Angriffsvektoren: Wo Prompt Injection in Systeme gelangt
Ein Angriffsvektor ist der konkrete Kanal, über den fremder Text in das Kontextfenster einer LLM-Anwendung gelangt. Während der Cluster Arten beschreibt, wie eine Anweisung wirkt, beantwortet dieser Cluster die Frage, wo sie hereinkommt: über abgerufene Wissensbasen, Postfächer, Webseiten, Dokumente, Werkzeugbeschreibungen, Bilder oder die Handlungskette eines Agenten. Für Betreiber ist das die praktisch wichtigere Sicht, denn ein Vektor entspricht einer Systemgrenze, die man tatsächlich absichern kann.
Die Regel dahinter ist einfach und unangenehm: Jede Quelle, aus der eine Anwendung Text liest, ist ein Anweisungskanal. Das gilt unabhängig davon, ob der Text für Menschen sichtbar ist, und unabhängig davon, ob die Quelle als „intern" gilt. Entscheidend ist nicht, wo die Daten liegen, sondern wer sie schreiben konnte.
Der Schaden hängt anschließend an zwei Faktoren: den Rechten der Anwendung und ihren ausgehenden Kanälen. Simon Willison bündelt die kritische Kombination als tödliche Trias, nämlich Zugriff auf private Daten, Verarbeitung nicht vertrauenswürdiger Inhalte und die Möglichkeit, nach außen zu kommunizieren.1
Die sieben Vektoren
RAG-Systeme und Wissensdatenbanken Der Retriever entscheidet, welcher Fremdtext in den Kontext gelangt. Präparierte Dokumente lassen sich auf semantische Nähe zu erwartbaren Fragen optimieren und landen dann zuverlässig in den Top-Treffern.2
E-Mail und Postfach-Assistenten Eine zugestellte Nachricht genügt, damit ihr Inhalt bei der nächsten Postfach-Abfrage im Kontext liegt. EchoLeak in Microsoft 365 Copilot hat gezeigt, dass dafür keine Nutzerinteraktion nötig ist.3
KI-Agenten und autonome Systeme Agenten lesen, entscheiden und handeln in Schleifen. Jede Zwischenausgabe wird zur Eingabe des nächsten Schritts, wodurch eine einmal aufgenommene Anweisung über viele Schritte fortwirkt.
Werkzeuge, Function Calling und MCP Werkzeugbeschreibungen liegen im Kontext, bevor ein Werkzeug überhaupt aufgerufen wird. Ein bösartiger Server kann darüber das Verhalten für alle anderen Werkzeuge umdefinieren, und nachträgliche Änderungen fallen selten auf.4
Webinhalte und agentische Browser Agenten lesen das DOM, nicht das gerenderte Bild. Weiße Schrift, Schriftgröße null und HTML-Kommentare sind für sie normaler Text. Brave demonstrierte darüber Aktionen in einem agentischen Browser.5
Bilder, Audio und multimodale Eingaben Sichtbarer Text in einem Bild wird gelesen wie Prompt-Text, adversariale Störungen können Anweisungen für Menschen unsichtbar einbetten. Auch Screenshots von Webseiten tragen Injektionen weiter.6
Dokumente: PDF, Office und Anhänge Der Payload steckt in Metadaten, weißer Schrift oder Kommentarfeldern. Bewerbungs-, Rechnungs- und Vertragsprozesse sind der typische Weg in ein Unternehmen, weil dort fremde Dateien routinemäßig automatisiert ausgewertet werden.
Die Vektoren bewerten statt aufzählen
Für eine Bestandsaufnahme im eigenen System reichen drei Fragen pro Vektor.
Wer darf hier schreiben? Ein Postfach nimmt Nachrichten von jedermann an, eine kuratierte Wissensbasis nicht. Je offener der Schreibzugriff, desto strenger muss die Verarbeitung sein.
Wird der Inhalt gespeichert? Ein einmal indexiertes Dokument wirkt bei jedem künftigen Abruf erneut. Das verschiebt den Angriff von der indirekten in die gespeicherte Klasse und verlangt ein Audit des Bestands, nicht nur einen Eingangsfilter.
Was kann die Anwendung danach tun? Ohne Werkzeuge und ohne ausgehende Verbindungen bleibt eine Injektion eine falsche Antwort. Mit beidem wird sie zur Aktion im Namen des Nutzers. OWASP führt diese Verstärkung als eigenes Risiko LLM06.7
Passende Gegenmaßnahmen pro Vektor stehen im Cluster Schutz, die einzelnen Verfahren im Katalog Techniken, dokumentierte Fälle unter Vorfälle.
Die sieben Vektoren 7
-
RAG-Systeme und Wissensdatenbanken
Retrieval-Augmented Generation (RAG) ergänzt die Frage des Nutzers um Textpassagen aus einer Wissensbasis. Genau dieser Schritt ist der Angriffsvektor: Wer einen Eintrag in die durchsuchte Datenquelle bekommt, schreibt in den Kontext jeder Antwort, die diesen Eintrag als Treffer enthält — ohne die Anwendung je selbst zu benutzen.
-
E-Mail und Postfach-Assistenten
Ein Postfach ist von außen befüllbar: Jeder kann eine E-Mail zustellen. Sobald ein Assistent das Postfach durchsucht oder zusammenfasst, gelangen die darin enthaltenen Anweisungen in seinen Kontext — ohne dass der Nutzer die Mail öffnen oder überhaupt bemerken muss.
-
KI-Agenten und autonome Systeme
Ein KI-Agent liest fremde Inhalte und darf zugleich handeln: senden, schreiben, bezahlen, ausführen. Damit wird aus einer eingeschleusten Anweisung nicht nur eine falsche Antwort, sondern eine ausgeführte Aktion — mit den Rechten des Nutzers, in dessen Auftrag der Agent arbeitet.
-
Werkzeuge, Function Calling und MCP
Werkzeuge erweitern ein Sprachmodell um Handlungsfähigkeit — und um zwei Textkanäle, die selten als Angriffsfläche wahrgenommen werden: die Beschreibung des Werkzeugs, die das Modell liest, um es zu verstehen, und die Rückgabe des Werkzeugs, die es anschließend verarbeitet. Beide landen im Kontextfenster.
-
Webinhalte und agentische Browser
Ein Assistent, der Webseiten abruft, übernimmt zwangsläufig alles, was ein Angreifer dort platziert hat. Anweisungen lassen sich für Menschen unsichtbar einbetten — weiße Schrift, Schriftgröße null, HTML-Kommentare, ausgeblendete Elemente —, bleiben für das Modell aber vollständig lesbar.
-
Bilder, Audio und multimodale Eingaben
Multimodale Modelle verarbeiten Bild und Ton im selben Kontext wie Text. Damit wird jede hochgeladene, abgerufene oder weitergeleitete Mediendatei zu einem möglichen Träger von Anweisungen — sichtbar als Text im Bild oder unsichtbar als adversariale Störung im Signal.
-
Dokumente: PDF, Office und Anhänge
Dokumente sind der klassische Träger indirekter Prompt Injection: Ein PDF, eine Office-Datei oder ein Textdokument enthält Anweisungen, die wirksam werden, sobald ein Assistent die Datei zusammenfassen oder auswerten soll. Auch hier gilt, dass unsichtbarer Text — weiße Schrift, Ebenen, Metadaten — für das Modell lesbar bleibt.
Quellen
- Simon Willison: The lethal trifecta for AI agents, 16.06.2025. https://simonwillison.net/2025/Jun/16/the-lethal-trifecta/ ↩
- Zou, Geng, Wang, Jia: PoisonedRAG: Knowledge Corruption Attacks to Retrieval-Augmented Generation of Large Language Models, arXiv:2402.07867. https://arxiv.org/abs/2402.07867 ↩
- Reddy, Gujral: EchoLeak: The First Real-World Zero-Click Prompt Injection Exploit in a Production LLM System, arXiv:2509.10540. https://arxiv.org/abs/2509.10540 ; NIST NVD: CVE-2025-32711. https://nvd.nist.gov/vuln/detail/CVE-2025-32711 ↩
- MCP Safety Audit: LLMs with the Model Context Protocol Allow Major Security Exploits, arXiv:2504.03767. https://arxiv.org/abs/2504.03767 ↩
- Brave: Unseeable prompt injections in screenshots and agentic browsing. https://brave.com/blog/comet-prompt-injection/ ↩
- Bagdasaryan, Hsieh, Nassi, Shmatikov: (Ab)using Images and Sounds for Indirect Instruction Injection in Multi-Modal LLMs, arXiv:2307.10490. https://arxiv.org/abs/2307.10490 ↩
- OWASP GenAI Security Project: LLM06:2025 Excessive Agency. https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ ↩