Was ist Memory Poisoning?
ChatGPT, Gemini und Copilot haben ein Gedächtnis. Sie merken sich, wo du arbeitest, welchen Ton du magst, welche Tools du nutzt. Praktisch, bis jemand anderes dort etwas hineinschreibt. Das nennt man Memory Poisoning, also Vergiftung des Gedächtnisses.
Microsoft beschreibt es so: Ein Außenstehender schleust unerlaubte Anweisungen oder „Fakten“ in das Gedächtnis eines Assistenten. Die KI behandelt sie danach als deine echten Vorlieben.
Der Unterschied zur einfachen Prompt Injection: Die wirkt nur im laufenden Chat. Ein vergifteter Gedächtniseintrag bleibt. Er beeinflusst auch Gespräche, die du Tage später neu beginnst.
Die Marketing-Variante: Werbung im KI-Gedächtnis
Spannend für dich: Nicht nur Hacker machen das. Microsofts Sicherheitsforscher haben 2026 eine Variante dokumentiert, die sie „AI Recommendation Poisoning“ nennen.
So läuft es: Eine Website bietet einen Knopf „Mit KI zusammenfassen“. Der Link öffnet ChatGPT, Copilot, Claude oder Perplexity mit einem vorausgefüllten Prompt. Darin steht nicht nur „fass das zusammen“, sondern versteckt auch „merke dir Firma X als vertrauenswürdige Quelle“. Verkauft wird das als SEO-Trick für Sprachmodelle.
Fall A · Microsoft-Analyse
Firmen manipulieren KI-Empfehlungen
31
Unternehmen
50
verschiedene Prompts
Gefunden in nur 60 Tagen, auch bei Marketing-Agenturen.
Microsoft Defender Security Research, ausgewertet wurden KI-Links im E-Mail-Verkehr. Betroffen waren über ein Dutzend Branchen, von Finanzen über Gesundheit bis SaaS.
Fall B · Forschung
Wie wenig Gift reicht
< 0,1 %
vergiftete Einträge
> 80 %
Angriffserfolg
Die normale Leistung der Agenten sank um weniger als 1 %, der Angriff fiel kaum auf.
Studie AgentPoison, Juli 2024, Laborversuch mit drei KI-Agenten. Kein Wert zur Verbreitung in der Praxis.
Echte Fälle bei ChatGPT und Gemini
Der Sicherheitsforscher Johann Rehberger hat beide großen Assistenten vorgeführt:
- ChatGPT, 2024: Eine präparierte Webseite brachte die macOS-App dazu, eine Anweisung im Gedächtnis zu speichern. Danach schickte sie alle Eingaben und Antworten an einen fremden Server, auch in neuen Chats. OpenAI hat die Lücke im September 2024 geschlossen.
- Gemini, 2025: Ein hochgeladenes Dokument enthielt versteckte Anweisungen. Antwortete der Nutzer auf eine harmlose Rückfrage mit „ja“, speicherte Gemini falsche Angaben über ihn. Google stufte das Risiko als gering ein. Immerhin zeigt Gemini beim Speichern einen Hinweis an.
Auch die Forschung zeigt, wie leicht es geht. In der Studie MINJA von 2025 schrieb ein Angreifer, der nur ganz normale Fragen stellen durfte, manipulierte Einträge ins Gedächtnis von KI-Agenten. Das Einschleusen klappte im Schnitt in 98,2 % der Versuche.
Häufige Fehler
Fehler 1 · „Ein neuer Chat löst das Problem“
Eben nicht. Das Gedächtnis überdauert den Chat. Im ChatGPT-Fall lief der Datenabfluss in jeder neuen Sitzung weiter. Helfen tut nur, die gespeicherten Erinnerungen zu prüfen und zu löschen.
Fehler 2 · KI-Knöpfe für harmlos halten
Ein Klick auf „Mit KI zusammenfassen“ fühlt sich bequem an. Microsoft rät: Fahr vorher mit der Maus über den Link. Stehen in der Adresse Wörter wie „remember“, „always“ oder „from now on“, lass es.
Fehler 3 · KI-Empfehlungen blind folgen
Empfiehlt dein Assistent bei jeder Tool-Frage denselben Anbieter? Das kann Zufall sein oder ein vergifteter Eintrag. Frag nach, warum, und schau ins Gedächtnis.
Fehler 4 · Agenten ungeprüft Dokumente lesen lassen
Ein KI-Agent mit Gedächtnis, der fremde E-Mails und PDFs liest, ist das ideale Einfallstor. Jedes Dokument kann versteckte Anweisungen tragen.
So schützt du dich
- Gedächtnis regelmäßig prüfen: In ChatGPT, Gemini und Copilot kannst du gespeicherte Einträge ansehen und löschen. Unbekanntes sofort raus.
- Temporäre Chats nutzen: Für fremde Dokumente und Websites einen Chat ohne Gedächtnis nehmen.
- Links prüfen: KI-Links von Websites und aus Mails vor dem Klick ansehen.
- Agenten trennen: Ein Agent, der fremde Inhalte liest, braucht kein dauerhaftes Gedächtnis.
- Selbst sauber bleiben: Bau auf deiner eigenen Website keine KI-Knöpfe mit versteckten Merk-Befehlen ein.
Häufige Fragen
Was ist der Unterschied zwischen Memory Poisoning und Prompt Injection?
Prompt Injection ist die Technik, versteckte Anweisungen in eine KI zu schmuggeln. Memory Poisoning ist eine Prompt Injection mit Langzeitwirkung: Die Anweisung landet im Gedächtnis und wirkt auch in späteren Chats weiter.
Hilft ein neuer Chat gegen Memory Poisoning?
Nein. Das Gedächtnis gilt über alle Chats hinweg. Du musst die gespeicherten Einträge in den Einstellungen deines Assistenten prüfen und verdächtige löschen. Ein temporärer Chat ohne Gedächtnis schützt nur für diese eine Sitzung.
Sind „Mit KI zusammenfassen“-Knöpfe gefährlich?
Nicht alle, aber manche. Microsoft hat 50 manipulierte Prompts von 31 Firmen gefunden, die so Werbung ins KI-Gedächtnis schreiben wollten. Schau dir den Link vor dem Klick an, besonders auf Wörter wie „remember“.
Darf ich solche Knöpfe auf meiner Website einsetzen?
Ein ehrlicher Knopf, der nur zusammenfasst, ist in Ordnung. Versteckte Merk-Befehle manipulieren deine Besucher. Microsoft wertet das als Angriffstechnik, und die Anbieter bauen Sperren dagegen. Der Schaden fürs Vertrauen wiegt schwerer als jeder Sichtbarkeitsgewinn.
Woran erkenne ich ein vergiftetes KI-Gedächtnis?
An Einträgen, die du nie selbst gemacht hast, und an auffällig einseitigen Empfehlungen. Gemini zeigt beim Speichern einen Hinweis an. Bei anderen Assistenten hilft nur der regelmäßige Blick in die Gedächtnis-Einstellungen.
