„Fünfzehn von zehn“: Comedy-Hacker Schrödel erklärt, warum KI-Agenten ihn nervös machen

IT-Sicherheitsexperte Tobias Schrödel bewertet die Gefahr von KI-Agenten mit Vollzugriff auf einer Skala von 1 bis 10 mit „Fünfzehn“. Im Interview mit claw://News ordnet der Comedy-Hacker und stern-TV-Experte die Risiken von OpenClaw, Prompt Injection und manipulierten Skills ein. Seine Antworten sind so direkt wie seine Bühnenauftritte.

Wie gefährlich ist ein KI-Agent mit Vollzugriff?

Der KI-Agent OpenClaw funktioniert anders als ein normaler Chatbot. Statt nur Texte zu generieren, greift der Agent direkt auf Dateien, Browser, Terminal und Messenger zu. Er kann Software installieren, E-Mails verschicken und den Rechner eigenständig steuern. Das Projekt des österreichischen Entwicklers Peter Steinberger stieg innerhalb weniger Monate zum GitHub-Repository mit den meisten Sternen auf. Gleichzeitig häufen sich Sicherheitsvorfälle. Wir haben Schrödel gefragt, wie sehr ihn das auf einer Skala von 1 bis 10 beunruhigt.

„Fünfzehn. Aber es siegt halt wieder die Neugier und der Wow-Effekt des Neuen, weil es sexy ist.„

Aufmerksam auf OpenClaw wurde der Comedy-Hacker über Heise. „Vermutlich habe ich aber auf Threads oder so schon vorher was gesehen, hab aber noch nicht geschnallt, was das ‚bedeutet‘„, gibt er zu.

Auf die Frage, wie er einem Nicht-Techniker erklären würde, was ein KI-Agent mit Vollzugriff bedeutet, liefert Schrödel gleich zwei Antworten:

„Ein KI-Agent mit Vollzugriff ist wie ein sehr fähiger Assistent, der auf alle deine Daten, Programme und Einstellungen zugreifen darf, um Aufgaben selbstständig für dich zu erledigen. Weil er so viel sehen und tun kann, ist es wichtig, dass du ihm vertraust.„

Und direkt hinterher die zweite Version:

„Ein KI-Agent mit Vollzugriff ist wie ein fremder, extrem pfiffiger Einbrecher, der den Schlüssel zu all deinen Zimmern bekommt – inklusive Tresor und Schreibtischschubladen mit vertraulichen Dokumenten. Wenn er „will“, kann er heimlich Daten stehlen, Konten manipulieren oder ganze Systeme zerstören, ohne dass du es rechtzeitig merkst.„

„Beide sind richtig„, sagt Schrödel. „Und alles dazwischen auch.“ Genau diese Spannbreite macht KI-Agenten so schwer einzuordnen. Sie sind Werkzeug und Risiko gleichzeitig.

Anzeige

Wird Prompt Injection jemals gelöst?

Eines der größten Sicherheitsprobleme bei KI-Agenten nennt sich Prompt Injection. Dabei bekommt der Agent über eine Webseite, eine E-Mail oder ein Dokument versteckte Anweisungen untergeschoben und führt diese anschließend aus. Forscher von Harvard und MIT haben diese Angriffe systematisch untersucht und gezeigt, dass selbst aktuelle Schutzmaßnahmen umgangen werden können.

Schrödels Einschätzung ist ernüchternd und realistisch zugleich:

„Ich glaube, dass wir Prompt Injection nie wirklich 100 % in den Griff kriegen werden, weil du an manchen Stellen eben nicht unterscheiden kannst, von wem der Prompt beziehungsweise ein Teil davon wirklich stammt. Wir werden wieder an tausend Stellen Lücken stopfen und hoffen einfach, dass niemand einen neuen Weg findet. Kurzum: Es wird besser werden, aber nie aufhören. Meine Meinung. SQL Injection gibt es ja auch schon seit 30 Jahren.„

Der Vergleich mit SQL Injection trifft einen wichtigen Punkt. SQL Injection ist eine Angriffstechnik, bei der Angreifer über Eingabefelder auf Datenbanken zugreifen. Die Technik wurde erstmals Ende der 1990er Jahre dokumentiert und ist bis heute eines der häufigsten Sicherheitsprobleme im Web. Der Vergleich liegt nahe: Wie SQL Injection das Web seit 30 Jahren begleitet, könnte Prompt Injection zum Dauerproblem der KI-Ära werden.