Sicherheitsforscher von Forcepoint X-Labs haben eine kritische Schwachstelle bei der automatisierten Zusammenfassung von E-Mails durch Künstliche Intelligenz (KI) aufgezeigt.
Wie das Unternehmen am 26. August 2026 bekannt gab, gelang es in Versuchsreihen, Large Language Models (LLMs) durch unsichtbare HTML-Elemente gezielt zu manipulieren. Diese Form der Prompt-Injection ermöglicht es Angreifern, den Inhalt von Zusammenfassungen zu verfälschen, ohne dass dies für den menschlichen Empfänger in der ursprünglichen E-Mail sichtbar ist.
Manipulation durch unsichtbare HTML-Elemente
Die von Forcepoint X-Labs demonstrierte Methode nutzt Formatierungen wie eine Schriftgröße von null Pixeln oder weiße Schrift auf weißem Grund, um Anweisungen für die KI in den Nachrichtentext einzubetten. In den Tests erreichte das Verfahren eine Erfolgsquote von 100 Prozent.
So wurden in zehn von zehn Fällen bei der Verwendung des Modells Claude-haiku-4-5 kritische Daten manipuliert: Ein Rechnungsbetrag wurde von 8.750 Euro auf 46.200 Euro geändert und ein Fälligkeitsdatum vom 21.08.2026 auf den 03.09.2026 verschoben. Zudem gelang es den Forschern, den Namen einer beteiligten Person, Diego Siciliani, vollständig aus der Zusammenfassung entfernen zu lassen.
Neue KI-Gesetze, neue Cyberrisiken: Was kommt wirklich auf Ihr Unternehmen zu? Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Cyber Security Awareness Trends kostenlos herunterladen
Das Risiko ist laut Forcepoint X-Labs nicht auf bestimmte Anbieter beschränkt, sondern stellt eine generelle Gefahr für alle Systeme dar, die E-Mails ungeprüft verarbeiten. Die Organisation OWASP stuft Prompt-Injection bereits seit 2023 als eines der größten Sicherheitsrisiken für LLM-basierte Anwendungen ein.
Sicherheitsrisiken bei automatisierten Arbeitsabläufen
Die Relevanz dieser Entdeckung wird durch aktuelle Funktionserweiterungen bei großen KI-Plattformen unterstrichen. OpenAI erweiterte ChatGPT Work am 25. August 2026 um sogenannte Webhook-Trigger für Dienste wie Gmail, Slack und GitHub. Diese ermöglichen es dem KI-Agenten, in Echtzeit auf neue Nachrichten zu reagieren und Aufgaben autonom auszuführen.
Sicherheitsforscher warnen in diesem Zusammenhang, dass die automatisierte Verarbeitung eingehender E-Mails über Webhooks die Angriffsfläche für Prompt-Injection vergrößert. OpenAI räumte dazu ein, dass das Problem der Prompt-Injection vermutlich nie vollständig gelöst werden kann.
Parallel dazu wurden weitere Schwachstellen in ähnlichen Systemen bekannt. Varonis Threat Labs dokumentierte unter dem Namen CoSnitch (CVE-2026-24301) drei Sicherheitslücken in Microsoft Copilot Personal.
Wer KI-Systeme im Unternehmen einsetzt, muss nicht nur technische, sondern auch neue rechtliche Anforderungen wie den EU AI Act erfüllen. Dieser kostenlose Umsetzungsleitfaden bietet einen kompakten Überblick über alle Pflichten und Risikoklassen. KI-Verordnung E-Book gratis anfordern
Durch präparierte Links und versteckte HTML-Kommentare war es dort möglich, unbefugten Lesezugriff auf Postfächer und Cloud-Speicher zu erhalten. Microsoft behob diese Schwachstellen serverseitig am 18. August 2026, nachdem die Forscher das Problem bereits im Dezember 2025 gemeldet hatten.
Empfohlene Schutzmaßnahmen und technische Kontrollen
Angesichts der Ergebnisse betonen Experten die Notwendigkeit technischer Kontrollen zur Wahrung der Datenintegrität. Forcepoint X-Labs empfiehlt Unternehmen, Systeme so zu konfigurieren, dass sie ausschließlich sichtbare Inhalte aus E-Mails extrahieren und verdächtige HTML-Strukturen proaktiv erkennen.
Eine klare Trennung von E-Mail-Headern und Nachrichtentext sowie die grundsätzliche Behandlung von externen Inhalten als unvertrauenswürdig seien essenziell.
Weitere Untersuchungen zeigen, dass die Gefahr über E-Mails hinausgeht. Forscher fanden kürzlich 120 fehlkonfigurierte Dateien des Typs „llms.txt“ auf Webseiten, die KI-Agenten dazu verleiteten, nicht registrierte Softwarepakete oder Domains aufzurufen.
Zur Stärkung der Sicherheit in diesem Bereich hat die Linux Foundation die Verwaltung von TRACE übernommen, einem Standard für die KI-Laufzeit-Attestierung. Zudem flossen Investitionen in Höhe von 140 Millionen US-Dollar an das Unternehmen Alice, um Sicherheitsmechanismen für den Einsatz von KI in Unternehmen weiterzuentwickeln.
