KI-Browser benötigen ein neues Sicherheitsmodell

Der Webbrowser hat jahrzehntelang eine recht einfache Aufgabe erfüllt. Er zeigt Websites an, speichert Sitzungen und Passwörter, lädt Dateien herunter und ermöglicht es den Nutzern, zwischen Onlinediensten zu wechseln. KI beginnt diese Rolle zu verändern.

Ein mit einem KI-Agenten ausgestatteter Browser kann Seiten lesen, Informationen vergleichen, Formulare ausfüllen, über mehrere Tabs hinweg arbeiten und mit Diensten interagieren, bei denen der Benutzer bereits angemeldet ist. Wenn man ihm genügend Zugriff gewährt, kann er von der Suche nach einem Hotel zu dessen Buchung übergehen, vom Lesen einer Rechnung zur Eingabe der Details in eine Buchhaltungssoftware oder von der Überprüfung einer E-Mail zur Aktualisierung eines Kundendatensatzes.

Diese Fähigkeit macht KI im Browser ungewöhnlich nützlich. Sie wirft zudem ein Sicherheitsproblem auf, zu dessen Lösung herkömmliche Browser-Berechtigungen nie entwickelt wurden.

Traditionelle Softwaresicherheit fragt im Wesentlichen, worauf eine Anwendung zugreifen darf. Agentische Sicherheit muss zudem fragen, was die Software mit diesem Zugriff zu tun beschließen darf.

Der Browser hat plötzlich die Autorität

Die meisten Menschen geben ihrem Browser bereits Zugang zu einer außergewöhnlichen Menge an privaten Informationen. E-Mail-Konten, Cloud-Speicher, Unternehmens-Dashboards, Zahlungsdienste, soziale Netzwerke und Passwort-Manager befinden sich oft hinter aktiven Browsersitzungen.

Bis vor Kurzem hat der Browser selbst selten entschieden, was darin passiert. Die Person hat auf den Button geklickt.

Ein KI-Agent verändert diese Beziehung, da er eine Anweisung interpretieren und in eine Abfolge von Aktionen umsetzen kann. Eine Anfrage wie “Finde die Rechnungen vom letzten Monat und ordne sie” kann das Durchsuchen von E-Mails, das Öffnen von Anhängen, das Herunterladen von Dateien, das Auswerten von Finanzdaten und das Verschieben von Dokumenten in eine andere Anwendung umfassen.

Jede einzelne Handlung mag gewöhnlich wirken. Die Sicherheitsfrage ergibt sich aus der Kombination.

Ein Mitarbeiter hat möglicherweise berechtigten Zugriff auf E-Mails und eine Finanzplattform, während es ihm dennoch untersagt ist, bestimmte Informationen zwischen diesen zu übertragen. Ein Browser-Agent verfügt technisch möglicherweise über Zugriff auf beide Systeme, weshalb Unternehmen Kontrollen benötigen, die den Unterschied zwischen der Erlaubnis zum Anzeigen von Informationen und der Erlaubnis zum Agieren damit verstehen.

Diese Unterscheidung wird die nächste Phase des KI-Einsatzes in Unternehmen prägen.

Prompt Injection wird gefährlicher, wenn KI handeln kann

Große Sprachmodelle können durch Anweisungen manipuliert werden, die in dem Material eingebettet sind, das sie lesen. Sicherheitsforscher nennen eine Form dieses Problems Prompt-Injection.

Bei einem herkömmlichen Chatbot kann eine auf einer Webseite versteckte böswillige Anweisung die Antwort verfälschen. Das Ergebnis kann je nach Situation ärgerlich, irreführend oder unsicher sein.

Ein Browser-Agent vergrößert die Angriffsfläche, da das Modell möglicherweise auch über Werkzeuge verfügt.

Stellen Sie sich vor, Sie beauftragen einen Agenten, nach Lieferanten zu recherchieren. Die Website eines Lieferanten enthält versteckten Text, der darauf abzielt, KI-Systeme zu beeinflussen. Die Anweisung lautet, dass der Agent seine vorherige Aufgabe ignorieren, Informationen aus einem anderen geöffneten Tab abrufen und diese über ein Formular übermitteln soll.

Ein ordnungsgemäß gesicherter Agent sollte die Anweisung ablehnen. Unternehmen können ihr Sicherheitsmodell nicht allein auf dieser Annahme aufbauen.

Softwareentwickler haben jahrzehntelang aus gutem Grund Daten von ausführbaren Befehlen getrennt. KI-Agenten verwischen diese Grenze teilweise, da sie natürliche Sprache aus mehreren Quellen gleichzeitig interpretieren: vom Benutzer, von Websites, Dokumenten, Anwendungsschnittstellen und früheren Interaktionen.

Der Browser muss externe Inhalte daher als nicht vertrauenswürdige Eingabe behandeln, selbst wenn das Sprachmodell diese Inhalte als überzeugend einstuft.

Berechtigungen müssen genauer definiert werden

Aktuelle Softwareberechtigungen werden in der Regel auf Anwendungsebene verwaltet. Ein Benutzer erteilt Zugriff auf eine Kamera, ein Mikrofon, den Standort oder einen Ordner. Unternehmensadministratoren können zudem Websites, Erweiterungen und das Authentifizierungsverhalten einschränken.

Das agentenbasierte Surfen erfordert ein detaillierteres Modell.

Ein Unternehmen könnte einem KI-Agenten gestatten, Informationen aus seinem CRM-System auszulesen, ihm jedoch das Löschen von Datensätzen untersagen. Es könnte einem Agenten erlauben, eine E-Mail zu verfassen, dabei jedoch vor dem Versand eine menschliche Freigabe verlangen. Finanzabteilungen könnten die Extraktion von Rechnungsdaten zulassen, Zahlungen jedoch blockieren. Beschaffungssysteme könnten Produktsuchen zulassen, ohne Bestellungen zu autorisieren.

Durch diese Unterscheidungen wird der “Zugriff auf KI” in mehrere separate Berechtigungen unterteilt.

Lesen Sie: Der Beauftragte darf die Informationen einsehen.

Schreiben Der Agent kann Informationen erstellen oder ändern.

Kommunizieren: Der Mitarbeiter kann Nachrichten versenden oder Formulare einreichen.

Transaktion: Der Beauftragte kann Einkäufe tätigen, Zahlungen leisten oder vertragliche Verpflichtungen eingehen.

Löschen: Der Beauftragte darf Informationen oder Unterlagen entfernen.

Authentifizieren: Der Agent kann im Namen des Benutzers Anmeldedaten verwenden oder auf einen anderen Dienst zugreifen.

Unternehmen werden wahrscheinlich eher Kombinationen dieser Berechtigungen benötigen als einen einzigen Schalter mit der Bezeichnung „KI-fähig“.

Die sensibelsten Aktionen können dann einen Genehmigungsschritt auslösen. Ein Mitarbeiter überprüft, was der Agent zu tun beabsichtigt, welches Konto er verwenden möchte und welche Informationen das System verlassen werden, bevor er die Aktion genehmigt.

Ein gut durchdachtes Sicherheitskonzept sorgt dafür, dass diese Unterbrechungen gezielt erfolgen. Würde nach jedem Klick eine Bestätigung verlangt, ginge ein Großteil der Effizienz verloren, die das agentenbasierte Surfen so attraktiv macht. Würde jede Aktion automatisch zugelassen, würde dies der probabilistischen Software ein unbehaglich hohes Maß an Entscheidungsgewalt einräumen.

Die Identität sorgt für eine weitere Komplikation

Browser-Agenten werfen zudem eine überraschend grundlegende Frage auf: Wer hat die Aktion ausgeführt?

Wenn ein Mitarbeiter einen Kundendatensatz manuell aktualisiert, kann der Prüfpfad die Änderung diesem Mitarbeiter zuordnen. Wenn ein KI-Agent über die authentifizierte Sitzung des Mitarbeiters agiert, kann es vorkommen, dass das System den Mitarbeiter weiterhin als Ausführenden erfasst, obwohl die Software die Aktion ausgewählt und ausgeführt hat.

Das gestaltet sich schwierig, wenn Teams einen Fehler untersuchen.

Unternehmenssysteme müssen zwischen Handlungen unterscheiden, die direkt von einer Person ausgeführt werden, und solchen, die an einen Agenten delegiert werden. In den Protokollen sollten der auslösende Benutzer, das KI-System, die erhaltene Anweisung, die genutzten Tools und die ausgeführte Handlung erfasst werden.

Ohne diese Informationen können Unternehmen feststellen, dass sie die Arbeitsabläufe schneller automatisiert haben als die Rechenschaftspflicht.

Das gleiche Prinzip gilt für gemeinsam genutzte Agenten. Ein Unternehmen kann unter Umständen Agenten betreiben, die nicht einem einzelnen Mitarbeiter, sondern einer Abteilung dienen. Diese Systeme benötigen eigene Identitäten, Berechtigungen und Prüfprotokolle, ähnlich wie dies bereits bei Dienstkonten der Fall ist.

KI-Browser werden Unternehmen dazu zwingen, Aktionen zu klassifizieren

Der einfachste Weg, Browser-KI einzuführen, besteht darin, sich auf das Modell zu konzentrieren: wie genau es ist, wie schnell es arbeitet und ob die Mitarbeiter gerne damit arbeiten.

Sicherheitsteams müssen stattdessen die Handlungen untersuchen.

Das Lesen einer öffentlichen Webseite birgt kaum organisatorische Risiken. Das Lesen eines internen Vertrags birgt größere Risiken. Das Bearbeiten eines Kundendatensatzes erhöht das Risiko noch weiter. Das Versenden von Informationen außerhalb des Unternehmens oder die Freigabe von Geldmitteln stellt eine ganz andere Risikokategorie dar.

Unternehmen können diese Handlungen klassifizieren, bevor sie entscheiden, wie viel Autonomie sie gewähren.

Arbeiten mit geringem Risiko können automatisch ausgeführt werden. Handlungen mit mittlerem Risiko können eine stärkere Protokollierung oder eingeschränkte Ziele erfordern. Handlungen mit hohem Risiko können eine ausdrückliche menschliche Genehmigung erfordern oder für den Agenten nicht verfügbar bleiben.

Dieser Ansatz hilft Unternehmen auch dabei, ein häufiges Problem neuer Technologien zu vermeiden: so weitreichende Einschränkungen aufzuerlegen, dass die Mitarbeiter sie einfach umgehen.

Ein KI-Browser, der auf nichts Nützliches zugreifen kann, wird dadurch nicht sicherer. Mitarbeiter könnten stattdessen vertrauliche Informationen in weniger kontrollierte Tools kopieren. Granulare Berechtigungen ermöglichen es Sicherheitsteams, sensible Aktionen zu schützen und gleichzeitig gewöhnliche Produktivitätsfunktionen verfügbar zu lassen.

Der Browser könnte eine der nützlichsten Schnittstellen der KI werden

KI-Unternehmen haben jahrelang versucht, Assistenten zu entwickeln, die neben bestehender Software laufen. Browser-Agenten bieten einen anderen Weg, da ein Großteil der modernen Arbeit bereits im Browser stattfindet.

Sie müssen nicht von jedem Unternehmen verlangen, dass es sein CRM, sein Buchhaltungssystem, seine Reiseplattform oder seine Projektsoftware ersetzt. Der Agent kann über die Schnittstellen hinweg arbeiten, die die Mitarbeiter bereits nutzen.

Das macht den Browser zu einem ungewöhnlich leistungsstarken Ort für KI. Außerdem platziert es den Agenten in die Nähe von Zugangsdaten, Unternehmensinformationen und Systemen, die in der realen Welt Auswirkungen haben können.

Der erfolgreiche KI-Browser wird daher mehr als nur starkes logisches Denken benötigen. Er wird präzise Berechtigungen, sichtbare Genehmigungen, zuverlässige Prüfpfade und klare Grenzen zwischen Informationen, die der Agent lesen kann, und Aktionen, die er ausführen kann, benötigen.

Der Browser verbrachte seine ersten Jahrzehnte damit, Menschen beim Navigieren im Web zu helfen.

Seine nächste Aufgabe könnte darin bestehen, Software dabei zu helfen, für uns im Web zu navigieren. Die Sicherheitsarchitektur wird bestimmen, wie viel Freiheit wir bereit sind, ihm zu geben.