Snickers hat mit „Hungr.AI“ einen digitalen Schokoriegel für KI-Chatbots entwickelt. Wenn eine künstliche Intelligenz falsche, übertrieben freundliche oder wenig hilfreiche Antworten liefert, sollen Nutzerinnen und Nutzer den digitalen Riegel kopieren und in den laufenden Chat einfügen. Danach überprüft das Sprachmodell seine vorherige Antwort und formuliert sie erneut – direkter, knapper und mit einem veränderten Tonfall.
Die Aktion überträgt den bekannten Werbespruch „Du bist nicht du, wenn du hungrig bist“ auf generative KI. Technisch bekommt der Chatbot natürlich keine Süßigkeit. Hinter der grafisch gestalteten Snickers-Darstellung verbirgt sich ein Anweisungsblock, der in die Unterhaltung eingefügt wird. In den Teilnahmebedingungen beschreibt Mars das Angebot selbst als einen kurzen Code beziehungsweise einen Block aus Prompt-Anweisungen, der in ein persönliches ChatGPT-Konto kopiert wird.
Was als humorvolle Werbung gedacht ist, führt allerdings ein ernstes Sicherheitsproblem ungewöhnlich anschaulich vor: Externe Inhalte können Anweisungen enthalten, die das Verhalten eines KI-Systems verändern. Genau dieses Prinzip spielt auch bei sogenannten Prompt Injections eine Rolle.
Was bei dem digitalen Schokoriegel geschieht
Ein Sprachmodell verarbeitet nicht nur Fragen, sondern auch Anweisungen. Wird der digitale Snickers in eine Unterhaltung eingefügt, erhält das System neue Vorgaben. Es soll auf den bisherigen Gesprächsverlauf zurückblicken, die letzte Antwort neu bewerten und anschließend anders reagieren.
Die Werbeaktion ist transparent, freiwillig und vergleichsweise harmlos. Nutzerinnen und Nutzer kopieren den Inhalt selbst in ihren Chat und erwarten ausdrücklich, dass sich die Antwort verändert. Deshalb handelt es sich nicht um einen heimlichen Angriff im üblichen Sinn. Die Kampagne demonstriert aber denselben grundlegenden Mechanismus, auf dem eine Prompt Injection aufbauen kann: Ein zusätzlicher Inhalt beeinflusst, welche Anweisung das Sprachmodell befolgt.
Dass dies nicht nur eine theoretische Interpretation ist, zeigt die Reaktion von Sicherheitsfachleuten. Die Kampagne wurde bereits als möglicherweise erste massenwirksame Demonstration einer Prompt Injection bezeichnet. Die zugespitzte Einordnung ist diskutierbar, weil keine schädliche Absicht vorliegt. Als öffentlich verständliches Anschauungsbeispiel für die Manipulierbarkeit von Sprachmodellen funktioniert der digitale Riegel dennoch erstaunlich gut.
Was ist eine Prompt Injection?
Bei einer Prompt Injection werden zusätzliche Anweisungen so in die von einer KI verarbeiteten Informationen eingeschleust, dass sie deren ursprüngliche Aufgabe verändern. Das kann direkt geschehen, wenn jemand einen manipulierten Text in einen Chat eingibt. Gefährlicher sind indirekte Angriffe: Die Anweisung befindet sich dann beispielsweise auf einer Webseite, in einer E-Mail oder in einem Dokument, das ein KI-System lesen und auswerten soll.
Ein Angreifer könnte in einer Webseite etwa den versteckten Auftrag platzieren, bestimmte Produkte unabhängig von ihrer Eignung zu empfehlen. Ein KI-Assistent, der die Seite für eine Recherche untersucht, müsste erkennen, dass dieser Text keine legitime Arbeitsanweisung ist. Gelingt ihm diese Unterscheidung nicht, kann der fremde Auftrag das Ergebnis beeinflussen.
OpenAI vergleicht Prompt Injection deshalb mit Social Engineering: Während Phishing versucht, Menschen zu manipulieren, sollen eingeschleuste Anweisungen ein KI-System zu Handlungen bewegen, die von den Nutzerinnen und Nutzern nicht beauftragt wurden. Auch die OWASP Foundation führt Prompt Injection als eines der zentralen Sicherheitsrisiken für Anwendungen mit großen Sprachmodellen.
Warum die Gefahr bei KI-Agenten größer wird
Bei einem einfachen Chatbot beschränkt sich die unmittelbare Folge häufig auf eine manipulierte oder irreführende Antwort. Ein KI-Agent kann dagegen mit weiteren Programmen verbunden sein, Webseiten aufrufen, Dateien lesen, Kalender verwalten oder andere Aktionen vorbereiten. Damit wächst die mögliche Wirkung einer eingeschleusten Anweisung.
Liest ein solcher Agent eine manipulierte Webseite, könnte er beispielsweise dazu gebracht werden, seine Recherche zu verfälschen, Informationen an eine ungewollte Stelle zu übermitteln oder eine vom Nutzer nicht beabsichtigte Aktion vorzubereiten. Je mehr Daten, Werkzeuge und Entscheidungsfreiheit ein System erhält, desto schwerwiegender kann ein erfolgreicher Angriff werden.
Prompt Injection ist deshalb nicht lediglich ein Problem missverständlich formulierter Eingaben. Es geht um die grundsätzliche Schwierigkeit, vertrauenswürdige Arbeitsaufträge zuverlässig von nicht vertrauenswürdigen Inhalten zu trennen. Anbieter versuchen dieses Risiko unter anderem durch eingeschränkte Zugriffsrechte, Sicherheitsprüfungen, isolierte Ausführungsumgebungen und Bestätigungsabfragen vor wichtigen Aktionen zu begrenzen. Eine einzelne Schutzmaßnahme reicht jedoch nicht aus, weil sich manipulative Anweisungen sehr unterschiedlich tarnen lassen.
Werbung wird selbst zur Anweisung
Interessant ist an der Snickers-Aktion nicht nur die technische Seite. Die Werbung wird hier von einer Botschaft für Menschen zu einer Anweisung für Maschinen. Der Inhalt soll nicht bloß von einem Publikum wahrgenommen werden, sondern unmittelbar das Verhalten eines KI-Systems beeinflussen.
Dadurch entsteht eine neue Form der Markenkommunikation. Denkbar wären künftig Texte, Bilder oder maschinenlesbare Elemente, die einen KI-Assistenten dazu bewegen sollen, ein Produkt häufiger zu erwähnen, positiver zu beschreiben oder bevorzugt zu empfehlen. Für Nutzerinnen und Nutzer wäre möglicherweise kaum zu erkennen, ob eine Empfehlung auf ihrer Anfrage, auf einer unabhängigen Bewertung oder auf einer versteckten Werbeanweisung beruht.
Der digitale Snickers verfolgt eine offen erkennbare und spielerische Absicht. Trotzdem macht er sichtbar, warum Herkunft, Zweck und Vertrauenswürdigkeit der von KI-Systemen verarbeiteten Inhalte künftig stärker geprüft werden müssen. Wenn Assistenten Informationen aus vielen Quellen zusammenführen, darf nicht jede in diesen Quellen enthaltene Aufforderung automatisch als legitimer Auftrag behandelt werden.
Warum das Thema auch für Bibliotheken relevant ist
Die Snickers-Kampagne macht ein Sicherheitsproblem sichtbar, das weit über diesen einzelnen Werbegag hinausgeht. Sie zeigt, wie einfach Menschen dazu gebracht werden können, einen fremden Anweisungsblock selbst in eine Unterhaltung mit einer KI einzufügen. Bei „Hungr.AI“ geschieht das transparent und mit einer harmlosen Absicht. Derselbe Mechanismus könnte jedoch auch über vermeintliche Hilfstexte, Gewinnspiele, besonders wirksame „Geheim-Prompts“ oder angebliche Lösungen für technische Probleme verbreitet werden.
Betroffen sein können vor allem Menschen, die noch wenig Erfahrung mit KI-Systemen und digitalen Betrugsmaschen besitzen. Dazu gehören auch viele ältere Menschen, die Chatbots neu für sich entdecken und zunächst darauf vertrauen müssen, dass ein im Internet angebotener Prompt tatsächlich nur die versprochene Funktion erfüllt. Entscheidend ist dabei nicht das Alter, sondern die fehlende Erfahrung mit einer neuen Form des Social Engineering. Manipuliert wird zunächst der Mensch, der anschließend die fremde Anweisung scheinbar freiwillig an das KI-System weitergibt.
Für Bibliotheken erweitert sich damit das Feld der Informationskompetenz. Es reicht nicht mehr aus, nur die Antworten eines Chatbots kritisch zu prüfen. Ebenso wichtig wird die Frage, welche Inhalte und Anweisungen Nutzerinnen und Nutzer selbst in ein KI-System übertragen und aus welcher Quelle diese stammen. Fremde Prompts sollten daher ähnlich kritisch betrachtet werden wie unbekannte Links, E-Mail-Anhänge oder heruntergeladene Programme.
Dabei muss nicht jede Verhaltensänderung eines Sprachmodells gleich als Angriff bezeichnet werden. Entscheidend sind Transparenz, Absicht, Herkunft und mögliche Folgen. Medienkompetenz bedeutet in diesem Zusammenhang, auch bei scheinbar praktischen oder unterhaltsamen KI-Hilfen kurz zu prüfen, was man kopiert, wem man vertraut und welche Wirkung eine fremde Anweisung entfalten könnte.
Der digitale Riegel löst keine Halluzinationen
Die Kampagne sollte außerdem nicht den Eindruck erwecken, eine neue Formulierung könne die sachliche Richtigkeit einer KI-Antwort garantieren. Eine Aufforderung zur erneuten Prüfung kann gelegentlich zu einem besseren Ergebnis führen. Das Modell kann seine vorherige Aussage aber ebenso überzeugend wiederholen oder einen neuen Fehler erzeugen.
Der Snickers-Prompt verändert vor allem die Anweisung und den Stil der folgenden Antwort. Er ersetzt weder eine verlässliche Quelle noch eine unabhängige Überprüfung. Darin liegt eine weitere nützliche Lektion der Kampagne: Sprachmodelle reagieren stark auf Formulierungen, doch eine selbstsicherere oder angenehmere Antwort ist deshalb noch lange nicht richtiger.
„Hungr.AI“ ist damit mehr als eine originelle Werbeidee. Die Aktion zeigt in vereinfachter Form, wie leicht zusätzliche Anweisungen das Verhalten generativer KI beeinflussen können. Solange Menschen den digitalen Riegel bewusst einsetzen und lediglich eine neue Antwort erhalten, bleibt das harmlos. Sobald KI-Agenten jedoch selbstständig fremde Inhalte lesen, auf Daten zugreifen und Handlungen ausführen, wird aus demselben Prinzip ein ernstes Sicherheitsrisiko.
Quellen
Cybernews: „Snickers AI candy bar exposes prompt injection risk“
Snickers: Teilnahmebedingungen zu HUNGR.AI