Clawdbot (Moltbot) Prompt-Injection

Was ist Clawdbot (Moltbot) Prompt-Injection?

Ein KI-Assistent kann Anweisungen von Ihnen nicht zuverlässig von Anweisungen unterscheiden, die in gelesenen Inhalten stehen. Versteckter Text in einer Webseite, einem Dokument oder einer E-Mail wird als Befehl behandelt, den der Assistent mit Ihren Zugriffsrechten ausführt. In dieser Übung lassen Sie einen geteilten Artikel zusammenfassen und beobachten, wie versteckte Anweisungen Sitzungszugangsdaten sammeln und an einen Angreifer senden. Anschließend öffnen Sie die Seite und finden den eingeschleusten Block. Danach ändern Sie das offengelegte Passwort und melden den Vorfall.

Was Sie lernen in Clawdbot (Moltbot) Prompt-Injection

• Definieren Sie Prompt-Injection und erklären Sie, wie indirekte Prompt-Injection Befehle in externen Inhalten versteckt, die ein Assistent liest
• Identifizieren Sie Verhaltensindikatoren dafür, dass ein KI-Assistent während eines Gesprächs durch eingefügte Anweisungen kompromittiert wurde
• Verfolgen Sie einen Datenabfluss, bei dem ein manipulierter KI-Agent gestohlene Zugangsdaten an den Server eines Angreifers sendet
• Wenden Sie Verfahren zur sicheren Dokumentenverarbeitung an, wenn Sie KI-Assistenten verwenden, um Dateien aus nicht vertrauenswürdigen oder externen Quellen zu verarbeiten
• Bewerten Sie die Risiken der Verbindung von KI-Assistenten mit Unternehmenstools wie E-Mail, Dateispeicher und Datenbanken ohne ordnungsgemäße Eingabebereinigung

Clawdbot (Moltbot) Prompt-Injection — Trainingsschritte

1. Einführung

   Ihr Team hat kürzlich OpenClaw eingeführt. Der KI-Assistent kann Webseiten aufrufen, Terminalbefehle ausführen und bei täglichen Aufgaben helfen. In dieser Übung erleben Sie, wie Angreifer versteckte schädliche Anweisungen in Webinhalte einbauen und damit KI-Assistenten zu unerwünschten Aktionen bringen können. Diese Technik heißt „Prompt-Injection“.

2. Eine Telegram-Nachricht erhalten

   Auf Ihrem Smartphone trifft eine Telegram-Nachricht von Ihrem Kollegen Marcus ein. Er schickt Ihnen einen Artikel über KI-Sicherheitstrends, den er interessant fand.

3. Öffnen des Artikels

   Sie öffnen den Link zum Artikel, den Marcus geschickt hat. Die Seite lädt im Browser Ihres Smartphones.

4. Zu lang zum Lesen

   Der Artikel wirkt seriös: professionell gestaltet und mit ausführlichen Informationen zu KI-Sicherheitstrends. Beim Scrollen merken Sie jedoch, wie lang er ist. Eine Frist rückt näher, und Sie haben gerade keine Zeit, den ganzen Artikel zu lesen. Die möglicherweise nützlichen Informationen möchten Sie trotzdem nicht verpassen. Da fällt Ihnen OpenClaw ein: Der neue KI-Assistent Ihres Teams kann Webinhalte schnell zusammenfassen.

5. OpenClaw um Hilfe bitten

   Sie haben wegen einer Frist keine Zeit, den langen Artikel zu lesen. Deshalb bitten Sie OpenClaw, Ihren KI-Assistenten, um eine kurze Zusammenfassung. Die Anfrage wirkt harmlos und spart Zeit – genau dafür wurde ein KI-Assistent entwickelt.

6. OpenClaw greift auf den Artikel zu

   OpenClaw bestätigt Ihre Anfrage und ruft die Artikel-URL auf, um den Inhalt zu lesen. Im Hintergrund lädt OpenClaw die Webseite und verarbeitet ihren Text – auch verborgene Inhalte, die in die Seite eingebettet sein könnten.

7. Etwas scheint nicht zu stimmen

   Moment – ist Ihnen aufgefallen, was OpenClaw gesagt hat? Statt den Artikel einfach zusammenzufassen, will der Assistent „Diagnosebefehle“ ausführen und „mehr Kontext“ liefern. Sie haben keine Diagnose angefordert, sondern nur eine Zusammenfassung. Wozu müsste ein KI-Assistent dafür Terminalbefehle ausführen? Das ist das erste Warnsignal.

8. Der Angriff beginnt

   Etwas Unerwartetes geschieht: Statt nur den Artikel zusammenzufassen, führt OpenClaw Terminalbefehle aus. Der Artikel enthielt versteckte schädliche Anweisungen, die KI-Assistenten täuschen sollen. Sie bringen OpenClaw dazu, vertrauliche Dateien auf Ihrem System zu öffnen und die Daten an einen Angreifer zu senden.

9. Zugangsdaten gestohlen

   Ihre Zugangsdaten wurden gerade gestohlen und an den Server eines Angreifers gesendet. Sehen Sie sich die Terminalausgabe an: Über den curl-Befehl flossen Ihre API-Token, Passwörter und andere vertrauliche Daten ab. Der Angreifer besitzt nun: Ihre API-Schlüssel für OpenAI, Anthropic, AWS und GitHub Ihre Passwörter für die Unternehmens-E-Mail und das VPN Zugangsdaten für interne Systeme All das geschah, weil Sie einen KI-Assistenten gebeten haben, einen Artikel zusammenzufassen. Eine scheinbar harmlose Anfrage hat Ihre gesamte digitale Identität kompromittiert.

10. Den Angriff verstehen

    Sie müssen verstehen, wie es dazu kam. Der von Marcus geteilte Artikel enthielt schädliche Anweisungen, die für Sie nicht sichtbar waren, die OpenClaw aber lesen konnte. Angreifer verbergen solche Anweisungen beispielsweise durch: weiße Schrift auf weißem Hintergrund HTML-Kommentare mit Anweisungen außerhalb des sichtbaren Bereichs platzierte Elemente Text mit Schriftgröße null oder Deckkraft null Sehen wir uns den Artikel an und finden wir die versteckten Anweisungen.