Angriffsvektor RAG-Systeme und Wissensdatenbanken
Retrieval-Augmented Generation (RAG) ergänzt die Frage des Nutzers um Textpassagen aus einer Wissensbasis. Genau dieser Schritt ist der Angriffsvektor: Wer einen Eintrag in die durchsuchte Datenquelle bekommt, schreibt in den Kontext jeder Antwort, die diesen Eintrag als Treffer enthält — ohne die Anwendung je selbst zu benutzen.
RAG ist der häufigste produktive Anwendungsfall für Sprachmodelle und damit die größte Angriffsfläche für indirekte Prompt Injection. Die Grundlagen des Mechanismus erklärt die Seite Was ist Prompt Injection?.
Wie Angreifer in die Trefferliste kommen
Die Vektorsuche wählt Passagen nach semantischer Nähe zur Frage aus. Ein präpariertes Dokument, das die typischen Formulierungen einer Zielfrage bedient, landet deshalb verlässlich unter den Top-Treffern — dieser Effekt wird unter dem Begriff RAG-Vergiftung untersucht.
Der Weg in die Wissensbasis ist selten spektakulär: ein hochgeladenes Dokument, ein synchronisiertes Ticket-System, ein automatischer Import aus dem Intranet, ein öffentlich beschreibbarer Kanal. Jede Quelle, die ohne Prüfung indexiert wird, ist ein Eingang.
Weil der Eintrag im Index bleibt, ist die Wirkung dauerhaft — dies ist zugleich ein Fall von gespeicherter Prompt Injection.
Was wirksam hilft
- Quellen der Wissensbasis kuratieren und Importe protokollieren — jede indexierte Quelle ist eine Vertrauensentscheidung.
- Abgerufene Passagen im Prompt als Fremddaten markieren und nie mit dem Anweisungsteil vermischen (Spotlighting).
- Herkunft je Passage mitführen und in der Antwort ausweisen, damit vergiftete Treffer auffallen.
- Ausgaben prüfen: Links und eingebettete Ressourcen aus RAG-Antworten sind ein Abflusskanal.
- Den Index versionieren, damit sich eine Vergiftung im Nachhinein eingrenzen lässt.
Techniken aus dem Verzeichnis
Diese Einträge aus dem Techniken-Verzeichnis gehören unmittelbar zu diesem Thema — jeder mit Funktionsweise, Risiko-Einstufung, Schutzmaßnahmen und Primärquelle.
-
RAG-Vergiftung
Präparierte Dokumente werden so gestaltet, dass sie für bestimmte Nutzerfragen sicher in die Top-Treffer der Vektorsuche gelangen und dort ihre Anweisungen ausspielen.
Risiko hoch -
Indirekte Prompt Injection
Die Anweisung stammt nicht vom Nutzer, sondern aus Inhalten, die das System selbst lädt — Webseiten, Dokumente, E-Mails. Der Angreifer muss nie mit der Anwendung interagieren.
Risiko hoch -
Injektion über Dokumente
PDF-, Office- oder Textdateien enthalten versteckte Anweisungen, die wirksam werden, sobald ein Assistent das Dokument zusammenfassen oder auswerten soll.
Risiko hoch -
Versteckter Text in Webseiten
Anweisungen werden für Menschen unsichtbar in eine Webseite eingebettet — weiße Schrift auf weißem Grund, Schriftgröße null, HTML-Kommentare oder ausgeblendete Elemente — bleiben für den Agenten aber lesbar.
Risiko hoch -
Vergiftung von Suchergebnissen
Angreifer stellen Webseiten ins Netz, deren sichtbarer Inhalt für Menschen belanglos ist, die aber gezielt Anweisungen für Agenten enthalten, die diese Seiten über die Websuche abrufen.
Risiko hoch -
Datenabfluss über präparierte Links
Die Antwort des Assistenten enthält einen scheinbar hilfreichen Link, in dessen Parametern vertrauliche Daten stecken — ein Klick des Nutzers genügt für den Abfluss.
Risiko hoch
Passende Werkzeuge
-
LLM Guard
Sicherheits-Toolkit mit Scannern für Eingaben und Ausgaben — Prompt Injection, Anonymisierung, Geheimnisse, Toxizität, Relevanz und mehr.
Open Source -
Giskard
Testframework für KI-Systeme, das automatisiert nach Schwachstellen sucht — darunter Prompt Injection, Halluzination und Vorurteile — und Testberichte erzeugt.
Open Source -
LlamaFirewall
Guardrail-System für Agenten, das Eingaben, Zwischenschritte der Modell-Argumentation und erzeugten Code prüft, bevor eine riskante Aktion ausgeführt wird.
Open Source -
Vigil
Python-Bibliothek und REST-API zur Erkennung riskanter LLM-Eingaben — kombiniert Vektorsuche, YARA-Regeln, Transformer-Modell und Canary-Tokens.
Open Source
Einordnung in die OWASP LLM Top 10
-
LLM01: Prompt Injection
Eingaben verändern das Verhalten des Modells auf eine vom Betreiber nicht vorgesehene Weise — unabhängig davon, ob der Text für Menschen sichtbar ist oder nicht.
-
LLM08: Schwächen in Vektoren und Einbettungen
Risiken aus RAG-Architekturen: manipulierte Einbettungen, fehlende Mandantentrennung in Vektordatenbanken und Rückschlüsse auf indexierte Inhalte.
-
LLM02: Offenlegung sensibler Informationen
Das Modell gibt personenbezogene Daten, Geschäftsgeheimnisse, Zugangsdaten oder interne Details preis — aus Trainingsdaten, aus dem Kontext oder aus angebundenen Systemen.
Häufige Fragen
Warum sind RAG-Systeme besonders anfällig für Prompt Injection?
Weil sie fremde Dokumente in dasselbe Kontextfenster laden wie den Auftrag des Nutzers. Für das Modell ist beides derselbe Text; eine im Dokument stehende Anweisung wird deshalb wie eine legitime Vorgabe behandelt.
Hilft es, die Wissensbasis zu filtern?
Filter senken das Risiko, schließen es aber nicht aus, weil Anweisungen sich beliebig umformulieren lassen. Wirksamer ist die Kombination aus kuratierten Quellen, Herkunftskennzeichnung im Prompt und begrenzten Rechten der Anwendung.
Quellen
- PoisonedRAG: Knowledge Corruption Attacks to RAG (arXiv:2402.07867): https://arxiv.org/abs/2402.07867
- Greshake et al.: Not what you've signed up for (arXiv:2302.12173): https://arxiv.org/abs/2302.12173
- OWASP GenAI Security Project: LLM08:2025 Vector and Embedding Weaknesses: https://genai.owasp.org/llmrisk/llm082025-vector-and-embedding-weaknesses/