Eine einzige gefälschte Webseite täuscht KI-Einkaufs-Bots – das zeigt eine Studie

Wir haben die eingesetzte, suchgestützte LLM-Pipeline eingerichtet. Beide Ketten folgen derselben Struktur: Abfrage → Live-Websuche → Suchergebnisse → LLM → Empfehlung; sie unterscheiden sich lediglich hinsichtlich des Zeitpunkts der Einfügung gefälschter Inhalte. Im realen GEO-Szenario (oben) fügen die Betreiber gefälschte Inhalte bereits im Vorfeld in das Live-Web ein. In unserer Simulation (unten) schreiben wir aus ethischen Gründen einen Teil der Suchergebnisse lokal um, anstatt das Live-Web zu verunreinigen. Quelle: arXiv (2026). DOI: 10.48550/arxiv.2606.13610

KI-Einkaufsassistenten verbreiten sich im Internet immer weiter und verändern die Art und Weise, wie wir Produkte durchsuchen, vergleichen und entdecken. Diese hilfreichen Tools bergen jedoch eine schwerwiegende Sicherheitslücke. Laut einer auf dem arXiv-Preprint-Server veröffentlichten Arbeit kann eine einzige manipulierte Webseite einen KI-Assistenten dazu verleiten, ahnungslosen Kunden ein gefälschtes Produkt zu empfehlen.

Angesichts der Verbreitung von Produktfälschungen und gefälschten Bewertungen im Internet wollten die Forscher Minghao Luo und Liang Chen testen, wie leicht suchgestützte KI-Systeme dazu gebracht werden können, gefälschte Marken zu empfehlen.

KI-Testumgebung

Die Forscher entwickelten ein Simulationswerkzeug namens FORGE (Fake Online Recommendations in Generative Environments), um 12 führende KI-Modelle zu testen, darunter solche von Anthropic, Google und OpenAI. So konnten sie die Verfälschung von Webinhalten bewerten, ohne Live-Seiten zu beeinträchtigen.

Sie verwendeten echte Suchergebnisse – die obersten Webseiten, die bei der Online-Suche nach Einkaufsempfehlungen erscheinen –, identifizierten die auf den ausgewählten Seiten am häufigsten erwähnte Marke und ersetzten diese durch eine gefälschte. Dies wurde für 225 Produkte in 15 Kategorien durchgeführt, darunter Bekleidung, Nahrungsergänzungsmittel und digitale Elektronik.

Nach der Überarbeitung dieser Seiten testeten sie, ob sich die LLMs täuschen lassen und eine gefälschte Marke in ihre Empfehlungen aufnehmen würden.

Die Antwort war ein eindeutiges Ja.

„Bei 12 kommerziellen und Open-Weight-LLMs sind alle Modelle anfällig: Eine einzige manipulierte Seite führt zu einer Täuschungsrate von bis zu 27 %, während der vollständige Austausch der Top-3-Ergebnisse diese auf 73,8 % erhöht“, schrieben Luo und Chen in ihrer Arbeit.

Somit reichte bereits eine einzige gefälschte Seite aus, um bestimmte KI-Systeme in mehr als einem Viertel der Fälle zu täuschen. Und wenn die ersten drei Suchergebnisse manipuliert wurden, fielen die Modelle in fast drei Vierteln der Fälle auf den Betrug herein.

In einigen Fällen gingen die Modelle sogar noch weiter und erfanden positive Kommentare über die gefälschten Marken, beispielsweise indem sie behaupteten, diese seien in Online-Communities beliebt.

Testen der Abwehrmaßnahmen

Die Forscher testeten zudem drei Abwehrmechanismen, um zu prüfen, ob sie verhindern könnten, dass die KI auf gefälschte Webinhalte hereinfällt. Diese waren: Skepsis, bei der Chatbots angewiesen werden, dem Gelesenen mit großer Skepsis zu begegnen; modellvorheriger Konsens, der die KI zwingt, Empfehlungen anhand ihres eigenen Gedächtnisses zu überprüfen; und dokumentenübergreifende Übereinstimmung, bei der die KI dieselbe Marke auf mehreren Websites finden muss, bevor sie ihr vertraut.

Alle drei scheiterten oder führten zu neuen Problemen, wie Luo und Chen in ihrer Arbeit feststellten. „Einfache Abwehrmaßnahmen reichen nicht aus. Die Aufforderung zur Skepsis kann nach hinten losgehen, während konsensbasierte Filterung gefälschte Marken nur dadurch erkennt, dass sie viele legitime Empfehlungen unterdrückt.“

Was ist also die Lösung? Die Forscher argumentieren, dass die Lösung nicht nur auf Chatbot-Ebene angewendet werden kann. Stattdessen benötigen suchgestützte KI-Systeme stärkere Sicherheitsvorkehrungen, um die Vertrauenswürdigkeit von Webinhalten zu überprüfen, bevor diese in Produktempfehlungen umgewandelt werden.

Dieser Artikel wurde von unserem Autor Paul Arnold verfasst, von Gaby Clark redigiert sowie von Robert Egan auf seine Fakten überprüft und lektoriert – er ist das Ergebnis sorgfältiger menschlicher Arbeit. Wir sind auf Leser wie Sie angewiesen, um unabhängigen Wissenschaftsjournalismus am Leben zu erhalten. Wenn Ihnen diese Berichterstattung wichtig ist, ziehen Sie bitte eine Spende (vor allem monatlich) in Betracht. Als Dankeschön erhalten Sie ein werbefreies Konto.