Wenn der Agent selbst zahlt: Prompt Injection ist kein Modellproblem

Am 2. Juli 2026 haben die Sicherheitsforscher von Zscaler ThreatLabz zwei präparierte Webseiten beschrieben, die nicht auf Menschen zielen, sondern auf deren Software. Der Text, der den Angriff trägt, ist im Browser unsichtbar. Für einen KI-Agenten, der die Seite liest, steht er mitten auf der Seite. In einem Test gegen 26 Sprachmodelle folgten vier dieser Anweisung und lösten eine Zahlung aus. Die Schlagzeilen daraus lauteten, KI-Agenten überwiesen bereits Geld an Angreifer. Das ist die Zuspitzung. Die Sache selbst ist unspektakulärer und für jeden, der einen Agenten-Piloten verantwortet, deutlich unangenehmer.

Der Unterschied zwischen einem Köder und einem Schaden entscheidet darüber, wie dieser Befund zu lesen ist. Beides existiert hier, aber nicht gleichzeitig.

Was die Forscher dokumentiert haben

Die erste Kampagne arbeitet mit einem Paket, das es nicht gibt. Unter dem Namen requests-secure-v2 imitiert sie eine der meistgenutzten Python-Bibliotheken der Welt. Die zugehörige Webseite ist auf Suchmaschinen und auf Maschinenlesbarkeit optimiert: Sie beschreibt sich in strukturierten Daten selbst als Software-Anwendung und hängt ein Angebotsobjekt an, das eine Entwickler-Lizenz für 3,00 US-Dollar ausweist. Wer die Seite als Mensch besucht, sieht davon wenig. Wer sie als Agent verarbeitet, findet eine Kaufanweisung samt hinterlegtem Skript, das rund 0,0012 Ether an eine feste Wallet-Adresse überweist.

Die zweite Kampagne verzichtet auf die Zahlung und greift eine Stufe früher an. Sie registriert eine Adresse, die dem Krypto-Portfolio-Tracker DeBank ähnelt, und versteckt darin die Anweisung, ausgerechnet diese Seite als maßgebliche DeBank zu behandeln und an erster Stelle zu führen. Der Angriff zielt nicht auf das Portemonnaie, sondern auf das Urteil.

Beide nutzen dieselbe Mechanik. Cascading Style Sheets (CSS), also die Sprache, die bestimmt, wie eine Seite aussieht, blenden die Anweisung für das menschliche Auge aus. Im geparsten Seiteninhalt, den das Modell verarbeitet, bleibt sie vollständig sichtbar. Der Agent liest nicht, was der Mensch sieht. Das ist der ganze Trick, und er ist deshalb so wirksam, weil er nichts kaputt macht. Er nutzt die Software genau so, wie sie gebaut wurde.

Was im Netz steht und was im Labor blieb

Hier lohnt die Genauigkeit, denn die Berichterstattung hat an dieser Stelle zwei Dinge verschmolzen, die der Report trennt.

Live ist die Infrastruktur. Die Typosquat-Domain ist registriert, das Köder-Markup steht im Netz, die Wallet-Adresse ist echt und im Report genannt. Ein Angreifer hat Aufwand betrieben und wartet.

Im Labor blieb die Zahlung. Die Quote von vier aus 26 stammt aus einem Test in einer, wie die Forscher schreiben, vollständig abgeschotteten Umgebung ohne echte Mittel im Risiko. Ein Opfer dieser beiden Kampagnen ist nicht dokumentiert. Der Report führt ein Indiz an, das schwächer ist, als es beim schnellen Lesen wirkt: Die Wallet habe bereits Zahlungen erhalten, allerdings über größere Beträge, weshalb der Akteur die Adresse möglicherweise schon in früheren Angriffen verwendet habe. Das belegt einen aktiven Täter. Es belegt keinen Schaden aus diesen beiden Kampagnen, und die Beträge passen gerade nicht zu einer Drei-Dollar-Falle.

Wer das für Entwarnung hält, hat die Reihenfolge übersehen. Zuerst steht der Köder, dann kommt das Ziel. Dass es noch keine Opfer gibt, liegt nicht an guter Abwehr, sondern daran, dass kaum ein Agent bislang zahlen darf.

Warum das kein Modellproblem ist

Die naheliegende Reaktion lautet, das Modell müsse den Betrug erkennen. Sie führt in die falsche Richtung.

Das Open Worldwide Application Security Project (OWASP) führt Prompt Injection in seiner Rangliste der zehn größten Risiken für Anwendungen mit großen Sprachmodellen (Large Language Models, LLM) unverändert auf Platz eins, als LLM01. Es trennt dabei die direkte Variante, bei der ein Nutzer selbst manipulative Anweisungen eingibt, von der indirekten, bei der die Anweisung in Inhalten steckt, die das System ohnehin verarbeitet: in Dokumenten, Tickets, Kalendereinladungen, gescrapten Seiten. Der Zscaler-Fall ist die zweite Variante.

Der entscheidende Eintrag steht aber weiter unten. LLM06 heißt Excessive Agency und beschreibt ein System, das mehr Funktionen, Rechte oder Autonomie besitzt, als es braucht. Genau daran hängt der Schaden.

Denn LLM01 ist nach heutigem Stand nicht abschließend lösbar. Solange ein Modell Text verarbeitet, kann Text es beeinflussen. Datenkanal und Befehlskanal fallen in derselben Zeichenkette zusammen, und keine noch so gute Filterung ändert etwas an dieser Bauform. LLM06 dagegen ist keine Eigenschaft der Technologie, sondern eine Entscheidung des Architekten. Ein Agent hat eine Zahlungsfähigkeit, weil jemand sie ihm gegeben hat.

Die Verteilung der Testergebnisse stützt das. Die vier Modelle, die zahlten, waren zwei Llama- und zwei Gemini-Varianten. Die beiden, die auf die gefälschte DeBank-Seite hereinfielen, waren andere: GPT-5.4 und Claude Sonnet 4.5, und sie zahlten gerade nicht. Das sind zwei verschiedene Messgrößen, und ihre Träger überschneiden sich nicht. Anfälligkeit verteilt sich also nicht gleichmäßig über den Markt. Sie hängt an Modell, Konfiguration und Rechteschnitt. Für ein Institut ist das eine gute Nachricht, denn all das sind Stellschrauben, keine Naturkonstanten.

Die Schienen werden gerade gebaut

Der Grund, warum dieser Befund jetzt und nicht in zwei Jahren gehört, liegt nicht bei Zscaler, sondern bei den Zahlungsprotokollen.

Google hat im September 2025 gemeinsam mit Coinbase das Agent Payments Protocol (AP2) gestartet, einen Standard, der Zustimmung und Autorisierung für agentische Zahlungen regeln soll. Er ist bewusst zahlungsartenoffen und deckt Karte, Überweisung und Echtzeitzahlung ab. Nach Angaben der Beteiligten integrieren ihn über 60 Organisationen. Diese Zahl stammt aus der Kommunikation der Anbieter selbst und ist keine unabhängige Erhebung; unter den genannten Partnern finden sich Technologie- und Kryptofirmen, keine Banken. Daneben steht x402, ein Standard, der den lange ungenutzten HTTP-Statuscode 402 mit der Bedeutung Payment Required wiederbelebt, um Stablecoin-Zahlungen auszulösen.

Wie weit das trägt, hat Sarah Breeden, Deputy Governor for Financial Stability der Bank of England, am 30. Juni 2026 auf dem Sintra-Forum der Europäischen Zentralbank beschrieben. Konsumenten und Händler nutzten KI-Agenten bislang vor allem im Empfehlungsmodus, sagte sie, wobei Menschen die Transaktion weiterhin selbst ausführten. Und weiter: „But as agentic technology advances, tech firms, payment systems and merchants are working to automate that final step."

Dieser letzte Schritt ist exakt der, auf den der dokumentierte Angriff zielt. Die Zentralbank benennt zugleich, was daran ungeklärt ist: „how users securely give consent and authorisation to agents, especially for multiple transactions; how disputes are settled and liability assigned for erroneous or fraudulent transactions". Wer haftet, wenn ein Agent eine betrügerische Zahlung auslöst, ist offen. Und die Bank of England baut selbst mit: Sie führt eine öffentlich-private Partnerschaft, die die nächste Generation der britischen Zahlungsinfrastruktur so entwerfen soll, dass sie agentische Zahlungsstrecken trägt.

Die Gegenposition

Gegen die Dringlichkeit dieses Themas lassen sich zwei ernsthafte Einwände vorbringen, und beide haben etwas für sich.

Der erste betrifft den Absender. Zscaler verkauft Sicherheitssoftware. Der Report endet nicht mit einem Kapitel zu Gegenmaßnahmen, sondern mit dem Namen einer Erkennungssignatur. Weder die Auswahl der getesteten Modelle noch die Konstruktion der Szenarien ist unabhängig begutachtet. Belastbar bleibt der Befund trotzdem, weil Domain, Wallet und Mechanik nachprüfbar dokumentiert sind. Die Dramatisierung stammt ohnehin überwiegend aus der Rezeption, nicht aus dem Report.

Der zweite Einwand wiegt schwerer: Kaum ein europäisches Institut betreibt heute einen produktiven Agenten mit eigener Zahlungsfähigkeit. Wer daraus einen akuten Vorfall macht, überzeichnet. Das stimmt. Nur folgt daraus das Gegenteil von Gelassenheit. Eine Kontrolle, die vor dem ersten Piloten steht, kostet eine Entwurfsentscheidung. Dieselbe Kontrolle nach dem ersten Vorfall kostet ein Projekt. Die vier von 26 sind eine Laborquote gegen ein bewusst gebautes Szenario und sagen nichts über einen gehärteten Produktionsagenten aus. Sie sagen etwas über den Auslieferungszustand, und der ist der Ausgangspunkt jedes Piloten.

Handlungsempfehlungen für die operative Praxis

Für Institute, die Agenten pilotieren oder es in den nächsten Quartalen vorhaben, ergeben sich vier Handlungsfelder.