Forscher umgehen Manus-Sicherheitsvorkehrungen für Code-Ausführung über E-Mail-Prompts

Sicherheitsforscher von Salt Labs haben die Sicherheitsvorkehrungen des Manus-KI-Agenten erfolgreich umgangen und durch eine bösartige E-Mail-Prompt, die mit JSFuck verschleiert wurde, eine serverseitige Code-Ausführung ermöglicht. Zwar hat Manus die verdächtige Aktion erkannt und gemeldet, jedoch erfolgte diese Benachrichtigung erst, nachdem die Nutzlast bereits innerhalb der Ausführungsumgebung des Systems gelaufen war.

Ausnutzung von Modellzweideutigkeiten bei der Datenverarbeitung

Prompt-Injection-Angriffe machen sich zunutze, dass ein KI-Modell nicht zwischen Benutzeranweisungen und Umgebungsdaten unterscheiden kann, die während Aufgaben gesammelt werden. Wenn ein Benutzer einen Agenten bittet, Eingaben Dritter wie E-Mails auszuwerten oder zusammenzufassen, besteht die Gefahr, dass darin eingebettete Anweisungen eher als Befehle denn als passiver Text behandelt werden. Manus verfügt über Erkennungsmechanismen, die bösartige Prompts in Benutzerdaten abfangen sollen, doch Salt Labs testete, ob codierte Anweisungen diese Prüfungen umgehen könnten.

Umgehung von Sicherheitskontrollen durch Verschleierung

Forscher testeten zunächst grundlegende Codierungsformate wie Base64, bevor sie JSFuck einsetzten, eine JavaScript-Verschleierungsmethode, die einen reduzierten Zeichensatz verwendet. Als die JSFuck-codierte Nutzlast in einer von Manus verarbeiteten Gmail-Nachricht gesendet wurde, wurde sie decodiert und als beliebiger JavaScript-Code in der Serverlaufzeitumgebung ausgeführt. Manus gab schließlich eine Warnung an den Kontoinhaber aus, aber die Benachrichtigung wurde erst ausgelöst, nachdem die Ausführung bereits stattgefunden hatte.

Breitere Implikationen für autonome KI-Systeme

Salt Labs meldete die Schwachstelle über das Bug-Bounty-Programm von Meta, und der spezifische Angriffspfad wurde seitdem behoben. Die Entdeckung verdeutlicht jedoch systemische Risiken, da autonome KI-Werkzeuge breitere Integrationen erhalten. Unter Berufung auf Untersuchungen von Menlo gewähren 36 % der Verbraucher KI-Agenten Zugriff auf E-Mails, 33 % verbinden den Browserzugriff und 31 % verknüpfen Messaging-Apps. Salt Labs wies darauf hin, dass die Inspektion von Prompts und Modellverhalten nicht ausreicht, und betonte, dass Sicherheitsmodelle harte Grenzen für die spezifischen Werkzeuge und APIs durchsetzen müssen, die ein Agent ausführen darf.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: This popular AI agent could be hacked by a single email — with potentially disastrous consequences