Gemini ASCII-Smuggling: Risiko für KI-Systeme

KI trifft auf Sicherheitsrealität

Anfang Oktober wurde bekannt, dass Google eine Schwachstelle in seinem KI-Modell Gemini nicht beheben wird – obwohl sie Angriffe über sogenanntes ASCII-Smuggling ermöglicht.

Sicherheitsforscher:innen haben gezeigt, dass sich unsichtbare Zeichen in Texte einbetten lassen, die von der KI als Befehle interpretiert werden. Das Problem betrifft dabei nicht nur Gemini selbst, sondern vor allem die zunehmende Verknüpfung von KI mit Tools wie E-Mail, Kalender oder Dokumenten.

Genau hier wird es kritisch.

Was hinter ASCII-Smuggling steckt

ASCII ist ein standardisierter Zeichensatz, der seit Jahrzehnten verwendet wird, um Text in Computern darzustellen. Jedes Zeichen wird dabei als Code gespeichert.

Beim ASCII-Smuggling machen sich Angreifer unsichtbare Zeichen zunutze – sogenannte „Zero-Width Characters”. Diese sind für Menschen nicht sichtbar, werden von KI-Systemen aber trotzdem verarbeitet.

Das Ergebnis: Ein scheinbar harmloser Text kann versteckte Anweisungen enthalten.

Wie der Angriff konkret funktioniert

Angreifer platzieren unsichtbare Zeichen in Texten, zum Beispiel in E-Mails oder Dokumenten.

Für den Menschen sieht alles normal aus. Für die KI jedoch entsteht ein zusätzlicher „Prompt”, der interpretiert wird.

Das kann dazu führen, dass:

Antworten manipuliert werden
falsche Informationen generiert werden
interne Daten indirekt abgefragt werden

Besonders kritisch wird das, wenn KI direkt mit produktiven Systemen wie Google Workspace verbunden ist.

Was der Mensch sieht

Ein scheinbar harmloser Text, etwa in einer E-Mail oder einem Dokument.
Keine sichtbaren Auffälligkeiten — für Menschen sind die Zeichen nicht sichtbar.

Was die KI liest

Zero-Width Characters werden trotzdem verarbeitet.
Ein zusätzlicher „Prompt" entsteht, den die KI interpretiert.
Antworten können manipuliert oder interne Daten indirekt abgefragt werden.

Derselbe Text erzeugt zwei völlig unterschiedliche Wahrnehmungen — sichtbar für den Menschen, unsichtbar bis wirksam für die KI.

Googles Entscheidung sorgt für Kritik

Google stuft die Schwachstelle aktuell nicht als sicherheitskritisch ein. Statt eines technischen Fixes verweist das Unternehmen auf vorsichtige Nutzung.

In der Security-Community stößt das auf deutliche Kritik. Denn: Das Problem ist nicht theoretisch – es ist praktisch nutzbar. Gerade in Unternehmensumgebungen entsteht dadurch ein reales Risiko.

Wie andere KI-Anbieter reagieren

Andere Anbieter gehen deutlich strenger vor:

OpenAI filtert unsichtbare Zeichen aktiv heraus
Anthropic prüft Eingaben auf ungewöhnliche Unicode-Strukturen
Microsoft setzt zusätzliche Sicherheitslayer auf Systemebene ein

Gemini hingegen arbeitet aktuell mit vergleichsweise wenig Input-Filterung.

Andere KI-Anbieter

OpenAI filtert unsichtbare Zeichen aktiv heraus.
Anthropic prüft Eingaben auf ungewöhnliche Unicode-Strukturen.
Microsoft setzt zusätzliche Sicherheitslayer auf Systemebene ein.

Google Gemini

Vergleichsweise wenig Input-Filterung.
Die Schwachstelle gilt aktuell nicht als sicherheitskritisch.
Statt eines technischen Fixes verweist Google auf vorsichtige Nutzung.

Während andere Anbieter aktiv filtern und prüfen, verweist Google bei Gemini auf vorsichtige Nutzung statt auf einen Fix.

Warum das für Unternehmen relevant ist

Das Thema betrifft nicht nur Entwickler oder IT-Teams. Sobald KI in Prozesse integriert wird, entstehen neue Angriffsflächen:

Manipulierte Inhalte können Entscheidungen beeinflussen
Daten könnten unbeabsichtigt weitergegeben werden
Vertrauen in Systeme wird untergraben

Und genau das ist das eigentliche Problem.

Wie du dich schützen kannst

Auch ohne offiziellen Fix gibt es klare Maßnahmen:

Externe Inhalte vor der Verarbeitung filtern
KI-Zugriffe auf sensible Systeme begrenzen
Eingaben technisch validieren (z. B. Unicode-Filter)
Teams für solche Angriffsarten sensibilisieren

KI ist nur so sicher wie das System, in dem sie eingesetzt wird.

Fazit: KI braucht klare Grenzen

Der Fall rund um Gemini zeigt vor allem eines: Technologie allein reicht nicht. Ohne klare Sicherheitsmechanismen wird aus Effizienz schnell ein Risiko.

Wenn du KI in deinem Unternehmen einsetzt, brauchst du nicht nur gute Tools – sondern auch ein System, das kontrollierbar bleibt.

Häufige Fragen

Was ist ASCII-Smuggling bei KI-Systemen?

Beim ASCII-Smuggling betten Angreifer unsichtbare Zeichen — sogenannte Zero-Width Characters — in Texte ein. Für Menschen sind sie nicht sichtbar, KI-Systeme verarbeiten sie aber trotzdem. So kann ein scheinbar harmloser Text versteckte Anweisungen an die KI enthalten.

Warum behebt Google die Sicherheitslücke in Gemini nicht?

Google stuft die Schwachstelle aktuell nicht als sicherheitskritisch ein und verweist statt eines technischen Fixes auf vorsichtige Nutzung. In der Security-Community stößt das auf Kritik, weil das Problem praktisch nutzbar ist und gerade in Unternehmensumgebungen ein reales Risiko entsteht.

Welches Risiko entsteht für Unternehmen durch ASCII-Smuggling?

Sobald KI in Prozesse integriert wird, entstehen neue Angriffsflächen: Manipulierte Inhalte können Entscheidungen beeinflussen, Daten könnten unbeabsichtigt weitergegeben werden, und das Vertrauen in die Systeme wird untergraben. Besonders kritisch ist die direkte Anbindung an produktive Systeme wie Google Workspace.

Wie kann ich mein Unternehmen vor ASCII-Smuggling schützen?

Auch ohne offiziellen Fix gibt es klare Maßnahmen: externe Inhalte vor der Verarbeitung filtern, KI-Zugriffe auf sensible Systeme begrenzen, Eingaben technisch validieren — etwa über Unicode-Filter — und Teams für solche Angriffsarten sensibilisieren.

Wie gehen andere KI-Anbieter wie OpenAI und Anthropic mit dem Problem um?

Andere Anbieter gehen strenger vor: OpenAI filtert unsichtbare Zeichen aktiv heraus, Anthropic prüft Eingaben auf ungewöhnliche Unicode-Strukturen, und Microsoft setzt zusätzliche Sicherheitslayer auf Systemebene ein. Gemini arbeitet aktuell mit vergleichsweise wenig Input-Filterung.

Google Gemini: ASCII-Smuggling-Angriffe & Risiken für KI-Systeme