DeepKeep entdeckt “InkJect”, einen neuen AI-Angriff, der bösartige Anweisungen in Bildern versteckt

Da Unternehmen schnell multimodale KI-Systeme einführen, die sowohl Text als auch Bilder verstehen können, entdecken Sicherheitsforscher, dass diese leistungsstarken neuen Fähigkeiten gleichzeitig neue, hochentwickelte Angriffsoberflächen einführen. Das israelische Unternehmen für KI-Sicherheit DeepKeep hat eine zuvor unveröffentlichte visuelle Prompt-Injektionstechnik namens InkJect vorgestellt, die zeigt, dass versteckte Anweisungen, die in scheinbar harmlosen Bildern eingebettet sind, führende Vision-Language-Modelle (VLMs) manipulieren und viele der Sicherheitsmechanismen umgehen können, die traditionelle Prompt-Injektionsangriffe stoppen sollen.

Laut DeepKeeps Forschung betrifft die Schwachstelle mehrere der fortschrittlichsten multimodalen Modelle der heutigen Zeit, darunter OpenAIs GPT-5.2 und GPT-5.4 Mini sowie Anthropics Claude Sonnet 4.6 und Claude Opus 4.5. Die Ergebnisse zeigen eine signifikante Blindheit in der KI-Sicherheit: Während die Branche stark in den Schutz von textbasierten Interaktionen investiert hat, wurde dem visuellen Verständnisschicht, die moderne KI-Systeme immer mehr antreibt, viel weniger Aufmerksamkeit geschenkt.

Eine neue Evolution der Prompt-Injektion

Traditionelle Prompt-Injektionsangriffe versuchen, ein KI-Modell durch sorgfältig erstellten Text zu manipulieren, der die ursprünglichen Anweisungen überschreibt. In den letzten zwei Jahren haben führende KI-Anbieter stark in Schutzmechanismen investiert, die diese Angriffe erkennen, bevor die Modelle darauf reagieren können.

InkJect geht einen ganz anderen Weg. Anstatt direkt durch Text zu kommunizieren, verstecken Angreifer bösartige Anweisungen in Bildern, die Teil des normalen Arbeitsablaufs der KI werden. Diese Bilder können in öffentlichen GitHub-Repositorys, Dokumentationsseiten, Design-Assets, Diagrammen oder anderen visuellen Ressourcen gespeichert sein, die KI-Coding-Assistenten und autonome Agenten routinemäßig abrufen, während sie legale Aufgaben ausführen. Aus der Sicht des Benutzers scheint nichts Ungewöhnliches vorzufallen. Die KI verarbeitet das Bild einfach als weitere Kontextinformation, ohne zu merken, dass es auch versteckte Befehle enthält.

Ausnutzung der Fähigkeit der KI, zu sehen

Was InkJect besonders effektiv macht, ist, dass es eines der neuesten Funktionen in modernen KI-Systemen ins Visier nimmt: das visuelle Verständnis.

Vision-Language-Modelle führen eine fortschrittliche optische Zeichenerkennung durch, um Bilder zu interpretieren, was es ihnen ermöglicht, Text zu lesen, der in Diagrammen, Screenshots, Fotografien und Benutzeroberflächen eingebettet ist. DeepKeep entdeckte, dass diese Fähigkeiten oft diejenigen traditioneller OCR-basierter Sicherheitswerkzeuge übersteigen, die zum Überprüfen von hochgeladenen Bildern verwendet werden.

Die Forscher demonstrierten, dass bösartige Anweisungen mithilfe von Techniken wie weißem Text auf weißem Hintergrund, extrem niedrigem Kontrast, Perspektivverzerrung und verformter Typografie versteckt werden können. Während bestehende Sicherheits-Scanner häufig nicht in der Lage waren, diese versteckten Befehle zu erkennen, interpretierten die KI-Modelle sie ohne Schwierigkeiten. Dies schafft eine gefährliche Diskrepanz, bei der die Sicherheitssoftware zu dem Schluss kommt, dass ein Bild harmlos ist, während die KI stillschweigend Anweisungen extrahiert und ausführt, die sowohl für den Scanner als auch für den menschlichen Benutzer unsichtbar sind.

Indirekte Prompt-Injektion macht die Bedrohung noch gefährlicher

Im Gegensatz zu vielen Cyberangriffen, die direkten Zugriff auf ein Ziel-System erfordern, verlässt sich InkJect auf das, was Forscher als indirekte Prompt-Injektion bezeichnen. Anstatt ein bösartiges Bild direkt in eine KI-Anwendung hochzuladen, platziert ein Angreifer das Bild einfach in einem öffentlich zugänglichen Repository oder einer Online-Ressource.

Später, wenn ein Entwickler eine KI-Assistentin auffordert, eine Funktion mithilfe dieses Repositorys oder seiner Inhalte zu erstellen, ruft das Modell das Bild automatisch als Teil seines normalen Arbeitsablaufs ab. Versteckte Anweisungen werden zusammen mit legitimen Projektressourcen verarbeitet, ohne dass der Entwickler jemals realisiert, dass zusätzliche Befehle in das Gespräch eingetreten sind.

Diese Angriffsmethode ist besonders besorgniserregend, da moderne KI-Agenten zunehmend externe Ressourcen autonom abrufen. Jedes öffentliche Repository, jede Dokumentationsseite oder jede geteilte Ressource kann zu einem weiteren Weg werden, auf dem bösartige Anweisungen ein KI-System erreichen können.

Eine einfache Codierungsanfrage mit schwerwiegenden Konsequenzen

DeepKeep veranschaulichte die Auswirkungen mithilfe eines Szenarios der Softwareentwicklung, das völlig routinemäßig erscheint.

Ein Entwickler wies eine KI-Coding-Assistentin an, eine grundlegende Informations-Webseite zu generieren. Unbekannt für den Entwickler enthielt eines der referenzierten Bilder versteckte Anweisungen. Anstatt nur die angeforderte Webseite zu produzieren, fügte die KI stillschweigend ein voll funktionsfähiges Mitglieder-Login-System hinzu, komplett mit Administrator-Zugangsdaten und Backend-Authentifizierungslogik.

Die Webseite funktionierte genau wie erwartet, gab dem Entwickler keinen Grund, zu vermuten, dass zusätzlicher Code hinzugefügt worden war. Ohne eine detaillierte Sicherheitsprüfung könnte die unbefugte Hintertür leicht in die Produktion eingeführt worden sein, was Angreifern administrative Zugriffsrechte verschafft hätte, die niemand bewusst angefordert hatte.

Die Demonstration zeigt, wie sich die visuelle Prompt-Injektion von früheren KI-Angriffen unterscheidet. Anstatt lediglich Chatbot-Antworten zu beeinflussen, können versteckte visuelle Anweisungen generierten Code manipulieren, Sicherheitslücken einführen, autonome Arbeitsabläufe ändern und möglicherweise Unternehmenssysteme gefährden.

Warum bestehende KI-Schutzmechanismen den Angriff verpassen

Die Forschung unterstreicht eine architektonische Schwäche in der heutigen KI-Sicherheitslandschaft. Die meisten kommerziellen Schutzmechanismen wurden um die Inspektion von Text-Prompts vor dem Erreichen des Modells herum entwickelt. Als Ergebnis sind Organisationen zunehmend effektiv darin geworden, bösartige schriftliche Anweisungen zu erkennen.

Visuelle Eingaben folgen jedoch oft einer völlig anderen Verarbeitungspipeline.

DeepKeep fand heraus, dass mehrere führende Modelle identische Angriffe ablehnten, wenn sie als Text präsentiert wurden, aber akzeptierten, wenn dieselben Anweisungen in einem Bild eingebettet waren. Angreifer können somit Schutzmechanismen einfach dadurch umgehen, dass sie das Medium ändern, durch das Anweisungen übermittelt werden.

Da multimodale KI zur Standard-Schnittstelle für Unternehmensanwendungen wird, wird diese Unterscheidung immer wichtiger. Sicherheitssysteme können nicht länger davon ausgehen, dass gefährliche Anweisungen nur über Text eintreffen.

Warum Unternehmen aufpassen sollten

Der Zeitpunkt von DeepKeeps Forschung spiegelt eine viel größere Verschiebung wider, die derzeit in der Unternehmens-KI im Gange ist. Branchenprognosen deuten darauf hin, dass multimodale Systeme, die in der Lage sind, Bilder, Dokumente, Videos und Text zu verstehen, in Softwareentwicklung, Finanzdienstleistungen, Gesundheitswesen, Fertigung, Kundensupport und Geschäftsautomatisierung zur Norm werden.

Im Gegensatz zu Consumer-Chatbots operieren viele Unternehmens-KI-Systeme mit erhöhten Rechten. Sie rufen proprietäre Dokumentationen ab, schreiben Software, führen Code aus, rufen APIs auf, interagieren mit Cloud-Infrastrukturen, analysieren vertrauliche Dokumente und treffen immer mehr Entscheidungen im Namen der Benutzer. Versteckte Anweisungen, die in visuellem Inhalt eingebettet sind, stellen daher mehr dar als nur eine akademische Kuriosität – sie einführen eine neue Kategorie von Unternehmens-Cyber-Sicherheitsrisiken, die realweltliche Systeme beeinflussen können.

DeepKeeps Ansatz zur KI-Sicherheit

Gegründet im Jahr 2021, hat sich DeepKeep ausschließlich auf die Sicherung von KI während ihres gesamten Lebenszyklus konzentriert, von der Modellbewertung und -prüfung bis hin zur Bereitstellung und Laufzeit-Schutz. Anstatt sich ausschließlich auf große Sprachmodelle zu konzentrieren, ist die Plattform des Unternehmens darauf ausgelegt, multimodale KI-Systeme, autonome KI-Agenten, Computer-Vision-Anwendungen und Unternehmens-KI-Bereitstellungen zu schützen.

Ihre Sicherheitsplattform kombiniert mehrere Schutzschichten, darunter ein KI-Feuerwall, der Inferenz in Echtzeit überwacht, automatisiertes KI-Red-Teaming, das proaktiv nach Schwachstellen sucht, bevor sie bereitgestellt werden, einen KI-Agent-Scanner, der autonome Arbeitsabläufe auf Ausnutzungswege analysiert, Modell-Scanning-Funktionen, die KI-Lieferketten auf Sicherheitsrisiken prüfen, und KI-Lens, das Organisationen Einblick in die Art und Weise gibt, wie Mitarbeiter und Anwendungen KI im gesamten Unternehmen nutzen.

Da Unternehmen KI in ihre kritischen Arbeitsabläufe integrieren, spiegelt DeepKeeps Strategie eine wachsende Erkenntnis wider, dass die Sicherung von KI den Schutz jeder Phase erfordert, in der Modelle Informationen empfangen, verarbeiten und darauf reagieren – und nicht nur die Filterung der von Benutzern eingegebenen Prompts.

Die nächste Front in der KI-Sicherheit

InkJect wird wahrscheinlich als mehr als nur eine weitere Prompt-Injektionstechnik in Erinnerung bleiben. Es zeigt, wie die schnelle Evolution multimodaler KI die Cyber-Sicherheitslandschaft grundlegend umgestaltet.

Da Modelle zunehmend in der Lage sind, zu sehen, zu verstehen, Informationen abzurufen und autonom zu handeln, werden Angreifer naturgemäß nach neuen Wegen suchen, um jede Modus dieser Systeme auszunutzen. Bilder, Diagramme, PDFs, Webseiten und andere visuelle Ressourcen können alle zu Fahrzeugen für versteckte Anweisungen werden, die bestehende Sicherheitswerkzeuge möglicherweise nie erkennen.

DeepKeep hat seine Erkenntnisse verantwortungsvoll an OpenAI und Anthropic weitergegeben, um den Unternehmen die Gelegenheit zu geben, Schutzmaßnahmen gegen diesen neu identifizierten Angriffsweg zu stärken. Ob InkJect das erste Beispiel für eine viel breitere Klasse multimodaler Prompt-Injektionsangriffe wird, bleibt abzuwarten, aber seine Entdeckung dient als zeitgemäße Erinnerung daran, dass die KI-Sicherheit genauso schnell evolvieren muss wie die KI selbst. Da Modelle die visuelle Welt mit immer größerer Raffinesse verstehen lernen, erfordert ihre Verteidigung Sicherheitssysteme, die dies ebenfalls können.