Direkte vs. indirekte Prompt Injection
Direkte Prompt Injection kommt von der Person, die selbst mit dem System spricht – sie versucht offen, die Systemanweisungen zu überschreiben ('Ignoriere alle bisherigen Anweisungen …'). Deutlich gefährlicher ist die indirekte Variante: Der Angriffstext steckt nicht in der eigenen Eingabe, sondern in einem Dokument, einer E-Mail oder einer Webseite, die das System im Auftrag verarbeitet. Das System kann diesen fremden Text fälschlich als Anweisung befolgen, obwohl niemand, der mit dem System interagiert, ihn selbst eingegeben hat.
Ein dokumentierter Anstieg, kein Randphänomen
Prompt-Injection-Angriffe auf KI-Agenten haben sich 2024 verdreifacht – ein Trend, der sich mit der zunehmenden Verbreitung von Agenten-Tools eher verstärkt als abschwächt. Prompt Injection bleibt laut aktuellen Sicherheitsanalysen der häufigste Auslöser für gescheiterte Agenten-Sicherheit in der Produktion – nicht exotische Zero-Day-Lücken, sondern dieser eine, gut verstandene Angriffsvektor.
Warum das Problem strukturell ist, nicht nur ein Bug
Sprachmodelle unterscheiden von sich aus nicht zuverlässig zwischen 'Anweisung, der ich folgen soll' und 'Inhalt, den ich nur verarbeiten soll' – beides kommt als derselbe Text herein. Genau diese fehlende Trennung macht Prompt Injection zu einem strukturellen Problem der Technologie, nicht zu einem Programmierfehler, der sich einmalig beheben ließe.
Praxis-Teil: Verteidigung in Schichten
Kein einzelner Baustein löst das Problem vollständig – wirksame Verteidigung kombiniert mehrere Schichten. Eingabe- und Ausgabe-Prüfung filtert offensichtliche Manipulationsversuche, bevor sie das Modell erreichen oder bevor eine Ausgabe zu einer Handlung wird. Eine klare Instruktions-Hierarchie behandelt verarbeiteten Inhalt (E-Mails, Dokumente, Suchergebnisse) technisch anders als Systemanweisungen, statt beides gleich zu gewichten. Und – am wichtigsten – geringstmögliche Rechte pro Werkzeug: Ein Agent, der nur lesen darf, kann durch Injection höchstens falsche Informationen ausgeben, aber keine echten Schäden anrichten. Die Rechte-Frage wird im späteren Modul dieses Kurses zur architektonischen Verteidigung vertieft.