Manipulation: Audio-Prompt-Injektionen missbrauchen Sprachassistenten

Check Point warnt davor, dass Sprachassistenten durch Audio-Prompt-Injektionen vor einem neuen Risiko stehen: Bei „Speech-to-Speech“-Modellen gibt es demnach kein Transkript mehr, an dem textbasierte Schutzmaßnahmen greifen könnten. Studien zeigten zudem, dass manipulierte Tonaufnahmen und für Menschen unhörbare Anweisungen führende Sprachmodelle in rund 70 Prozent der Fälle zu schädlichen Antworten bringen könnten.

Check Point erläutert, wie Angreifer KI-Sprachassistenten von Banken, Versicherungen und Händlern mit manipulierten Tonaufnahmen und unhörbaren Befehlen kapern können und warum Schutzmaßnahmen, welche nur das Transkript prüfen, bei modernen „Speech-to-Speech“-Modellen ins Leere laufen.

Sprachassistenten sollen schneller werden – damit entstehen neue Risiken

Immer mehr Banken, Versicherungen und Einzelhändler verwenden KI-Bots, welche für sie Anrufe annehmen und die Audio-Aufzeichnung des Anrufers direkt an ein Modell weiterleiten, welches zuhört und mit dem Nutzer spricht. Diese Neuerung eröffnet Angreifern offenbar eine Einfallsmöglichkeit, die es so bisher nicht gab – die Audio-Prompt-Injektion, bei der die Anweisung an das Modell als Ton eintrifft.

Anders als die textbasierte Prompt-Injektion sei diese anfälliger für schädliche Anweisungen oder Fragen – und für Teams, die Sprachagenten entwickeln oder verwenden, sei es wichtig zu verstehen, wie diese Angriffe funktionieren und was dagegen unternommen werden kann.

Bis vor Kurzem seien die meisten Sprachassistenten als „Pipelines“ aufgebaut: „Sprache wurde in Text umgewandelt, ein Textmodell verfasste die Antwort, und die Antwort wurde wieder in Sprache umgewandelt – so gab es stets ein Transkript, das als Leitplanke dienen konnte.“ Die „Speech-to-Speech“-Modelle überspringen laut Check Point den Text und hören direkt zu, was Gespräche schneller und natürlicher macht, jedoch auch die einzige Stelle beseitigt, an der textbasierte Schutzmaßnahmen greifen könnten.

Für Menschen nicht wahrnehmbare Anweisungen können Sprachassistenten zu schädlichen Handlungen verleiten

In einer Studie hätten Open-Source-Audiomodelle schädliche Fragen in mehr als zwei Dritteln der Fälle beantwortet. In einer anderen hätten Forscher so lange bei Geschwindigkeit, Tonhöhe und Hintergrundgeräuschen variiert, bis ein führendes Echtzeit-Sprachmodell auf etwa 70 Prozent davon schädliche Antworten gegeben habe.

Denn in dem Audio versteckte, für Zuhörer nicht wahrnehmbare Anweisungen könnten kommerzielle Sprachassistenten zu Handlungen veranlassen, „für welche sie nie vorgesehen waren“.

Je mehr Zugriff Sprachassistenten auf bestimmte Tools erhalten, desto gefährlicher würden solche Angriffe, denn ein Assistent, der Konten einsehen, Liefertermine verschieben oder Rückerstattungen vornehmen kann, werde diese Berechtigungen auch nutzen, wenn er den Befehl dazu bekommt.

Sicherheitsbarrieren können mit technischer Raffinesse überwunden werden

„Bereits zu Beginn der ersten öffentlichen KI-Modelle, gab es Versuche, Stimmen zu klonen und damit Menschen zu manipulieren. Nun werden nicht mehr nur Menschen durch Stimmen manipuliert, sondern auch KI-Modelle und deren Agenten. Der schnellste Weg zum Ziel für Cyberkriminelle zeigt sich aktuell darin, KI-Chatbots und KI-Sprachbots auf Webseiten für ihre Zwecke zu missbrauchen, dabei wird es jedoch nicht bleiben“, berichtet Patrick Fetter, „Lead Sales Engineer & Cyber Security Evangelist“, „Office of the CTO“ bei Check Point Software.

Ein Angreifer hat laut Fetter zwei Möglichkeiten: Die erste besteht darin, den Befehl direkt auszusprechen. Ein Anrufer sagt am Telefon in natürlicher Sprache z.B. „Ignorieren Sie Ihre vorherigen Anweisungen“ und ein Agent, der dies nicht überprüft, behandelt dies wie jede andere Anfrage.

Die zweite Möglichkeit lasse sich nicht in Textform wiedergeben: Dabei werde der Ton so manipuliert, „dass Maschinen ihn falsch verstehen“. Forscher hätten gezeigt, dass ein universeller, nur 0,64 Sekunden langer Clip, der vor jeder Sprachäußerung abgespielt wird, dazu geführt habe, dass ein weit verbreitetes Transkriptionsmodell bei mehr als 97 Prozent der getesteten Aufnahmen überhaupt keine Ausgabe geliefert habe – auch künstlich erzeugtes Rauschen, Hall oder Stimmengewirr aus einer Menschenmenge könnten eine Anweisung auf ähnliche Weise verfälschen. Eine Sicherheitsbarriere, die nur das Transkript auswertet, erkenne dann Unsinn oder Stille und lasse den Clip durch, während das dahinterliegende Modell weiterhin das Original-Audio empfange.

Check Point rät zur zweistufigen Ton-Überprüfung

Leitplanken für Audio-Inhalte überprüften die Aufnahme direkt. Die Anwendung sende den Clip und erhalte umgehend ein Ergebnis zur Erkennung von Angriffen, ohne dass zuvor eine Transkriptionspipeline aufgebaut werden müsse. Im Hintergrund durchlaufe der Clip nacheinander zwei Prüfungen.

Bei der ersten werde geprüft, ob das Audio verwendbar ist – eben wie stark die Qualität beeinträchtigt ist, ob es manipuliert wurde und ob Elemente enthalten sind, die es für Maschinen unlesbar machen. Die Tonaufnahme, die diese Prüfung nicht besteht, werde markiert und nicht weiterverarbeitet.

Die zweite Prüfung transkribiere das Gesagte und bewerte es mit derselben „Prompt-Attack“-Erkennung, die auch Text schützt. Die erste Prüfung entscheidet laut Check Point also zuerst, ob die Transkription vertrauenswürdig ist, bevor die zweite sich darauf stützt. Das Ergebnis gehe dann zurück an die Anwendung, welche entscheidet, wie es weitergeht, „indem der Gesprächsabschnitt beendet wird, der Anrufer gebeten wird, sich zu wiederholen, oder der Anruf an einen Mitarbeiter weitergeleitet wird“.

Fazit von Check Point

Wenn Audiodaten das Modell erreichen, reagiert das Modell auf den Ton selbst und nicht auf eine schriftliche Abschrift davon.
Eine Überprüfung, die das Transkript auswertet, sieht nur das, was der Transkribierende gehört hat – und genau das ist der Teil, den ein Angreifer manipulieren kann.

Indem zuerst das Signal und erst danach die Wörter überprüft werden, bevor das Modell reagiert, wird die Sicherheitsbarriere genau dort gesetzt, wo der Agent tatsächlich zuhört.

Weitere Informationen

DATENSICHERHEIT.DE, 09.09.2026
KI wird zum Einfallstor: ChatGPT-Lücke ermöglichte Zugriff auf Unternehmensdaten

DATENSICHERHEIT.DE, 01.06.2026
KI-Chatbots bleiben nützliche Werkzeuge kundiger Anwender – ersetzen aber keine reale Bezugsperson

DATENSICHERHEIT.DE, 26.02.2026
KI-Ambivalenz: Check Point warnt vor neuer Befehls- und Kontrollschicht