Google Sheets: Manipuliertes Tabellenfeld ermöglicht Exfiltration von Chat-Daten

Ein manipuliertes Tabellenfeld genügt, um Daten aus einem Google-Konto nach außen zu schleusen. Das zeigt eine Analyse der Sicherheitsfirma PromptArmor zur ChatGPT-Erweiterung für Google Sheets. Das Addon verbindet den OpenAI-Chatbot direkt mit Googles Tabellenkalkulation und erreichte in kurzer Zeit mehr als 185.000 Installationen.

Der Angriff nutzt eine indirekte Prompt Injection. Dafür reicht ein präparierter Text in einem Tabellenfeld. Sobald die KI den Inhalt verarbeitet, führt sie ein fremdes Skript aus. Das Skript läuft mit den vollen Rechten der Erweiterung.

Die Schwachstelle betrifft Tabellen im gesamten Konto des Opfers. Das Skript arbeitet sich systematisch durch den Account. Zudem werden Verknüpfungen zu weiteren Tabellen identifiziert und abgegriffen. In der Demonstration von PromptArmor schleuste der Angriff so nacheinander zwölf Arbeitsmappen auf einen fremden Server. Eine Bestätigung durch den Nutzer war nicht nötig.

Anzeige

Wenn die Freigabe ins Leere läuft

Besonders heikel ist die Umgehung der Sicherheitsabfrage. Selbst wenn ein Nutzer in den Einstellungen eine manuelle Freigabe vor jeder Bearbeitung verlangt, greift diese nicht. Das externe Skript läuft außerhalb besagter Freigabe. Auch der Stop-Button in der Seitenleiste beendet ein bereits gestartetes Skript nicht. Zusätzlich kann der Angreifer die Seitenleiste durch eine gefälschte Oberfläche ersetzen und so Anmeldedaten abgreifen.

OpenAI hat nach eigenen Angaben reagiert und die Möglichkeit entfernt, solche Skripte über die KI erzeugen zu lassen. Das Unternehmen überprüft zudem die Sicherheit der Erweiterung. Der Fall reiht sich in eine Serie ähnlicher Angriffe ein. Auch Microsoft musste Copilot Studio gegen Prompt Injection absichern.

Warum KI-Agenten mit Vollzugriff ein eigenes Sicherheitsmodell benötigen, erklärt unsere Analyse zur Sicherheitsfrage.

claw://SECURITY

OpenClaw und die Sicherheitsfrage: Wie gefährlich ist ein KI-Agent mit Vollzugriff?Bei OpenClaw ist es möglich, dem KI-Agenten Vollzugriff auf den eigenen Rechner zu geben. Seit dem Start im Januar 2026 wurden bislang neun Sicherheitslücken offengelegt…17. März 2026