werden auf einer Webseite platziert. Die Person bittet den Browser-Agenten, mit dieser Seite zu arbeiten. Die Inhalte gelangen neben der Anfrage der Person in den Kontext des Agenten. Der Agent wird dazu gebracht, angemeldete Browserfähigkeiten über die Aufgabe hinaus zu nutzen. Das kann zum Zugriff auf sensible Informationen oder zu deren Offenlegung führen.
Dieser Eintrag gibt weder wieder, wie Inhalte auf der Seite versteckt wurden, noch Anweisungswortlaute oder die konkrete Abfolge der Browseraktionen.
Demonstrierte Wirkung und beobachtete Ausnutzung
Demonstriert: Im kontrollierten Test der Forschenden lenkten Seiteninhalte den Agenten dazu, auf sensible Informationen zuzugreifen und Aktionen außerhalb der zusammengefassten Seite auszuführen.
Gegen reale Nutzende beobachtet: in der zitierten Quelle nichts berichtet. Die Lenkung des Agenten ist Modelleinfluss; die Sicherheitsfolge entstand, weil der Agent die angemeldeten Browserfähigkeiten der Nutzenden ohne eine an die tatsächliche Anfrage gebundene Grenze besaß.
Begünstigende Kontrolllücken
- Webseiteninhalte und die Anfrage der Nutzenden teilten sich einen Kontext, ohne dass eine Unterscheidung den Einfluss der Seite auf Aktionen begrenzte.
- Der Agent konnte angemeldete Sitzungen auf anderen Websites nutzen, ohne dass die Autorisierung an den Umfang der Aufgabe gebunden war.
- Sensible Aktionen und Datenflüsse waren nicht durch eine ausdrückliche, aktionsbezogene Bestätigung abgesichert.
Reaktion von Hersteller und Forschenden
Laut Braves Zeitleiste wurde das Problem am 2025-07-25 an Perplexity gemeldet. Perplexity bestätigte es und setzte am 2025-07-27 eine erste Behebung um; Nachtests zeigten, dass diese unvollständig war, und abschließende Tests am 2025-08-13 schienen zunächst eine Behebung zu belegen. Brave ergänzte den Artikel später um den Hinweis, dass weitere Tests nach der Veröffentlichung die Angriffsklasse als nicht vollständig entschärft zeigten und sie erneut gemeldet wurde. Dieser Eintrag verwendet daher den Status "Unbekannt": Die Quelle dokumentiert einen unvollständigen oder unsicheren Stand zum Veröffentlichungszeitpunkt und belegt nicht den aktuellen Zustand des Produkts.
Nachweise, die Verteidiger sichern sollten
- Soweit verfügbar, der Navigations- und Aktionsverlauf des Browser-Agenten, verknüpft mit der Anfrage, die jede Aufgabe gestartet hat.
- Herkunft der Seiteninhalte, die für jede Aufgabe in den Kontext des Agenten gelangten.
- Aufzeichnungen über Agentenaktionen auf anderen Websites als der angefragten, einschließlich Konto- und Einstellungsänderungen.
- Ausgehende Anfragen und Formularübermittlungen des Agenten an Ziele, die mit der ursprünglichen Aufgabe nichts zu tun hatten.
Lehren für die Abwehr
- Agentenautorisierung: Die Berechtigungen des Agenten an die genannte Aufgabe binden statt an die volle Autorität der Browsersitzung.
- Least Privilege: Agentisches Browsen nach Möglichkeit von Sitzungen auf sensiblen Websites trennen.
- Informationsflusskontrolle: Verhindern, dass Daten aus einer Herkunft oder einem Konto zu Zielen fließen, die die Aufgabe nicht erfordert.
- Datenprovenienz: Seiteninhalte als Daten Dritter gekennzeichnet halten, damit sie nicht als Anweisung der Nutzenden gelten.
- Human-in-the-Loop: Für sensible Aktionen eine Bestätigung mit Anzeige der konkreten Aktion verlangen und dabei beachten, dass Zustimmung keine Autorisierung ist.
Verwandte Lernthemen
- AI Agents und Tool Calling - Wie Modellvorschläge zu Aktionen werden: der Tool-Calling-Kreislauf, Verfügbarkeit und Berechtigung, Autorisierung zur Laufzeit, Freigabe, Tool-Ergebnisse als variable Daten und Audit.
- Vertrauensgrenzen und Modellkontext - Was modellsichtbarer Kontext ist, warum Position kein Vertrauen erzeugt und warum Kontrollen außerhalb des Modells liegen.