AudioHijack: Der lautlose Angriff auf KI-Sprachassistenten
KI-generiert mit ChatGPT
Ein Befehl, den kein Mensch hören kann, bringt einen KI-Assistenten dazu, eine E-Mail zu verschicken oder eine Datei herunterzuladen. Genau das demonstriert eine Forschungsarbeit namens AudioHijack. Vorgestellt wurde sie auf dem 47. IEEE Symposium on Security and Privacy in San Francisco. Hinter dem Angriff stehen Forscher der Zhejiang University, der National University of Singapore und der Nanyang Technological University.
Der Angriff zielt auf sogenannte Large Audio-Language Models, kurz LALMs ab. Dies sind KI-Modelle, die gesprochene Befehle verarbeiten und dabei auf externe Werkzeuge und Anwendungen zugreifen können. Solche Modelle stecken zunehmend in Sprachassistenten, Transkriptionsdiensten und Support-Bots.
Wie der Angriff funktioniert
Das Prinzip ist eine auditive Prompt Injection. Die Forscher betten unhörbare Anweisungen in ganz normales Audio ein. Dafür verändern sie die Zahlenwerte einer digitalen Tonspur so minimal, dass ein Mensch nichts bemerkt. Das KI-Modell deutet die Veränderung als Befehl.
Die Zahlen aus der Studie sind beachtlich. Getestet wurde gegen 13 quelloffene Modelle, über sechs Angriffskategorien hinweg lagen die Erfolgsraten zwischen 79 und 96 Prozent. Betroffen ist die wachsende Klasse quelloffener Sprachmodelle, zu der etwa auch Voxtral von Mistral gehört.
Besonders brisant ist eine Eigenschaft, auf die Lead-Autor Meng Chen ausdrücklich hinweist. Nach rund 30 Minuten Training ist das Angriffssignal einsatzbereit. Anschließend bleibt es aktiv, unabhängig davon, was der Nutzer gerade sagt. Mögliche Folgen reichen vom Herunterladen von Dateien über das Versenden von E-Mails bis zur Websuche.
AnzeigeWie real ist die Gefahr?
Hier ist eine Einordnung wichtig, denn der Befund ist ernst, aber kein Weltuntergang. Es handelt sich um einen Machbarkeitsnachweis aus dem Labor. Der Angriff ist allerdings nur möglich, wenn das Opfer die manipulierte Audiodatei tatsächlich abspielt oder hochlädt. Außerdem betrifft der Befund die getesteten Sprachmodelle, nicht automatisch jeden beliebigen Chatbot.
Zwei Punkte machen die Sache dennoch beunruhigend. Der Angriff funktionierte nicht nur bei offenen Modellen, sondern ließ sich auch auf kommerzielle Voice-KI-Modelle von Microsoft und Mistral übertragen. Zudem stoppten gängige Sicherheitsmaßnahmen nur einen kleinen Teil der Versuche.
Das Forschungsteam untersucht darüber hinaus, ob sich die Technik auch auf geschlossene Modelle von OpenAI und Anthropic übertragen lässt. Ein möglicher Ansatz liegt laut den Forschern in gemeinsam genutzten quelloffenen Audio-Komponenten. Gelungen ist das bislang nicht, geprüft wird es dennoch.
Der Fall reiht sich in eine Entwicklung ein, die längst über einzelne Laborangriffe hinausgeht. Prompt Injection galt lange als Textproblem. Mit AudioHijack erreicht der Angriff nun die Audiospur. Wie Anbieter darauf reagieren, zeigt der Lockdown-Modus von ChatGPT gegen Prompt Injection. Sprachmodelle übernehmen zunehmend echte Aufgaben, etwa als KI-Agenten im Kundenchat. Genau dort entsteht eine Angriffsfläche, die Sicherheitskonzepte bisher kaum abdecken.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
