KI-Kundenservice-Bots: Virale Falschmeldungen über manipulierte McDonald’s- und Chipotle-Assistenten – doch das Risiko durch Prompt-Injection ist real

In den letzten Wochen verbreiteten sich in sozialen Medien zahlreiche Videos und Posts, die behaupteten, Nutzer hätten KI-gestützte Kundenservice-Bots großer Fast-Food-Ketten wie McDonald’s und Chipotle manipuliert. Die Bots sollen demnach ihre ursprünglichen Funktionen verlassen und unerlaubte Aufgaben wie das Debuggen von Python-Code oder das Beantworten komplexer Programmierfragen übernommen haben.

Ein besonders viraler Beitrag auf LinkedIn lautete etwa: „Hör auf, 20 Dollar im Monat für Claude zu zahlen – McDonald’s KI ist KOSTENLOS.“ Ähnliche Behauptungen kursierten auch auf Instagram, begleitet von scheinbaren Beweisen in Form von Screenshots. Ein Beitrag auf der Plattform X (ehemals Twitter) fasste die Entwicklung zusammen: Der McDonald’s-Kundenservice-Bot namens „Grimace“ habe mit über 1,6 Millionen Aufrufen und 30.000 Likes Aufmerksamkeit erregt, nachdem Nutzer ihn mit ungewöhnlichen Anfragen konfrontiert hätten.

Doch diese Behauptungen sind falsch. Eine interne Untersuchung von McDonald’s ergab laut einem mit der Angelegenheit vertrauten Insider keine Hinweise auf eine erfolgreiche Manipulation. Die verbreiteten Screenshots und Videos gelten als manipuliert. Auch bei Chipotle gab es bereits im März eine ähnliche Falschmeldung über den Kundenservice-Bot „Pepper“, der angeblich Software-Code schreiben könne. Chipotles Kommunikationsmanagerin Sally Evans bestätigte gegenüber dem Fachmagazin CIO, dass der Beitrag „mit Photoshop bearbeitet“ sei. Pepper nutze keine generative KI und verfüge nicht über Programmierfähigkeiten.

Hinter diesen viralen Falschmeldungen steckt jedoch ein reales und ernstzunehmendes Sicherheitsrisiko: die sogenannte Prompt-Injection. Dabei handelt es sich um eine technische Schwachstelle, bei der Nutzer durch gezielte Eingaben die versteckten Systemanweisungen eines KI-Modells überschreiben. Diese Anweisungen definieren normalerweise die Identität und die Grenzen des Bots – etwa die Vorgabe, dass ein Fast-Food-Bot nur über Speisekarten und Bestellungen sprechen darf. Durch Prompt-Injection wird der Bot seiner ursprünglichen Beschränkungen beraubt und gibt stattdessen die ungeschützte, allgemeine KI-Funktionalität preis. Experten sprechen in diesem Zusammenhang von einem „Capabilities Leak“ (Fähigkeiten-Leck).

Das Problem: Große Sprachmodelle sind darauf ausgelegt, flexibel auf menschliche Sprache zu reagieren – nicht auf starre Befehle. Im Gegensatz zu herkömmlicher Software, die klare Regeln befolgt, interpretiert generative KI Kontext dynamisch. Das macht es nahezu unmöglich, alle möglichen Eingaben vorherzusehen, mit denen ein entschlossener Nutzer versuchen könnte, den Bot zu überlisten.

Echte Gefahren: Amazon-Retail-Assistent „Rufus“ als Beispiel

Dass Prompt-Injection keine bloße Internet-Hysterie ist, zeigt das Beispiel von Amazons KI-Assistenten „Rufus“. Zwischen Ende 2025 und Anfang 2026 gelang es Nutzern, die vorgegebenen Einkaufsvorgaben des Bots zu umgehen und ihn dazu zu bringen, Inhalte preiszugeben, die nichts mit dem Kauf von Produkten zu tun hatten. Forscher demonstrierten, wie sich die interne Logik des Bots vollständig aushebeln ließ: In einem Fall verweigerte Rufus zunächst die Hilfe bei der Suche nach einem einfachen Kleidungsstück – um anschließend detaillierte Anweisungen zur Ausführung dieser Aufgabe zu liefern.

Dieses Beispiel unterstreicht, dass Prompt-Injection nicht nur ein theoretisches Risiko darstellt, sondern bereits heute reale Konsequenzen für Unternehmen haben kann. Während die aktuellen viralen Falschmeldungen über manipulierte Fast-Food-Bots vor allem als unterhaltsame Internetphänomene abgetan werden können, warnen Sicherheitsexperten davor, die zugrundeliegende Technologie zu unterschätzen. Unternehmen, die KI-gestützte Systeme einsetzen, müssen sich mit den Herausforderungen von Prompt-Injection auseinandersetzen, um Datenlecks, Missbrauch und reputative Schäden zu verhindern.