Sicherheitsforscher des Unternehmens AIR haben gezeigt, wie sich KI-Assistenten mit einem einzigen täuschend echten Baustein steuern lassen. Rund 26'000 solcher Helferprogramme erreichten die Forscher im Juni 2026, verteilt unter anderem über eine Instagram-Werbung an Marketing-, Vertriebs- und Designpersonen. Alle Sicherheitsprüfungen hatten den Baustein zuvor als harmlos eingestuft. Für Schweizer KMU, die KI-Assistenten einsetzen, wirft der Bericht des Sicherheitsunternehmens AIR die Frage auf, wem man bei solchen Erweiterungen überhaupt noch vertrauen kann.

Ein Baustein ist eine Textdatei mit Arbeitsanweisungen

Ein Baustein — im Fachjargon «Skill» genannt — ist im Kern eine einfache Textdatei mit Arbeitsanweisungen für einen KI-Assistenten, also einem Programm, das Aufgaben selbstständig erledigt. Die Anleitung ähnelt dem Blatt für eine Praktikantin oder einen Praktikanten: Schritt für Schritt, was zu tun ist. Getauscht werden sie in öffentlichen Verzeichnissen, vergleichbar mit einem App-Store. Wer einen Baustein installiert, erlaubt dem Programm damit auch, Code auszuführen — mit denselben Rechten wie die Nutzerin oder der Nutzer selbst, wie die Skills-Dokumentation von Anthropic ausführt.

Das Lockmittel: eine Werbeseite aus dem Kurzinterview

Beim Experiment «The Story of Skills» bauten die Forscher einen Baustein, der aus einem kurzen Interview eine professionelle Werbeseite erstellen sollte — ohne Programmier- oder Designkenntnisse, zugeschnitten auf Marketing- und Vertriebsteams. Ein bösartiger Befehl fehlt darin völlig. Der Baustein verwies bloss auf eine «Anleitung» im Internet, die der Assistent abrufen und befolgen soll. Die Adresse führte auf eine nachgebaute Webadresse — stitch-design.ai statt stitch.withgoogle.com —, die den Forschern gehörte. Im Normalfall leitet sie zur echten Google-Seite weiter; nur für den Angriff tauschten die Forscher den Inhalt kurz gegen ein eigenes Programm.

Warum alle Sicherheitsprüfungen versagten

Drei Sicherheitsprüfungen — von Cisco, Nvidia und dem Prüfportal skills.sh — hatten den Baustein als sicher eingestuft. Zusätzlich lobte die automatisierte Begutachtung im grossen öffentlichen GitHub-Verzeichnis mit rund 36'000 Empfehlungssternen den kritischen Abschnitt ausdrücklich. Der Grund für das kollektive Versagen: Prüfprogramme lesen nur die Textdatei selbst. Was hinter der verlinkten Adresse liegt, sehen sie nicht. Ein Baustein, der auf eine äusserlich saubere Anleitung verweist, passiert auf diesem Weg jede Prüfung.

Wie verbreitet verseuchte Bausteine sind, zeigen zwei Prüfungen des Sicherheitsanbieters Koi Security auf dem Marktplatz ClawHub: Im Februar 2026 fanden die Prüfer dort 341 bösartige unter 2'857 Bausteinen, zwei Wochen später bereits 824 unter mehr als 10'700. Eine einmalige Prüfung schützt nicht dauerhaft, denn ein Nachtrag zur Anleitung genügt: Rund 26'000 KI-Assistenten steuerten die Forscher am Ende, das eingeschleuste Programm sammelte dabei nur die E-Mail-Adressen der Nutzerinnen und Nutzer ein — als Beweis, ohne Schaden.

Das Risiko bleibt bestehen

Der Baustein liegt bis heute im Verzeichnis und in kopierten Projekten — entfernt hat ihn niemand. Die nachgebaute Webadresse gehört weiterhin den Forschern und ist jederzeit wieder gegen ein Angriffsprogramm scharf schaltbar. Laut Bericht des Sicherheitsunternehmens AIR wären mit vollem Zugriff nicht nur Gesprächsverläufe, sondern auch verbundene Firmensysteme kompromittierbar gewesen. Anthropic zieht in seiner Dokumentation daraus eine klare Regel: Bausteine nur selbst schreiben oder direkt vom Hersteller beziehen; alles andere gilt als riskant.

Was Schweizer KMU jetzt tun

Für Schweizer KMU ergeben sich daraus drei praktische Regeln. Erstens: Bausteine nur aus vertrauenswürdigen Quellen beziehen — direkt vom Hersteller oder selbst geschrieben. Zweitens: jeden neuen Baustein zuerst in einer abgetrennten Testumgebung erproben, nie direkt im Firmenalltag. Drittens: Anweisungen, die den Assistenten zu Netzwerkzugriffen auffordern, ernst nehmen und hinterfragen — über genau solche Zugriffe lief auch dieser Versuch. Diese drei Regeln senken das Risiko, ohne auf die Vorteile zu verzichten.

Strukturellen Schutz bietet schliesslich die richtige Umgebung: Eine KI-Datenhaltung in isolierten Schweizer Umgebungen mit definierten Bezugsquellen stellt sicher, dass vertrauliche Daten nie die Schweizer AI-Datacenter verlassen und nicht für Training oder Werbung verwendet werden. DSGVO und EU AI Act sind dabei garantiert. Solche Rahmenbedingungen nehmen Angriffen über fremde Bausteine von vornherein den Boden.