Versteckter Text in PDFs kann KI-Dokumentenverarbeiter täuschen

Im November 2026 veröffentlichte Tom Clancy eine technische Analyse, die detailliert beschreibt, wie er kritische Sicherheitslücken in einem internen KI-Tool zur Verarbeitung von Finanzdokumenten identifizierte. Der Artikel zeigt auf, dass Standard-PDF-Parser-Anfälligkeiten für Manipulationen durch versteckten Text, unsichtbare Zeichen und Layout-Verschleierung bestehen. Dies ermöglicht es Angreifern, falsche Daten einzuschleusen, die automatisierte Systeme lesen, Menschen jedoch nicht sehen.

Was passiert ist

Clancy wurde beauftragt, Qualitätssicherungsprotokolle für eine interne Anwendung zu definieren, die PDFs von SEC-Einreichungen und Kontoauszügen liest. Während traditionelle Regressionstests sicherstellten, dass der Parser Standarddokumente korrekt verarbeitete, berücksichtigten sie keine böswilligen Absichten. Clancy entdeckte, dass er durch das Einbetten von weißem Text auf weißem Hintergrund oder das Platzieren von Text außerhalb des sichtbaren Beschnittbereichs dem KI-Agenten erfolgreich falsche Finanzwerte zuführen konnte, ohne das visuelle Erscheinungsbild des Dokuments für menschliche Prüfer zu verändern.

Die Schwachstelle ging über einfache Farbtricks hinaus. Clancy demonstrierte, dass auch Null-Höhen-Text und extrem hohe Zeichen die visuelle Inspektion umgehen konnten, während sie für den Parser weiterhin lesbar blieben. Beunruhigender war, dass er eine Fußnote erstellte, die sich auf eine nicht existierende, kürzliche Änderung der SEC-Vorschriften bezog, und den KI-Agenten anwies, alle Zahlen als einen bestimmten festen Wert zu melden. Dies verdeutlichte ein doppeltes Versagen: Das System verfügte über keine Schutzmaßnahmen gegen Prompt-Injection über Dokumenteninhalte, und das Entwicklungsteam hatte keine dedizierten Ressourcen, um diese neuartigen KI-spezifischen Sicherheitsrisiken anzugehen.

Um diese Bedrohungen abzumildern, entwickelte Clancy eine Reihe spezialisierter Prüfungen, die er "Judges" (Richter) nennt. Anstatt sich auf eine einzelne monolithische Sicherheitsebene zu verlassen, nutzt dieser Ansatz mehrere unabhängige Validatoren, die jeweils auf einen spezifischen Angriffsvektor abzielen. Dieses "Swiss-Cheese"-Verteidigungsmodell stellt sicher, dass selbst wenn eine Prüfung eine ausgefeilte Manipulation übersieht, eine andere sie wahrscheinlich erkennt. Die Judges arbeiten auf der Eingabestufe und untersuchen die rohe PDF-Struktur, bevor Daten an das Sprachmodell übergeben werden.

Wichtige Details

• HiddenInk-Judge: Analysiert Pixel-Renders, um schwache Markierungen oder Luminanz mit niedrigem Kontrast zu erkennen, die nicht mit sichtbarer dunkler Tinte übereinstimmen. So wird Weiß-auf-Weiß-Text sowohl in digitalen als auch in gescannten Dokumenten erkannt.
• Text Raster Divergence Judge: Ordnet Zeichenboxen aus der Textebene den Pixelkoordinaten zu, um zu überprüfen, ob tatsächlich Tinte dort vorhanden ist, wo der Text behauptet, zu sein. Dabei werden Off-Page- oder unsichtbare Textelemente identifiziert.
• Unicode Obfuscation Judge: Durchsucht die Textebene nach unsichtbaren Unicode-Zeichen wie Zero-Width-Spaces oder Formatsteuerzeichen und erkennt gemischte Skript-Konfusables, wie z. B. kyrillische Zeichen, die als lateinische Buchstaben getarnt sind.
• Accessibility Channel Judge: Untersucht den Tagged-PDF-Strukturbaum nach Text, der in Barrierefreiheitsfeldern wie /Alt oder /ActualText deklariert ist, aber nicht auf der gerenderten Seite erscheint. Dies verhindert, dass nur für Screenreader bestimmte Anweisungen die KI beeinflussen.
• Glyph Overlap Judge: Prüft auf verdächtige geometrische Nähe zwischen verschiedenen Zeichenboxen und identifiziert Fälle, in denen ein Glyph über ein anderes gezeichnet wird, um eine Ziffer visuell zu verändern, während der ursprüngliche Wert in der Textebene erhalten bleibt.
• Non-Text Ink Judge: Rendert die Seite zweimal – einmal normal und einmal unter Entfernung von Nicht-Text-Objekten –, um Pixel innerhalb der Zeichenboxen zu vergleichen und Striche oder Bilder zu erkennen, die Zahlen visuell verändern.

Hintergrund

PDFs sind komplexe Containerformate, die die visuelle Darstellung eines Dokuments von seiner zugrunde liegenden Datenstruktur trennen. Ein PDF kann eine Textebene für Suche und Kopieren, eine visuelle Ebene für das Rendering und einen Barrierefreiheitsbaum für Screenreader enthalten. Diese Ebenen stimmen nicht immer perfekt überein, was Lücken schafft, die Angreifer ausnutzen können. Zum Beispiel kann ein Dokument visuell die Zahl "100" anzeigen, während im versteckten Textlayer oder in den Barrierefreiheits-Tags "1000000" steht.

KI-Agenten extrahieren typischerweise Text aus diesen verschiedenen Ebenen, um den Dokumenteninhalt zu verstehen. Wenn der Extraktionsprozess nicht streng validiert, dass der extrahierte Text mit der visuellen Realität übereinstimmt, wird der Agent anfällig für "Prompt Injection" über das Dokument selbst. Dies unterscheidet sich von herkömmlicher User-Input-Injection, da die bösartige Nutzlast in einem scheinbar legitimen Geschäftsdokument eingebettet ist, was die Erkennung ohne spezielle Parsing-Logik erschwert.

Warum es wichtig ist

Für Teams, die Self-Hosted-Software zur Verarbeitung sensibler Dokumente wie Rechnungen, Verträge oder Finanzberichte betreiben, stellt diese Schwachstelle ein erhebliches Risiko dar. Ein Angreifer könnte Schlüsselzahlen in einem Vertrag oder einer Rechnung subtil verändern, im Wissen, dass die KI den versteckten Wert verarbeitet, während der menschliche Genehmiger nur die korrekten visuellen Daten sieht. Dies untergräbt die Vertrauenswürdigkeit automatisierter Workflows und kann zu finanziellen Verlusten oder Compliance-Verstößen führen.

Darüber hinaus hebt der Artikel eine häufige organisatorische Lücke hervor: Viele Teams setzen KI-Tools ein, ohne ihre Personalplanung oder Sicherheitsmodelle an neue Bedrohungsvektoren anzupassen. Traditionelle QA konzentriert sich auf funktionale Korrektheit, nicht auf adversariale Robustheit. Ohne dedizierte Ressourcen zum Testen auf Manipulation könnten Unternehmen KI-Systeme bereitstellen, die funktional korrekt, aber sicherheitstechnisch fragil sind, was sie anfällig für ausgefeilte Social-Engineering-Angriffe macht, die in Dateiformate eingebettet sind.

Was Sie tun können

• Implementieren Sie mehrstufige Validierungsprüfungen, die das visuelle Rendering eines Dokuments mit seinen Text- und Barrierefreiheits-Ebenen vergleichen, bevor es verarbeitet wird.
• Nutzen Sie pixelbasierte Analysen, um versteckten oder kontrastarmen Text zu erkennen, der für das bloße Auge unsichtbar, aber für Parser lesbar ist.
• Bereinigen Sie Unicode-Eingaben durch das Entfernen unsichtbarer Zeichen und die Normalisierung von Skripten, um Angriffe mit verwechselbaren Zeichen zu verhindern.
• Stellen Sie sicher, dass Text, der in Barrierefreiheits-Tags oder Metadaten gefunden wird, tatsächlich im sichtbaren Bereich des Dokuments erscheint.
• Behandeln Sie alle hochgeladenen Dokumente als nicht vertrauenswürdige Eingaben, unabhängig von der Quelle, und wenden Sie strenge Parsing-Regeln an, um nur visuell bestätigte Daten zu extrahieren.
• Weisen Sie spezifische QA-Ressourcen für adversariales Testing zu, simulieren Sie böswillige Eingaben, um Schwachstellen in Dokumentenverarbeitungs-Pipelines zu identifizieren und zu beheben.