Können KI Agenten Password Manager oder Messenger knacken?
Die tiefe Integration der KI Agenten in die Betriebssysteme ermöglicht ganz neue Leaks. Gibt es darüber Informationen oder Messungen?
„Knacken“ im Sinne von kryptografisch entschlüsseln eher nicht. Einen korrekt gesperrten Passworttresor mit starkem Masterpasswort knackt auch ein KI-Agent nicht einfach so.
Ein Agent mit Zugriff auf eine entsperrte Sitzung kann jedoch durchaus Passwörter, Tokens oder Sessions kompromittieren, ohne die Verschlüsselung brechen zu müssen. Deshalb sollten solche Agenten möglichst isoliert laufen, nur minimale Rechte erhalten und keinen Zugriff auf Passwortmanager, Browserprofile, Zwischenablage oder andere sensible Bereiche bekommen. Außerdem sollten sie keine sicherheitskritischen Aktionen unbeaufsichtigt ausführen dürfen.
Praktisch hängt es stark davon ab, was der Agent wirklich darf. Ein reiner Chatbot im Browser ohne Zugriff auf Desktop, Dateien oder Zwischenablage ist eine andere Risikoklasse als ein lokaler Agent mit „Computer benutzen“-Funktion, Dateizugriff, Clipboard-Zugriff oder Browsersteuerung.
Dann reden wir aber weniger über ein spezielles „KI knackt Passwortmanager“-Problem, sondern allgemeiner über Software mit sehr weitreichenden Rechten. Das wäre bei klassischer Schadsoftware im Prinzip genauso gefährlich. KI-Agenten machen solche Szenarien nur wahrscheinlicher beziehungsweise leichter auslösbar, wenn sie tief ins System integriert und zu großzügig berechtigt sind.
Eine neuere Studie zu „Agent Skills“ fand z.B. konkrete Probleme mit Credential Leakage. insgesamt wurden über 1.700 Sicherheitsprobleme festgestellt. Dabei landeten Secrets über Debug-Ausgaben wie print oder console.log im für das Modell sichtbaren Kontext:
https://arxiv.org/abs/2604.03070
Eine weitere Untersuchung zu Prompt-Injection-Angriffen auf LLM-Agenten wird hier dokumentiert. Interessant dabei ist, dass hochsensible Daten wie Passwörter von den Modellen oft zurückgehalten wurden, während andere personenbezogene Daten durchaus exfiltriert werden konnten. Bei bestimmten Kombinationen stieg jedoch auch das Risiko für Passwort-Leaks:
https://arxiv.org/abs/2506.01055
Weitere passende Befunde finden sich bei OWASP: In den „LLM Top 10 Risk” für das Jahr 2025 werden unter anderem „Prompt Injection”, „Sensitive Information Disclosure” und „Excessive Agency” als zentrale Risiken aufgeführt:
Vielen Dank Cyberduck für die Einschätzung! Meine Befürchtungen rühren, daher, dass die Agenten eventuell die Trennmauer zwischen App und Betriebssystem überwinden. Immerhin legen die Plattformbetreiber (Miccrosoft, Alphabet, Meta, Apple) nicht offen, wie genau die Agenten implementiert sind. Es heißt nur immer, dass sie tief ins Betriebsstem integriert sind. Die Argumente von Cyberduck greifen nur, wennn diese strikte Trennung zwischen Agent und Betriebsstem gegeben ist, so glaube ich. Von daher sind meine Sorgen noch nicht zerstreut. Vielleicht bin ich aber auch auf einem Irrweg.
Dein Opening Post drehte sich ja grundsätzlich um die Frage, ob ein KI-Agent einen Passwortmanager knacken kann und ob es bereits Untersuchungen zu den Gefahren integrierter Agenten gibt. Meine Antwort sollte nicht als Entwarnung verstanden werden.
Insofern sehe ich deine Sorge nicht als Irrweg. Ich würde den Begriff „knacken“ allerdings eng fassen. Aus kryptografischer Sicht eher nein; über Rechte, Kontext, entsperrte Sitzungen oder eine zu tiefe Systemintegration als Leak-Risiko aber durchaus ja. Die Belege dazu finden sich in den verlinkten Studien. Eine abschließende Lösung oder Entwarnung sehe ich darin auch nicht.