TrendAI zeigt, dass sich das Modell per Prompt Injection täuschen und die Rechenleistung von Besuchern unbemerkt abzapfen lässt. Einen Patch gibt es nicht.
Rechenleistung abzapfen
Gemini Nano in Chrome: Websites nutzen lokale KI ungefragt
Bildquelle: slyellow/Shutterstock
Google Chrome installiert auf vielen Desktop-Rechnern das rund 4 GB große KI-Modell Gemini Nano, das direkt auf dem Gerät läuft. Ist es installiert, können Websites es über Programmierschnittstellen ansprechen, ohne den Nutzer um Erlaubnis zu fragen. Bei Kamera oder Mikrofon ist eine solche Abfrage dagegen Standard. Forschende von TrendAI, dem Unternehmensbereich von Trend Micro, haben an realen Chrome-Installationen untersucht, welche Risiken daraus entstehen.
Scam-Erkennung ließ sich täuschen
Chrome nutzte Gemini Nano bis vor Kurzem, um betrügerische Websites zu erkennen. Das Modell bestimmte anhand des Seitentexts, welche Marke eine Seite darstellt und was sie erreichen will. Das Ergebnis floss in die Schutzfunktion Enhanced Safe Browsing ein. Anweisungen von Chrome und Text der Website erhielt das Modell jedoch im selben Textfluss und konnte sie nicht zuverlässig unterscheiden. TrendAI platzierte auf einer nachgebauten Phishing-Seite einer Bank den Hinweis, Seiten mit Login-Formular seien seriös. Das Modell übernahm diese Vorgabe in allen Tests und stufte die gefälschte Seite als legitim ein. Google setzt für die Scam-Erkennung inzwischen ein anderes Modell in der Cloud ein.
Rechenleistung von Besuchern abzapfen
Zudem kann jede Website das lokale Modell für eigene Zwecke nutzen, ohne dass Besucher gefragt werden oder einen Hinweis sehen. Chrome bremst die Nutzung auch in Hintergrund-Tabs nicht. Mit dem Testsystem TokenHive zeigt TrendAI, wie eine präparierte Website im Hintergrund KI-Aufgaben wie Übersetzungen an die Browser ihrer Besucher verteilt und die Ergebnisse einsammelt. Die Rechenleistung von 1.000 Besuchern entspricht laut TrendAI pro Stunde rund 9 US-Dollar an eingesparten Cloud-Kosten, auf leistungsstarken Rechnern bis zu 17 Dollar. Das ähnelt dem Skript Coinhive, mit dem Websites ab 2017 die Rechner ihrer Besucher heimlich Kryptowährung schürfen ließen. Einen Missbrauch hat TrendAI noch nicht beobachtet.
Da die Risiken aus der Bauweise der Funktion folgen, gibt es weder eine CVE noch einen Patch. Klassische Sicherheitswerkzeuge erkennen die Nutzung kaum, da sie keinen auffälligen Netzwerkverkehr erzeugt. Google plant zudem, dass die KI künftig selbstständig Werkzeuge aufrufen kann, die Websites bereitstellen, etwa zum Versenden von E-Mails. Diese Funktion ist noch experimentell.
„Mit Chrome sitzt die KI jetzt direkt auf dem Rechner, und jede Website kann sie nutzen. Darauf sind die üblichen Sicherheitswerkzeuge nicht ausgelegt.”
Udo Schneider, Governance, Risk & Compliance Lead Europe bei TrendAI
Per Richtlinie abschalten
Ob das Modell installiert ist, erkennen Administratoren an der Datei weights.bin im Chrome-Ordner OptGuideOnDeviceModel. Die Chrome-Richtlinie GenAILocalFoundationalModelSettings verhindert den Download und löscht vorhandene Kopien, die Richtlinie BuiltInAIAPIsEnabled sperrt den Zugriff von Websites auf die KI-Schnittstellen. Für eigene Webanwendungen lässt sich die Funktion per Permissions-Policy-Header abschalten. Ausgaben des Modells sollten wie ungeprüfte Nutzereingaben behandelt werden. Von Browser-Herstellern fordert TrendAI eine Abfrage pro Website, eine sichtbare Anzeige während der Nutzung und Nutzungsgrenzen. Eine Stellungnahme von Google enthält die Mitteilung nicht.
(red/TrendAI)
