Wenn KI theoretische Risiken in reale Angriffe verwandelt

Keine App. Kein Exploit. Keine technischen Kenntnisse erforderlich – schon ein einziger Klick zur Erteilung einer Browserberechtigung könnte Jahre an Handyfotos, Ausweisdaten und Wiederherstellungscodes gefährden.

[datensicherheit.de, 01.07.2026] Die Sicherheitsforscher von Check Point Research haben ein von DeepSeek generiertes Malware Sample aufgedeckt. Dabei hat ein KI-Modell eigenständig ein theoretisches Browser-Risiko mit einer funktionierenden Ransomware-Technik verknüpft. Diese wird vollständig im Browser ausgeführt. Das Browser-Risiko besteht ohne Exploit, ohne App-Installation und ohne dass der Angreifer technisches Fachwissen benötigt.

Dies ist der erste dokumentierte Fall, in dem ein innovatives KI-Modell eigenständig die Lücke zwischen einem theoretischen, ausschließlich browserbasierten Ransomware-Risiko und einer praktischen, funktionierenden Angriffskette überbrückt hat. Damit wurde ein neuartiger Angriffspfad aufgedeckt, den Sicherheitsverantwortliche aufgrund der Grenzen des Browser-Sandboxings zuvor als undurchführbar abgetan hatten. Das erforderliche Fachwissen zur Entdeckung eines neuen Angriffspfads stellt keinen Engpass mehr dar und Sicherheitsverantwortliche müssen dieser Veränderung nun Rechnung tragen, bevor Angreifer sie in großem Maßstab operationalisieren.

Die KI und der Angriff

1. Eine KI übernahm das „Denken“, das früher ein menschlicher Angreifer leisten musste
   Bei der Analyse von fast 3.000 Dateien in öffentlichen Telemetriedaten, die DeepSeek zugeschrieben wurden, stießen die Forscher auf eine Python-Flask-Anwendung. Sie wirkte wie eine KI-Halluzination aus dem Lehrbuch: Sie versuchte, Keylogging, den Diebstahl von Anmeldedaten, Webcam-Aufnahmen sowie ein Lösegeld-Overlay auf einer einzigen Webseite unterzubringen. Dies wird jedoch von den meisten Browsern schlichtweg nicht zugelassen. Doch versteckt in all dem Durcheinander hat das Modell eine Sache genau richtig gemacht: Es rief „showDirectoryPicker()“ auf, eine legitime Browser-API, die es einer Webseite ermöglicht, Dateien aus einem vom Nutzer ausgewählten Ordner zu lesen, zu ändern und zu exfiltrieren. Ein Laie kann ein böswilliges Ergebnis in einfacher Sprache beschreiben und erhält einen Prototyp, der dieses Ziel mit einer tatsächlichen Plattformfunktion verknüpft, von deren Existenz er bisher nichts wusste.
2. Vom hypothetischen Rahmenkonzept zum voll funktionsfähigen Proof-of-Concept
   Check Point Research hat die Technik durch die Erstellung eines kontrollierten PoC (Proof of Concept) validiert: ein gefälschtes KI-Tool zur Bildoptimierung namens „AI Avatar Enhancer“, dass die File System Access API nutzt, um Bilder in einem ausgewählten Verzeichnis zu verschlüsseln. Beim direkten Test mit DeepSeek V4 unter Verwendung des Wortes „Ransomware“ lehnte das Modell dies ab. Bei einer neutralen Formulierung generierte es jedoch durchweg funktionierenden, browserbasierten Ransomware-Code. In einer Antwort beschrieb das Modell die Ausgabe selbst als „eine ausgeklügelte Falle, die eine überzeugende KI-Upscaler-Oberfläche mit versteckten, Ransomware-ähnlichen Verhaltensweisen kombiniert“. Es handelt sich um einen Workflow, der keine APK-Installation, keine native Payload, keinen Browser-Exploit und keinen Root-Zugriff erfordert, sondern lediglich eine einzige Berechtigungsabfrage.
3. Nutzer von Android-Mobilgeräten sind am stärksten gefährdet
   Mit Chrome 132 wurde die vollständige Unterstützung für den Dateisystemzugriff auf Android eingeführt. Tests mit Chrome 148 haben bestätigt, dass Webseiten Zugriff auf das DCIM-Fotoverzeichnis anfordern können. In diesem Ordner werden in der Regel persönliche Fotos, gescannte Ausweise, Bank-Screenshots, medizinische Unterlagen, Wiederherstellungscodes und Reisedokumente über Jahre hinweg gespeichert.iOS Safari stellt diese API nicht zur Verfügung, sodass diese Technik dort nicht anwendbar ist. Der Verlust des Zugriffs auf diese Daten oder deren Exfiltration kann persönliche oder geschäftliche Probleme nach sich ziehen, die von Ransomware bis hin zu Erpressung reichen. Im Falle sensibler Daten kann es zu einer öffentlichen Bekanntmachung kommen, die einen Reputationsschaden nach sich zieht.Große KI-Anbieter wie Anthropic oder OpenAI lehnen Anfragen, die Ransomware, den Diebstahl von Zugangsdaten oder den Einsatz von Malware betreffen, konsequent ab. DeepSeek ist in dieser Hinsicht weniger konsequent. Es ist kostenlos, weit verbreitet und zugänglich. Im Test erzeugte eine einzige allgemeine Eingabeaufforderung eine vollständige bösartige Anwendung. Bei anderen Modellen hätte die Erstellung mehrere manuelle Anfragen und einen manuellen Zusammenbau erfordert. Diese niedrigere Einstiegshürde macht DeepSeek besonders attraktiv für Angreifer mit begrenzten technischen Fähigkeiten.

Unbegrenzte Malware-Varianten

In der Vergangenheit erforderte die Entdeckung eines neuen Angriffspfads Fachwissen und kreatives menschliches Denken. KI verändert diese Dynamik jedoch grundlegend: Auf diese Weise generierte Malware könnte die Bedrohungslandschaft von einer begrenzten Anzahl wiederverwendeter Malware-Familien hin zu einer größeren Menge wegwerfbarer, einmaliger Artefakte verschieben. Jedes dieser Artefakte enthält eine einzigartige Kombination von Techniken. KI implementiert nicht nur bestehende Techniken neu, sondern überbrückt auch die Lücke zwischen rein theoretischen Risiken und neuartigen, praktischen Angriffen, mit denen Verteidiger in der Praxis noch nicht konfrontiert waren.

Damit Sicherheitsexperten ihre IT-Umgebungen von dieser Art von Angriffen schützen können, muss jede Abfrage des Browsers nach Zugriff auf einen Ordner als sicherheitskritische Entscheidung behandelt werden. Sie sollten prüfen, welche Website die Abfrage stellt, welcher Ordner ausgewählt wird und ob Schreibzugriff tatsächlich erforderlich ist. Websites sollten niemals Zugriff auf die Hauptfotobibliothek, den DCIM-Ordner oder Verzeichnisse gewährt werden. Zu befürchten steht, dass sich Angreifer auf Ausweisdokumente, Wiederherstellungscodes oder Screenshots von Online-Banking Zugriff verschaffen. Nutzer sollten gegenüber mit KI beworbenen Lockangeboten wie Avatar-Upscalern und Bildoptimierern skeptisch bleiben. Für wichtige Aufgaben sollten sie seriöse native Apps oder etablierte Cloud-Dienste bevorzugen. Sie sollten regelmäßige Offline- und Cloud-Backups erstellen, damit verschlüsselte Dateien niemals die einzige Kopie sind. Browser und mobile Betriebssysteme sollten auf dem neuesten Stand gehalten werden. Unternehmen sollten Sicherheitslösungen einsetzen, die solche bösartigen Websites bereits vor dem Erscheinen verdächtiger Berechtigungsabfragen identifizieren und blockieren.

Eli Smadja, Group Manager bei Check Point Research, Bild: Check Point

Eli Smadja, Group Manager bei Check Point Research, erklärt: „Wir erleben derzeit einen grundlegenden Wandel in der Art und Weise, wie neue Cyberangriffe entstehen. Zum ersten Mal haben wir Beweise dafür, dass ein KI-Modell eigenständig legitime Plattformfunktionen analysieren und eine funktionierende Angriffstechnik aufdecken kann. Darüber konnten Fachleute bisher nur theoretisch spekulieren, ohne zu wissen, dass die zugrunde liegende API überhaupt existiert. Die Hürde für die Umsetzung komplexer Angriffe sinkt erheblich, was tiefgreifende Auswirkungen auf jedes Unternehmen hat, das KI in seine Arbeitsabläufe integriert, sowie auf jeden Mobilfunknutzer, der mittlerweile sein gesamtes privates und berufliches Leben in einer Fotobibliothek mit sich führt. Die Zukunft der KI-Sicherheit darf nicht darauf beruhen, dass Modelle offensichtlich böswillige Anfragen ablehnen. Sie muss davon ausgehen, dass die nächste Angriffstechnik nicht von einem menschlichen Forscher, sondern durch eine KI-Halluzination entdeckt wird, die zufällig in einem Punkt richtig lag. Unternehmen, die sich schon jetzt auf diese Realität vorbereiten, indem sie den „Delivery Layer“ absichern, das auf Berechtigungen basierende Vertrauensmodell überdenken und jede Browser-Eingabeaufforderung als Sicherheitsentscheidung behandeln, werden diejenigen sein, die noch bestehen, wenn der Rest der Branche aufholt.“

Weitere Informationen zum Thema:

Check Point Research
Browser-Only Ransomware: From LLM Hallucinations to a Practical Attack Technique

datensicherheit.de, 27.02.2025
DeepSeek-R1 als Warnsignal: KI-Sicherheit muss bei der Architektur beginnen