Apple Intelligence geknackt: RSAC-Forscher umgehen Guardrails
KI-generiert mit Sora
Sicherheitsforscher der RSAC-Konferenz haben die Schutzmechanismen von Apple Intelligence umgangen. In 76 von 100 Testläufen brachten sie das lokale Sprachmodell dazu, verbotene Ausgaben zu erzeugen. Apple hat die Lücke laut den Forschern in iOS 26.4 und macOS 26.4 geschlossen.
Zwei Techniken kombiniert
Das Team um Petros Efstathopoulos, VP of Research and Development bei RSAC, kombinierte zwei bekannte Angriffe. Die erste Methode nennt sich Neural Exec. Dabei werden Eingaben per Machine Learning so konstruiert, dass sie für Menschen wie Kauderwelsch aussehen. Das Sprachmodell interpretiert sie dagegen als klare Anweisung. Entwickelt wurde Neural Exec von einem Forscherteam um Dario Pasquini, das die Technik 2024 in einer wissenschaftlichen Arbeit beschrieb.
Die zweite Technik nutzt Unicode-Steuerzeichen. Die Forscher drehten schädliche Strings um und verknüpften sie mit einem Unicode-Zeichen, das die Leserichtung verändert. Auf dem Bildschirm wurde der Text korrekt dargestellt. Die Eingabe- und Ausgabefilter von Apple sahen aber die verdrehte Version und ließen den String passieren. So umgingen die Angreifer sowohl die eingebauten Sicherheitsregeln des Modells als auch die vor- und nachgelagerten Filter von Apple.
AnzeigeWarum das lokale Modell angreifbar ist
Apple Intelligence kombiniert zwei Sprachmodelle. Das lokale Modell übernimmt einfache Anfragen, komplexere Aufgaben landen in der Cloud. Heise ordnet das Ergebnis ein und verweist darauf, dass schwächere Modelle generell anfälliger für solche Angriffe sind. Diese Einordnung deckt sich mit den Empfehlungen zur Modellwahl beim KI-Agenten OpenClaw.
RSAC schätzt, dass bis zu eine Million Apps im Apple App Store Apple Intelligence einsetzen. Damit wären sie potenziell vom genannten Angriffsvektor betroffen. Apple Intelligence ist zudem in den nativen Apps wie Mail, Nachrichten und Safari implementiert. Zusätzlich steht eine Schnittstelle für Drittanbieter zur Verfügung.
Apple reagiert, das Grundproblem bleibt
Die Forscher meldeten die Lücke am 15. Oktober 2025 an Apple. Der Hersteller verteilte die Patches mit iOS 26.4 und macOS 26.4. Gegenüber The Register ordnete Efstathopoulos das strukturelle Problem ein. Er bezeichnete Prompt Injection als „cat and mouse problem“. Modelle werden laut Efstathopoulos besser beim Erkennen von Angriffen, Angreifer wiederum kreativer.
Das Muster kennen ClawNews-Leser bereits. Prompt Injection in einer GitHub-Issue hat kürzlich das KI-Tool Cline kompromittiert. Die Folge war eine ungewollte Installation des KI-Agenten OpenClaw auf rund 4.000 Entwicklerrechnern.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
