prompt injections.de
Angriffsvektor

Angriffsvektor Dokumente: PDF, Office und Anhänge

Dokumente sind der klassische Träger indirekter Prompt Injection: Ein PDF, eine Office-Datei oder ein Textdokument enthält Anweisungen, die wirksam werden, sobald ein Assistent die Datei zusammenfassen oder auswerten soll. Auch hier gilt, dass unsichtbarer Text — weiße Schrift, Ebenen, Metadaten — für das Modell lesbar bleibt.

Dokumente wandern zwischen Organisationen und werden selten geprüft: Bewerbungen, Rechnungen, Verträge, Berichte. Damit ist dieser Vektor der unauffälligste Weg zu einer indirekten Prompt Injection — Grundlagen dazu auf der Seite Was ist Prompt Injection?.

Warum Dokumentenpfade besonders exponiert sind

Ein Dokument durchläuft in Organisationen viele Stationen: Eingang, Ablage, Indexierung, Zusammenfassung, Weiterverarbeitung. An jeder Station kann ein Assistent es lesen — häufig automatisiert und ohne dass jemand den Inhalt vorher gesichtet hat.

Greshake und Kollegen führten Dokumente bereits 2023 als Trägerformat der indirekten Injektion auf. Die Sachlage hat sich seither nicht entspannt: Mit RAG-Pipelines und Dokumenten-Assistenten ist der Pfad heute deutlich verbreiteter.

Besonders heikel ist die Kombination aus automatischer Verarbeitung und nachgelagerter Aktion — etwa, wenn eine Rechnung nicht nur zusammengefasst, sondern gleich vorbereitet zur Zahlung gestellt wird.

Was wirksam hilft

  • Text vor der Verarbeitung normalisieren: unsichtbare Zeichen, Ebenen und Metadaten entfernen.
  • Dokumenteninhalt im Prompt klar als Fremddaten markieren.
  • Ableitungen aus Dokumenten (Zahlungen, Freigaben, Weiterleitungen) nie ohne menschliche Prüfung ausführen.
  • Herkunft und Prüfpfad je Dokument mitführen.
  • Bei RAG: den Import kuratieren statt jede eingehende Datei zu indexieren.

Techniken aus dem Verzeichnis

Diese Einträge aus dem Techniken-Verzeichnis gehören unmittelbar zu diesem Thema — jeder mit Funktionsweise, Risiko-Einstufung, Schutzmaßnahmen und Primärquelle.

  • Indirekte Injektion

    Injektion über Dokumente

    PDF-, Office- oder Textdateien enthalten versteckte Anweisungen, die wirksam werden, sobald ein Assistent das Dokument zusammenfassen oder auswerten soll.

    Risiko hoch
  • Indirekte Injektion

    Versteckter Text in Webseiten

    Anweisungen werden für Menschen unsichtbar in eine Webseite eingebettet — weiße Schrift auf weißem Grund, Schriftgröße null, HTML-Kommentare oder ausgeblendete Elemente — bleiben für den Agenten aber lesbar.

    Risiko hoch
  • Obfuskation

    ASCII Smuggling (unsichtbare Unicode-Tags)

    Anweisungen werden in Unicode-Tag-Zeichen kodiert, die in Oberflächen unsichtbar bleiben, vom Modell aber als Text gelesen werden — der Mensch sieht nichts, das Modell folgt.

    Risiko hoch
  • Indirekte Injektion

    Indirekte Prompt Injection

    Die Anweisung stammt nicht vom Nutzer, sondern aus Inhalten, die das System selbst lädt — Webseiten, Dokumente, E-Mails. Der Angreifer muss nie mit der Anwendung interagieren.

    Risiko hoch
  • Datenvergiftung

    RAG-Vergiftung

    Präparierte Dokumente werden so gestaltet, dass sie für bestimmte Nutzerfragen sicher in die Top-Treffer der Vektorsuche gelangen und dort ihre Anweisungen ausspielen.

    Risiko hoch

Passende Werkzeuge

  • Guardrail-Framework · Protect AI

    LLM Guard

    Sicherheits-Toolkit mit Scannern für Eingaben und Ausgaben — Prompt Injection, Anonymisierung, Geheimnisse, Toxizität, Relevanz und mehr.

    Open Source
  • Scanner · Vigil (Adam Swanda)

    Vigil

    Python-Bibliothek und REST-API zur Erkennung riskanter LLM-Eingaben — kombiniert Vektorsuche, YARA-Regeln, Transformer-Modell und Canary-Tokens.

    Open Source
  • Scanner · Giskard

    Giskard

    Testframework für KI-Systeme, das automatisiert nach Schwachstellen sucht — darunter Prompt Injection, Halluzination und Vorurteile — und Testberichte erzeugt.

    Open Source

Einordnung in die OWASP LLM Top 10

  • OWASP LLM Top 10 · 2025

    LLM01: Prompt Injection

    Eingaben verändern das Verhalten des Modells auf eine vom Betreiber nicht vorgesehene Weise — unabhängig davon, ob der Text für Menschen sichtbar ist oder nicht.

  • OWASP LLM Top 10 · 2025

    LLM08: Schwächen in Vektoren und Einbettungen

    Risiken aus RAG-Architekturen: manipulierte Einbettungen, fehlende Mandantentrennung in Vektordatenbanken und Rückschlüsse auf indexierte Inhalte.

Häufige Fragen

Kann ein PDF eine Prompt Injection enthalten?

Ja. Anweisungen können als unsichtbarer Text, in Metadaten oder in nicht gerenderten Ebenen stehen. Ein Assistent, der das Dokument auswertet, liest sie mit und behandelt sie wie Text im Auftrag des Nutzers.

Reicht es, Dokumente in Text umzuwandeln?

Nein. Die Umwandlung entfernt allenfalls Formatierung, nicht die Anweisung selbst. Wirksam ist die Kennzeichnung als Fremddaten plus die Regel, dass aus einem Dokument keine Aktion ohne menschliche Prüfung folgt.

Quellen

  1. Greshake et al.: Not what you've signed up for (arXiv:2302.12173): https://arxiv.org/abs/2302.12173
  2. OWASP GenAI Security Project: LLM01:2025 Prompt Injection: https://genai.owasp.org/llmrisk/llm01-prompt-injection/

Im Zusammenhang