Sicherheitslücke bei Google Gemini: ASCII-Smuggling-Angriffe & Risiken für KI-Systeme

Inhaltsverzeichnis:

1. KI trifft auf IT-Sicherheitsrealität

2. Was ist ASCII überhaupt?

3. Wie der Angriff funktioniert

4. Googles Haltung: Kein Fix geplant

5. Vergleich mit anderen KI-Systemen

6. Risiken für Nutzer:innen und Unternehmen

7. Prävention: So kannst du dich schützen

8. Mein Fazit: Vertrauen braucht Sicherheit

KI trifft auf IT-Sicherheitsrealität

Am Anfang Oktober wurde bekannt, dass Google eine Sicherheitslücke in seinem KI-Modell Gemini nicht beheben wird, obwohl sie potenziell Angriffe über ASCII-Smuggling ermöglicht. Sicherheitsforscher:innen hatten aufgedeckt, dass Angreifer unsichtbare Steuerzeichen in Texte einbetten können, die von der KI als Befehle interpretiert werden. Das Problem betrifft dabei nicht nur Gemini selbst, sondern die zunehmende Verknüpfung von KI mit E-Mail, Kalender- und Office-Systemen. Die Entscheidung Googles, den Exploit nicht aktiv zu patchen, sorgt in der Sicherheits-Community für Kritik.

Was ist ASCII überhaupt?

ASCII (American Standard Code for Information Interchange) ist ein Standard-Zeichensatz, der seit den 1960er-Jahren für die Darstellung von Text in Computern verwendet wird. Jeder Buchstabe, jede Zahl oder jedes Symbol wird in einen numerischen Code übersetzt.

Der Trick beim sogenannten ASCII-Smuggling: Angreifer fügen unsichtbare Zeichen, etwa Steuerzeichen oder nicht druckbare Unicode-Elemente in Texte ein. Diese sind für Menschen nicht sichtbar, aber für Sprachmodelle wie Gemini oder ChatGPT interpretierbar.

Wie der Angriff funktioniert

Die Forscher:innen von BleepingComputer zeigen, dass beim ASCII-Smuggling sogenannte „Zero-Width Characters“ (z. B. Zero Width Space oder Non-Joiner) verwendet werden. Diese Zeichen haben im Text keinen sichtbaren Effekt, können aber genutzt werden, um versteckte Eingabeaufforderungen oder Befehle zu transportieren.

Das bedeutet konkret:

• Eine E-Mail mit einem scheinbar harmlosen Text kann versteckte KI-Kommandos enthalten.

• Gemini könnte diese „lesen“ und ungewollte Antworten oder Aktionen ausführen.

• Besonders gefährlich wird das in Verbindung mit Google Workspace, da dort E-Mails, Dokumente und Kalender verknüpft sind.

Googles Haltung: Kein Fix geplant

Laut den Berichten von SEO Südwest und BleepingComputer hält Google die Schwachstelle nicht für sicherheitsrelevant.  Man sehe sie lediglich als potenzielles Social-Engineering-Problem, das durch „vorsichtige Nutzung“ vermieden werden könne. Sicherheitsforscher:innen wie Viktor Markopoulos (FireTail) kritisieren diese Haltung scharf. Sie argumentieren, dass Angriffe über ASCII-Smuggling nicht hypothetisch, sondern praktisch ausnutzbar seie, insbesondere wenn Gemini in produktive Umgebungen eingebunden wird.

Vergleich mit anderen KI-Systemen

Andere große KI-Plattformen reagieren hier strenger:

• OpenAI (ChatGPT) nutzt Prompt-Sanitization, das unsichtbare Zeichen herausfiltert.

• Anthropic (Claude) prüft alle Eingaben auf ungewöhnliche Unicode-Sequenzen.

• Microsoft Copilot verwendet zusätzliche Sicherheitsscans auf Azure-Ebene.

Gemini hingegen arbeitet aktuell mit einer minimalen Eingabebereinigung, was das Risiko erhöht, dass unsichtbare Zeichen unentdeckt bleiben.

Risiken für Nutzer:innen und Unternehmen

1. Manipulierte KI-Antworten: Angreifer könnten Modelle gezielt beeinflussen, um falsche Informationen auszugeben.

2. Datenmissbrauch: Über ASCII-Kommandos ließen sich theoretisch Informationen aus einem Workspace-Konto abfragen oder an andere Dienste weitergeben.

3. Image- und Reputationsschäden: Unternehmen, die KI-Systeme ohne zusätzliche Sicherheitsfilter einsetzen, laufen Gefahr, Opfer indirekter Angriffe zu werden.

Prävention: So kannst du dich schützen

Auch wenn Google selbst keinen Fix anbietet, können Nutzer:innen und Organisationen Maßnahmen treffen:

• Eingaben prüfen und vorfiltern: Texte, die von externen Quellen stammen, sollten durch Input-Sanitization-Filter laufen. Tools wie OWASP Text Sanitizer oder eigene Unicode-Filter helfen dabei.

• Sicherheitsgrenzen setzen: KI-Systeme sollten keinen direkten Zugriff auf produktive Systeme wie E-Mails oder Kalendereinträge erhalten.

• Nutzung von API-Firewalls: Diese können manipulierte Datenpakete erkennen und blockieren.

• Bewusstsein schaffen: Entwickler:innen und Marketing-Teams sollten geschult werden, wie solche Angriffe funktionieren und wie man sie erkennt.

Mein Fazit: Vertrauen braucht Sicherheit

Der ASCII-Smuggling-Vorfall zeigt, dass KI-Sicherheit und auch digitale Sicherheit von großen Plattformen nicht nur ein technisches, sondern auch ein strategisches Thema ist. Google riskiert mit seiner Entscheidung, keinen Patch zu liefern, nicht nur Kritik, sondern auch Vertrauensverlust in Gemini als Unternehmenslösung. In Zukunft wird entscheidend sein, wie offen Anbieter mit Schwachstellen umgehen und wie proaktiv Unternehmen ihre Systeme absichern.