Dark Sourcery: Vergiftete Webseiten, 374 Marken und Antworten, die niemand überprüft hat

Am 23. September 2026 veröffentlichte das Sicherheitsunternehmen Vigilance Security eine Studie, in der eine aktive Kampagne beschrieben wird, die es Dark Sourcery nennt: Angreifer fluten das offene Web mit optimierten Beiträgen, PDFs, Bewertungen und gefälschten Supportseiten, damit ChatGPT, Google Gemini und Google AI Overviews betrügerische Telefonnummern, E-Mail-Adressen und Anmeldeseiten als offizielle Kontaktdaten eines Unternehmens zurückgeben. Dark Reading berichtete am selben Tag über die Studie und nannte Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb und TripAdvisor unter mindestens 374 Unternehmen, die davon betroffen waren, mit Zehntausenden bösartigen Seiten dahinter. Kein Modell wurde gehackt – die vergifteten Seiten waren einfach das, was die Modelle lasen, und der Betrug kam mit der eigenen Glaubwürdigkeit des Assistenten daher. Dieser Datensatz ist ein Eintrag in dem OrcaRouter AI Incident Archive, das KI-Vorfälle und Forschungsergebnisse mit denselben hier verwendeten Feldern erfasst: Schweregrad, Konfidenz, Status als umstritten und tatsächlicher Schaden.

Was Vigilance Security tatsächlich veröffentlicht hat

Die Recherche ist ein Medium-Beitrag von Ariel Simon, Vizepräsident für Forschung bei Vigilance, mit dem Titel „Dark Sourcery: Wie Hacker KI manipulieren, um Sie zu betrügen“, veröffentlicht am 23. September 2026. Der Bericht von Dark Reading, verfasst von der Gastautorin Elizabeth Montalbano und mit Zeitstempel 14:47 UTC an diesem Tag, verlinkt direkt darauf und zitiert Simon durchgängig. Der Beitrag beschreibt eine Content-Operation und keinen Exploit: Es wird keine Schwachstelle ausgenutzt, dem Angreifer werden direkt keine Zugangsdaten gestohlen, und nichts wird an ein Modell gesendet, das ein Modell lernen könnte abzulehnen.

Vigilance gibt an, „zehntausende schädliche Seiten“ identifiziert zu haben, die gefälschte Supportnummern, E-Mail-Adressen, Login-Seiten, Informationen zu Software-Updates und andere betrügerische Angaben enthielten und dazu erstellt wurden, die Aussagen von Chatbots zu beeinflussen. Die Zahl der betroffenen Unternehmen beziffert das Unternehmen auf „mindestens 374“; darunter seien laut Beschreibung Fortune-100-Unternehmen, große Fluggesellschaften, Banken, Reiseunternehmen und Softwareanbieter. Die in Dark Readings Bericht genannten Marken sind Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb und TripAdvisor.

Weder der Forschungsbeitrag noch die anschließende Berichterstattung bietet eine Aufschlüsselung nach Marken – welche erfundene Zahl zu welchem Unternehmen gehörte, wie viele manipulierte Seiten auf welche Marke abzielten oder wann eine einzelne Seite veröffentlicht wurde. Die Zahl 374 wird als Gesamtsumme dargestellt, und der Datensatz gibt sie ebenso wieder.

Simon zitiert außerdem eine im August 2026 veröffentlichte Studie von Exploding Topics, die zu dem Ergebnis kommt, dass 91 % der Menschen, die KI-Chatbots nutzen, die bereitgestellten Antworten nicht überprüfen. Diese Zahl ist die Prämisse der Kampagne und nicht ihr Messergebnis: Sie wird in der Studie zitiert und von Dark Reading und IANS wiederholt, und ihre eigene Methodik wird in keinem der hier geprüften Berichte beschrieben. In Simons Darstellung: „Wenn Angreifer die KI kontrollieren und wir ihr blind vertrauen, kontrollieren sie im Wesentlichen uns.“

Wie die Vergiftung aufgebaut ist

Der Mechanismus hat drei Teile, und nur der erste gehört in irgendeinem herkömmlichen Sinn zum Angreifer. Erstens: das Web mit Seiten bestücken, die die falsche Kontaktangabe angeben. Zweitens: diese Seiten so aussehen lassen, als stammten sie von einer Stelle, der ein Retrieval-System vertrauen sollte. Drittens: den Assistenten das Zitieren übernehmen lassen.

Der zweite Schritt ist der, auf den Vigilance den größten Wert legt. „Wir vermuten, dass Domains mit hoher Autorität (Universitäten, Regierung) in Kombination mit Quellen der öffentlichen Meinung (soziale Medien, Foren, Nutzerbewertungen) großen Erfolg dabei hatten, KI-Antworten zu vergiften“, sagte Simon gegenüber Dark Reading. „Je nach Modell betrachtet die KI die Quelle und vertraut dem Inhalt stärker, wenn er von einer autoritativen Instanz stammt.“ Das ist eine Beschreibung geliehener Reputation: Eine kompromittierte oder missbrauchte Universitätsseite liefert die Autorität, und eine Streuung von Forenbeiträgen und Bewertungen liefert den Anschein, dass die Behauptung anderswo bestätigt wird.

Ground Truth, ein Medium, das KI-Behauptungen mit ihren Quellen abgleicht, fasste die in Simons Beitrag aufgeführten Seeding-Taktiken zusammen: dieselben oder ähnliche falsche Kontaktangaben, verbreitet über nutzergenerierte Beiträge, PDFs, gehostete Seiten, Bewertungen, Fundraising- und Jobplattformen sowie Inhalte im Q&A-Stil; auf Retrieval abgestimmte Details mit wiederholter Formatierung und Phrasen wie „24/7“ und „updated 2026“; und dieselbe Telefonnummer, dargestellt mit Leerzeichen, Punkten, Emojis, Unicode-ähnlichen Zeichen oder ausgeschriebenen Wörtern. Die letzte Technik erfüllt einen Doppelzweck – sie vereitelt die Erkennung doppelter Zeichenketten, während ein Modell dennoch eine einzige Nummer liest. Ground Truth beschreibt das Ziel präzise: nicht eine einzelne virale Seite, sondern „der Anschein unabhängiger Bestätigung“.

GIGAZINEs Bericht über die Forschung liefert ein konkretes Beispiel: einen gefälschten HP-Drucker-Support-Beitrag und ein Bild, das eine Telefonnummer enthielt, die nicht HP gehörte. Es ist ein Beispiel für das Muster und kein geprüfter Fall, und das Medium schreibt es der Vigilance-Studie zu, nicht einer eigenen Untersuchung.

Keine Prompt-Injection – aber als solche abgelegt

Der Unterschied ist wichtig, und Simon zieht ihn ausdrücklich. Dark Reading zitiert ihn mit den Worten, die Kampagne unterscheide sich von Prompt-Injection „dadurch, dass der Angreifer der KI keine ausdrücklichen Anweisungen oder Prompts gibt, die von KI-Verteidigungen vereitelt werden könnten.“ Seine präzisere Formulierung: „Hier bringt die als Fakten dargestellte Desinformation die KI dazu, dem Nutzer die falschen Informationen zu antworten, ohne jemals einer Anweisung/einem Prompt des Angreifers zu folgen, und umgeht damit im Wesentlichen sämtliche Verteidigungen.“

Es unterscheidet sich auch von der Vergiftung von Trainingsdaten, die korrumpiert, was ein Modell vor der Bereitstellung gelernt hat. Alles hier geschieht zur Retrieval-Zeit, gegen das Live-Web, nachdem das Modell ausgeliefert wurde – weshalb kein erneutes Training es behebt und weshalb die vergiftete Seite entfernt werden kann, ohne dass sich die Antwort zwangsläufig ändert.

Das Archiv ordnet diesen Datensatz unter IPI ein, seinem Tag für indirekte Prompt-Injection. Genau lesen: Der Tag und die Untersuchung beschreiben benachbarte Dinge: IPI erfasst Inhalte, die ein Modell indirekt erreichen – innerhalb von Material, das das Modell verarbeiten soll –, statt vom Nutzer eingetippt zu werden. Dark Sourcery ist dieser Kanal mit entferntem Befehl – die Nutzlast ist eine Tatsache, kein Befehl. Der Tag ist eine Ablageentscheidung über den Kanal; Simons Darstellung ist eine Behauptung über die Nutzlast, und beides steht nicht im Widerspruch. Der Tag sollte nicht als Behauptung gelesen werden, dass ein Angreifer-Prompt übermittelt wurde, denn der Untersuchung zufolge wurde keiner übermittelt.

Was die Aktenlage belegt – und was nicht

Das Archiv bewertet diesen Datensatz mit B — dokumentiert, aber aus einer einzigen oder sekundären Quelle — und diese Bewertung ist das Nützlichste daran. Nichts in der hier geprüften Berichterstattung widerspricht der Forschung. Das Problem ist nicht der Widerspruch; es ist, dass die Belegkette nur ein einziges Dokument breit ist.

• Belegt: Vigilance Security veröffentlichte die Untersuchung am 23. September 2026 unter Simons Namen, und sie enthält die oben beschriebenen Behauptungen – die 374 Unternehmen, die Zehntausende Seiten, die genannten Marken, den Mechanismus, die Taktik der geborgten Autorität.

• Belegt: Über die Forschung wurde am selben Tag von Dark Reading berichtet und innerhalb von fünf Tagen von IANS (24. September), GIGAZINE und Ground Truth (25. September), NEWSru.co.il unter Berufung auf das israelische Medium Israel Defense (27. September) sowie auf den Forschungsseiten der Anbieter bei Aviatrix (23. September) und Kronus Intelligence Group (28. September).

• Dadurch nicht belegt: unabhängige Überprüfung. Jeder dieser Beiträge geht auf Simons Beitrag oder auf den Bericht von Dark Reading darüber zurück, sie verbreiten die Behauptungen also, statt sie zu prüfen. Die zweite vom Archiv selbst zitierte URL, bestsec.net, ist ein Cybersicherheits-Nachrichtenüberblick, der täglich aktualisiert wird; am 26. Oktober 2026 enthielt ihre Startseite keinen Eintrag zu Dark Sourcery, daher ist der Beitrag von Dark Reading die dauerhafte Quelle.

• Nicht belegt: der Umfang. Ground Truth stellt unmissverständlich fest, dass „die Behauptungen der Offenlegung zu 374 betroffenen Unternehmen und zehntausenden Seiten nicht unabhängig geprüft wurden“ und dass kein öffentlicher Datensatz, kein Korpus schädlicher Seiten und kein reproduzierbares Abfrageprotokoll veröffentlicht wurde. Die Analyse von Kronus Intelligence Group vom 28. September kommt zum selben Schluss und schlägt die nützliche Bezeichnung vor: den Mechanismus als belegt und den Umfang als „gemeldet, aber nicht verifiziert“ zu beschreiben.

• Nicht belegt: die Reproduzierbarkeit – nach eigener Darstellung der Forschenden. Ground Truth berichtet, dass Simon die Ergebnisse als statistisch beschrieb und sagte, sie ließen sich nicht bei jeder Ausführung einer Abfrage reproduzieren. Das ist eine gewöhnliche Eigenschaft retrieval-augmentierter Systeme – Rankings, Modellversionen, Standort, Zeitpunkt und Formulierung verändern sich – und es ist auch der Grund, warum der Befund nicht auf Anforderung demonstriert werden konnte.

• Nicht belegt: das Ausmaß des Schadens. Das Archiv verzeichnet tatsächlichen Schaden als gegeben, doch die Grundlage dafür ist schmal. Simon sagte gegenüber Dark Reading, Vigilance habe „einige Fälle“ gesehen, in denen sich Menschen darüber beschwerten, durch betrügerische Nummern, die in Chatbot-Antworten genannt wurden, dazu gebracht worden zu sein, Zahlungsdetails oder Zahlungskartendaten preiszugeben. Die Forscher riefen auch einige der gefälschten Nummern selbst an und erreichten einen Vertreter, der anbot, „unseren Flug umzubuchen“ oder „unser Bankkonto freizuschalten“, und dann nach Kartendaten fragte. Kein Opfer wird genannt, kein Verlust beziffert, und weder eine Beschwerde noch eine Durchsetzungsmaßnahme wird angeführt.

Nicht bestritten: Das Archiv verzeichnet den Eintrag als unangefochten, und das hält stand – die offenen Fragen in der Berichterstattung sind Lücken in der Offenlegung, nicht Widersprüche dagegen.

Was die beiden Plattformen gesagt haben

Laut NEWSru.co.il, unter Berufung auf Israel Defense, meldeten die Forscher das Verhalten beiden Anbietern. Googles berichtete Haltung war, dass diese Art von Desinformation nicht in den Geltungsbereich seines Vulnerability-Disclosure-Programms falle. OpenAI soll den Bericht mit der Begründung geschlossen haben, dass die Ergebnisse angesichts der Variabilität von Sprachmodell-Antworten nicht zuverlässig reproduziert werden könnten. Beide Zusammenfassungen sind Paraphrasen: Der Artikel nennt keinen Sprecher bei einem der beiden Unternehmen, enthält kein direktes Zitat und datiert die Antworten nicht.

Keine der beiden Antworten bestreitet, dass die vergifteten Antworten existieren. Als Triage-Entscheidungen statt als Widerlegungen gelesen, sind beide zumindest in sich stimmig — ein Bug-Bounty-Programm ist darauf ausgelegt, einen reproduzierbaren Fehler im Code zu prämieren, und dieser Fall ist weder auf Anforderung reproduzierbar noch ein Fehler im Code. Die vergiftete Seite befindet sich auf der Website von jemand anderem. Was der Austausch jedoch zeigt, ist eine Lücke: Der Schaden ist real genug, um Opfer hervorzubringen, und das Verhalten ist variabel genug, um einen Reproduktionstest nicht zu bestehen, sodass es in dem Zwischenraum zwischen „Sicherheitslücke“ und „Inhaltsproblem“ landet, in dem kein Offenlegungskanal darauf wartet.

Weder OpenAI noch Google hatten die Zahl von 374 Unternehmen mit Stand von Kronus’ Analyse vom 28. September öffentlich bestätigt oder widerlegt, und in keinem der hier geprüften Berichte findet sich eine Stellungnahme eines der beiden Unternehmen.

Was hat sich danach geändert?

Als Reaktion wurde keine Änderung der Plattform angekündigt. Die Kampagne wurde bei der Veröffentlichung am 23. September als laufend beschrieben, und Simons eigene Einschätzung lautet, dass die Bilanzierung noch nicht abgeschlossen ist: „Wir glauben, dass die tatsächlichen Auswirkungen dieser Betrugsmaschen gerade jetzt stattfinden, und wir sind noch immer nicht in der Lage, die vollen Auswirkungen vollständig zu erfassen oder zu messen.“

Was stattdessen existiert, sind Ratschläge. Simons Empfehlungen, wie von Dark Reading berichtet, gehen in drei Richtungen. Für Nutzer: Überprüfen Sie, was ein Assistent Ihnen sagt, statt es als unfehlbar zu behandeln. Für Marken: Nehmen Sie Kundenbeschwerden über Betrugsversuche ernst, überwachen Sie die KI-Antworten, die Kunden tatsächlich erhalten, und die Quellen, die diese Antworten zitieren, und priorisieren Sie die Kategorien, in denen eine falsche Nummer teuer ist — Support, Kontowiederherstellung, Rückerstattungen, Zahlungen und Software-Downloads. Für Organisationen, die Agenten betreiben: Überwachen Sie zur Laufzeit, verifizieren Sie jede Quelle und jeden Inhalt, der in den Kontext des Modells gelangt, und prüfen Sie kritische Details — Telefonnummern, Links, Softwarepakete, Befehlszeilen —, bevor Sie darauf reagieren. Der Vergleichsschritt, den er vorschlägt, ist bewusst manuell: „Vergleichen Sie zurückgegebene Telefonnummern, E-Mail-Adressen und URLs mit verifizierten Unternehmensdaten und untersuchen Sie dann unbekannte Details und wiederkehrende Indikatoren auf unabhängigen Websites.“

IANS ließ dieselben Ratschläge durch sein Faculty-Review laufen, wobei Josh More die Kampagne in eine Traditionslinie einordnete – „Das sehen wir seit Jahren bei Suchmaschinen“ – und George Gerchow den Mechanismus auf einen Satz verdichtete, den man sich merken sollte: „Niemand ist in das Modell eingebrochen. Sie haben die Quellen, denen es vertraut, mit Inhalten gefüttert und es reden lassen. Der Chatbot wurde nicht gehackt; er wurde gefüttert.“ Die Empfehlungen der IANS-Faculty ergänzen die Verifizierungshinweise um Markenmonitoring und Grenzen für die Autonomie von Agenten, und keine davon stellt eine Behebung dar.

Warum es sich lohnt, die Aufzeichnung aufzubewahren

Search-Result-Poisoning ist alt. Was dieser Datensatz beschreibt, ist der Punkt, an dem das Suchergebnis aufgehört hat, das zu sein, was der Nutzer sieht. In der herkömmlichen Variante landet ein Opfer auf einer Seite, und die Seite ist der Beweis – schlecht geschrieben, seltsam gehostet, sichtbar nicht die Bank. Hier wird die Seite nie gerendert. Ein Modell liest sie, stimmt ihr zu und schreibt einen Satz, der mit dem Namen der Marke beginnt und mit der Nummer des Angreifers endet. Die Quellenangabe mag vorhanden sein, doch das Urteil, das eine Quellenangabe normalerweise stützt, wurde bereits von etwas gefällt, das nicht müde oder misstrauisch wird.

Das ist auch der Grund, warum der Vertrauensgrad des Eintrags echte Arbeit leistet und nicht bloß Ordnungspflege ist. Der Mechanismus steht nicht ernsthaft infrage – so werden retrieval-augmentierte Systeme gebaut, und die Branchenanalysten, die darüber schrieben, hielten ihn auf Anhieb für plausibel. Das Ausmaß ist fraglich und bleibt fraglich, bis jemand einen Korpus oder ein Query-Log veröffentlicht. Eine Messung eines einzelnen Unternehmens, verbreitet von Medien, die alle denselben Beitrag zitieren, ist ein Grund, den Vorfall zu dokumentieren, und ein Grund, die Zahl nicht so weiterzugeben, als wäre sie zweimal gezählt worden.

Die eigene Einordnung des Archivs stuft ihn als hohe Schwere ein: KI-Beteiligung bestätigt, realer Schaden dokumentiert und kein Widerspruch damit verbunden. Was der Eintrag wirklich dokumentiert, ist eine Verlagerung von Vertrauen: Die Reputation der Marke ist der Rohstoff, die Sprachgewandtheit des Assistenten der Übermittlungsmechanismus, und der Prüfschritt, der es hätte erkennen können, ist derjenige, den angeblich 91 % der Nutzer überspringen.