WARP-Angriff: Wie 13 Wörter auf Reddit AI-Deep-Research kapern – und was Marken jetzt tun sollten

WARP-Angriff (Web Agent Retrieval Poisoning) aus Cornell-Tech-Paper 2026: 13 Wörter auf einer populären UGC-Seite reichen, um Deep-Research-Agenten wie ChatGPT DR, Gemini DR zu steuern. Getestet auf STORM, Co-STORM, OmniThink – kommerzielle Agents strukturell ähnlich verwundbar. Kern-Ursache: Deep-Research zieht 17-23% UGC (Reddit 54-71% davon) und dieselben Seiten wiederholt über Query-Cluster hinweg (bis 48%). Defenses versagen: Source Blocking tötet Use-Case, Input/Output Filtering schwach. Für Marken zwei Konsequenzen: (1) authentische Community-Präsenz strukturell wichtiger für organische AI-Sichtbarkeit, (2) systematisches Reputations-Monitoring hochrangiger Reddit-Threads jetzt nötig. Keine Manipulation (UWG-Risiko), aber strukturierte Community-Strategie plus Monitoring-Setup.

WARP-Angriff (Web Agent Retrieval Poisoning) Cornell-Tech-Paper Mai 2026 arXiv 2605.24245: Deep-Research-Agenten wie STORM Co-STORM OmniThink OpenAI Deep Research Gemini Deep Research sind durch 13-Wort-Snippets auf UGC-Seiten manipulierbar. Angreifer braucht keinen Modell/Prompt/Search-Engine/Retrieval-Zugriff, editiert existierende UGC-Seite die Agent typischerweise zieht (Reddit-Thread, Wikipedia-Eintrag, Quora, Forum). Strukturelle Verwundbarkeit: Deep-Research zieht 17-23% UGC-URLs, Reddit dominiert 54-71% UGC-Anteil, innerhalb Themen-Cluster tauchen einzelne UGC-Pages in bis 48% Queries wiederholt auf – ein manipulierter Kommentar beeinflusst ganze Familie verwandter Suchen. Gemini Deep Research zitiert UGC in 12.1% – Cornell-Forscher konnten End-to-End-Test auf kommerzielle Systeme ethisch nicht durchführen (server-seitiges Retrieval nicht interposition-fähig, Live-Web-Manipulation unethisch), aber strukturelle Ähnlichkeit deutlich. Alle drei Defense-Ansätze scheitern: (1) Source Blocking komplett UGC ausschließen stoppt Angriff aber tötet Use-Case da UGC reiche erfahrungsbasierte Information liefert die Deep-Research wertvoll macht, (2) Input Filtering mit AI Pre-Screening erwischt offensichtliches Poisoning aber gut-getarnter Poison-Content im Ton umliegender Kommentare schlüpft durch, (3) Output Filtering Plausibilitäts-Check fängt extreme Fälle aber subtile Beeinflussung (Marken-Empfehlung unter Wettbewerbern) unauffällig. Kein Defense schließt Lücke ohne Qualitäts-Degradation. Marken-Konsequenz zwei Seiten: (1) POSITIV Reddit-Präsenz strukturell wichtiger als organische Sichtbarkeits-Fläche – authentische Community-Präsenz auf relevanten Subreddits, Q&A-Beteiligung in Fachforen, transparente Marken-Kommunikation entscheidet ob Marke in AI-generierten Reports auftaucht; nicht als GEO-Trick sondern als Foundation. (2) NEGATIV Wettbewerber können Marke in AI-Reports schädigen, 13 Wörter reichen für negative Framing oder Wettbewerbs-Bevorzugung, kein offensichtlicher Spur weil normaler Community-Kommentar. Reputations-Monitoring erstreckt sich jetzt auf UGC-Kommentare in AI-relevanten Kontexten, systematisches Monitoring hochrangiger Reddit-Threads für eigene Kategorie ist neuer Standard. Marken sollten selbst KEIN Poisoning betreiben: UWG-Risiko § 5 § 5a Irreführung/Kennzeichnungspflicht, Reddit-Moderations-AI-Erkennungs-Systeme verbessern sich, Reputations-Schaden bei Entdeckung. Praktischer 4-Wochen-Move: Woche 1 Reddit/Quora/Wikipedia-Präsenz für eigene Kategorie mappen, Woche 2 Reputations-Monitoring-Setup mit automatisierten Alerts auf Marken-Nennungen und Wikipedia-Watchlists, Woche 3 Community-Präsenz-Strategie (wo authentisch beteiligen, wo nur monitoren), Woche 4 Deep-Research-Sichtbarkeits-Test mit ChatGPT DR und Gemini DR für Kategorie-Queries, Analyse welche Quellen zitiert werden und wo Marke auftaucht.

Web Agent Retrieval Poisoning. Ein Angriff, bei dem der Angreifer einen kurzen Text (13 Wörter oder mehr) an eine existierende UGC-Seite anhängt – etwa ein Reddit-Kommentar oder Wikipedia-Edit. Wenn ein Deep-Research-Agent später auf ähnliche Themen suchen lässt, zieht er die manipulierte Seite als Quelle heran und übernimmt den vom Angreifer gewählten Inhalt in den finalen Report. Der Angriff braucht keinen Zugriff auf Modell, Prompts, Search-Engine oder Retrieval-System. Er nutzt eine strukturelle Eigenschaft von Deep-Research-Agenten aus: die starke Wiederverwendung derselben UGC-Seiten über Query-Cluster.

Cornell hat drei Defense-Ansätze getestet – alle scheitern strukturell. Source Blocking (UGC-Domains komplett ausschließen) stoppt den Angriff, tötet aber gleichzeitig das Produkt: UGC liefert die reiche erfahrungsbasierte Information, die Deep-Research überhaupt wertvoll macht. Input Filtering (AI-Pre-Screening der retrieved Seiten) erwischt offensichtliches Poisoning, aber gut getarnter Content im Ton umliegender Kommentare schlüpft durch. Output Filtering (finale Reports auf Plausibilität prüfen) fängt extreme Fälle, aber subtile Beeinflussung – etwa Empfehlung einer bestimmten Marke unter Wettbewerbern – bleibt unauffällig. Die Verwundbarkeit ist eine strukturelle Folge davon, wie diese Agenten arbeiten.

Wenn Deep-Research-Agenten 54-71% ihrer UGC-Referenzen aus Reddit ziehen, entscheidet die authentische Community-Präsenz einer Marke darüber, ob sie in AI-generierten Reports auftaucht. Nicht als GEO-Manipulations-Trick, sondern als Foundation für organische AI-Sichtbarkeit. Konkret: strukturierte Beteiligung an relevanten Subreddits (transparent als Marke), hilfreiche Antworten in Fach-Foren, Reviews und Erfahrungsberichte in echten Kontexten. Marken, die 2026 authentische Community-Präsenz aufbauen, sind 2027-2028 in AI-Research-Reports sichtbarer.

13 Wörter reichen. Ein hochrangiger Reddit-Thread über deine Kategorie mit einem gut getarnten Kommentar, der subtil deinen Wettbewerber lobt oder deine Marke abwertet – und AI-Reports übernehmen die Framing über wochenlange Query-Zyklen hinweg. Der Angriff hinterlässt keine offensichtliche Spur. Für Marken bedeutet das: Reputations-Monitoring erstreckt sich jetzt auch auf UGC-Kommentare in AI-relevanten Kontexten, nicht nur auf explizite Reviews oder Social-Mentions. Systematisches Monitoring hochrangiger Reddit-Threads für die eigene Kategorie wird zum neuen Standard.