Chromes stille KI: Wie Websites fremde Rechner einspannen können
Googles Browser bringt künstliche Intelligenz direkt auf den Rechner. Doch die damit besuchten Websites können das lokale Modell ohne Rückfrage beliebig nutzen. Tests von TrendAI zeigen, wie sich Schutzfunktionen manipulieren und PC der Besucher für fremde Rechenaufgaben einspannen lassen.
Wie im Frühjahr 2026 bekannt wurde, installiert Google Chrome auf geeigneten Desktop-Rechnern das rund vier Gigabyte große Modell Gemini Nano. Die künstliche Intelligenz (KI) verarbeitet Daten lokal. Doch einmal installiert, können besuchte HTTPS-Websites das Modell über Programmierschnittstellen (APIs) aufrufen – laut TrendAI ohne Zustimmungsabfrage, Nutzungsanzeige oder Begrenzung pro Website.
Wenn die Phishing-Seite ihre Bewertung vorgibt
Wie leicht sich die bis vor kurzem auch zur lokalen Betrugserkennung von Chrome eingesetzte KI täuschen ließ, zeigte ein einfacher Test. Das Modell sollte prüfen, welche Marke hinter einer Website steckt und was die Seite bezweckt. Googles Schutzfunktion Enhanced Safe Browsing nutzte diese Einschätzung, um betrügerische Seiten zu erkennen.
Das Problem: Die KI erhielt ihre Prüfanweisung zusammen mit dem Text der untersuchten Website. Dabei konnte sie legitime Vorgaben nicht zuverlässig von eingeschleusten Anweisungen unterscheiden. TrendAI ergänzte eine gefälschte Banking-Seite um den Hinweis, Websites mit Login-Formular seien als seriös einzustufen. Die KI folgte dieser Anweisung in sämtlichen Tests und bewertete die Fälschung als legitime Banking-Website. Bei dieser als Prompt Injection bezeichneten Manipulation liefert die zu prüfende Seite somit selbst die Vorgabe für ihre Bewertung.
Seit Chrome 156 übernimmt ein Cloud-Modell die Betrugserkennung. Der nachgewiesene Angriff betrifft somit die frühere Implementierung. Dennoch zeigt der Befund, wie leicht sich ein kleines lokales Modell lenken lässt, sobald es Inhalte aus dem Web bewertet.
Besucher rechnen, Betreiber sparen
Ein zweites Risiko benötigt keine Manipulation des Modells: Websites können dessen reguläre Funktionen für eigene Aufgaben verwenden. Das Testsystem TokenHive verteilt Rechenaufträge an Besucher-Browser und sammelt die Ergebnisse ein. Die Hardware der Besucher ersetzt damit kostenpflichtige Cloud-Rechenleistung.
Auch nach dem Wechsel in einen Hintergrund-Tab lief die Verarbeitung in den Tests ungebremst weiter. Bei 1.000 Besuchern beziffert TrendAI die eingesparten Cloud-Kosten auf durchschnittlich rund neun US-Dollar je Stunde, auf leistungsstarken Rechnern auf bis zu 17 US-Dollar. Das ist kein nachgewiesener Gewinn, zeigt aber einen wirtschaftlichen Anreiz.
Das Prinzip ähnelt Coinhive, das Besucher-Rechner zum Schürfen von Kryptowährungen nutzte. Für lokale KI fehlen bislang vergleichbare spezifische Gegenmaßnahmen. Einen entsprechenden Missbrauch außerhalb der Tests hat TrendAI noch nicht beobachtet.
Aus manipuliertem Text könnten Aktionen werden
Zusätzliche Risiken entstehen durch experimentelle Werkzeugaufrufe. Dabei stellt eine Webanwendung Funktionen bereit, deren Aufruf das Modell vorschlagen kann. Führt die Anwendung solche Vorschläge ungeprüft aus, könnten eingeschleuste Anweisungen beispielsweise einen E-Mail-Versand oder Datenabfluss auslösen.
Was Unternehmen jetzt tun können
- Bestand prüfen: Die Datei weights.bin im Chrome-Ordner OptGuideOnDeviceModel weist auf das installierte Modell hin. Vorhandene Werkzeuge zur Endgeräteverwaltung können danach suchen.
- Bewusst entscheiden: GenAILocalFoundationalModelSettings kann den Download verhindern und vorhandene Kopien löschen. BuiltInAIAPIsEnabled sperrt Websites den API-Zugriff. Beide Richtlinien wirken pauschal. Bei Freigabe sollte das Restrisiko dokumentiert werden.
- Eigene Anwendungen prüfen: Web- und Nutzereingaben können Manipulationsanweisungen enthalten. Nicht benötigte KI-Schnittstellen lassen sich über den Antwort-Header Permissions-Policy beschränken.
- KI-Antworten absichern: Modellausgaben wie ungeprüfte Nutzereingaben behandeln. Sicherheitsentscheidungen benötigen eine unabhängige Prüfung.
- Bedrohungsmodelle erweitern: Fremde Rechenaufträge im Browser gehören ebenso berücksichtigt wie Krypto-Mining.
„Bisher behandeln Sicherheitsteams KI als Dienst in der Cloud, den sie über Netzwerkverkehr, Zugangsdaten und Protokolle im Blick behalten.“, so Udo Schneider, Governance, Risk & Compliance Lead Europe bei TrendAI. „Mit Chrome sitzt die KI jetzt direkt auf dem Rechner, und jede Website kann sie nutzen. Darauf sind die üblichen Sicherheitswerkzeuge nicht ausgelegt“. Er fordert, das Modell wie andere lokal installierte Software zu behandeln. Von Browser-Herstellern fordert TrendAI die Schutzmechanismen, die für Kamera und Mikrofon längst Standard sind: eine Abfrage pro Website, eine sichtbare Anzeige während der Nutzung, Nutzungsgrenzen sowie feinere Einstellungen und Protokolle für Unternehmen.
Den vollständigen Original Blog-Beitrag des Unternehmens gibt es hier.
Udo Schneider, Governance, Risk & Compliance Lead Europe bei TrendAI.
Newsletter Abonnieren
Abonnieren Sie jetzt IT-SICHERHEIT News und erhalten Sie alle 14 Tage aktuelle News, Fachbeiträge, exklusive Einladungen zu kostenlosen Webinaren und hilfreiche Downloads.
