prompt injections.de
Art der Prompt Injection

Gespeicherte Prompt Injection

Gespeicherte Prompt Injection ist die Form der Prompt Injection, bei der die eingeschleuste Anweisung in einem dauerhaften Speicher des Systems landet: im Langzeitgedächtnis eines Assistenten, in einer Vektordatenbank, in Notizen, Profilfeldern oder Werkzeugbeschreibungen. Sie wirkt deshalb nicht nur in der Sitzung, in der sie eingeschleust wurde, sondern wird bei künftigen Aufrufen erneut in den Kontext geladen, teils auch bei anderen Nutzern. OWASP führt diese persistente Variante ausdrücklich unter LLM01:2025.1

Das Verhältnis zur indirekten Prompt Injection entspricht dem von Stored XSS zu reflektiertem XSS: Der Angriffsweg ist derselbe, aber die Wirkung überdauert den Moment. Die Fachliteratur behandelt diese sitzungsübergreifende Persistenz inzwischen als eigene Angriffsklasse, weil sich die Sicherheitsfrage verschiebt. Sie lautet nicht mehr, wie man einzelne Eingaben filtert, sondern welche Autorität gespeicherte Inhalte beim Wiedereinlesen bekommen.2

Der Mechanismus

Der Ablauf hat drei Phasen, die zeitlich weit auseinanderliegen können.

Einschleusen. Der Payload gelangt einmalig in einen persistenten Speicher, etwa über eine manipulierte Webseite, ein hochgeladenes Dokument oder ein Freitextfeld, das später als Kontext dient.

Ruhen. Zwischen Einschleusen und Wirkung liegt kein fester Zeitraum. Genau das macht die Klasse in der Erkennung unangenehm: Die auslösende Sitzung und die schädigende Sitzung teilen keine Log-Zeile, keine IP, keinen Nutzer.

Wiedereinlesen. Bei jedem passenden Aufruf lädt das System den Eintrag erneut in den Kontext. Der Nutzer sieht die Manipulation nicht, weil sie im Speicher steht und nicht im Gesprächsverlauf.

Wo Anweisungen dauerhaft landen

Langzeitgedächtnis von Assistenten. Merkt sich ein Assistent Präferenzen und Fakten über den Nutzer, ist dieser Speicher ein Anweisungskanal. Ein manipulierter Eintrag wird bei jedem neuen Gespräch automatisch geladen. → Gedächtnis-Injektion

Vektordatenbanken und Wissensbasen. Ein einmal indexiertes Dokument bleibt abrufbar. Präparierte Texte lassen sich so gestalten, dass der Retriever sie für bestimmte Fragen zuverlässig in die Top-Treffer hebt. OWASP führt die Schwächen dieser Schicht als eigenes Risiko LLM08, weil Vektordatenbanken oft schwächere Rechteprüfungen haben als die Quellsysteme, aus denen ihre Inhalte stammen.3 → RAG-Vergiftung · OWASP LLM08

Werkzeugbeschreibungen. Bei Agenten mit MCP-Anbindung liest der Agent die Beschreibung eines Werkzeugs, bevor er es aufruft. Sie liegt dauerhaft im Kontext und kann nachträglich geändert werden, ohne dass es auffällt.4 → Tool-Poisoning (MCP)

Geteilte Arbeitsbereiche. Tickets, Wiki-Seiten, Code-Kommentare und Repository-Dateien werden von Agenten gelesen und sind für viele Nutzer beschreibbar. Der Angreifer braucht keinen Zugriff auf das Zielkonto, nur Schreibrechte auf ein Feld, das später gelesen wird.

SpAIware: eine Injektion, die im Gedächtnis bleibt

Der Sicherheitsforscher Johann Rehberger demonstrierte am 20. September 2024, wie eine über eine manipulierte Webseite ausgelöste Prompt Injection dauerhafte Anweisungen in das Langzeitgedächtnis von ChatGPT schrieb. Diese wirkten anschließend in neuen Unterhaltungen weiter und leiteten Inhalte an einen fremden Server aus. OpenAI schloss die Lücke in der macOS-App mit Version 1.2024.247, wobei die Gegenmaßnahme laut Rehberger an der Exfiltration ansetzte und nicht am Schreiben ins Gedächtnis.5

Der Fall ist das anschaulichste öffentliche Beispiel für diese Angriffsklasse, und zwar wegen der Reihenfolge: Der Nutzer besuchte eine Seite, danach war sein Assistent verändert. Zwischen Ursache und Wirkung lag keine erkennbare Handlung mehr. → Dokumentierte Vorfälle

Warum die Klasse schwerer zu fassen ist

Drei Eigenschaften unterscheiden gespeicherte von flüchtiger Injektion in der Praxis.

Erstens die Reichweite: In geteilten Wissensbasen trifft der Payload Nutzer, die den Angreifer nie gesehen haben. Aus einem Einzelfall wird ein Mandantenproblem.

Zweitens die Persistenz gegenüber Gegenmaßnahmen: Ein verbesserter Eingabefilter prüft neue Eingaben. Ein bereits indexiertes Dokument passiert ihn nie wieder, weil es schon drin ist. Wer nur den Eingang härtet, härtet den falschen Punkt.

Drittens die Zurechenbarkeit: Ohne Herkunftskennzeichnung pro Eintrag lässt sich im Nachhinein kaum feststellen, welcher Datensatz wann von wem geschrieben wurde. Ein Vorfall bleibt dann nicht nur unentdeckt, sondern auch unaufklärbar.

Schutz

  • Schreibzugriff auf Gedächtnis und Wissensbasis behandeln wie eine privilegierte Aktion. Einträge aus nicht vertrauenswürdigen Quellen dürfen nicht automatisch gespeichert werden, ein Schreibvorgang braucht eine ausdrückliche Bestätigung.
  • Gedächtnisinhalte sichtbar und einzeln löschbar machen. Was der Nutzer nicht einsehen kann, kann er nicht korrigieren.
  • Inhalte vor der Aufnahme prüfen, nicht erst beim Abruf. Normalisierung, Entfernen unsichtbarer Unicode-Zeichen und eine Prüfung auf Anweisungsmuster gehören in die Aufnahme-Pipeline.
  • Herkunft und Schreibrechte pro Dokument protokollieren. Provenienz ist hier keine Compliance-Formalie, sondern die Voraussetzung für Bereinigung nach einem Fund.
  • Wissensbasen regelmäßig auditieren. Bestehende Indizes gezielt auf eingebettete Anweisungen durchsuchen, nicht nur neue Uploads.
  • Rechte auf Chunk-Ebene durchsetzen. Der Retriever darf keine Passagen liefern, die der anfragende Nutzer im Quellsystem nicht sehen dürfte.3
  • Werkzeugdefinitionen pinnen. Nur Server aus geprüften Quellen einbinden, Beschreibungen festschreiben und Änderungen protokollieren.4
  • Ausgehende Kanäle begrenzen. Auch eine erfolgreich gespeicherte Anweisung braucht einen Rückweg. Content-Security-Policy für Bildquellen und Link-Allowlists entwerten sie.5

→ Weiter im Cluster: Schutz vor Prompt Injection · RAG-Pipelines absichern · KI-Agenten absichern · Prompt Injection erkennen

Verwandte Seiten

Quellen

  1. OWASP GenAI Security Project: LLM01:2025 Prompt Injection. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ ↩
  2. What If Prompt Injection Never Left? Exploring Cross-Session Stored Prompt Injection in Agentic Systems, arXiv:2606.04425. https://arxiv.org/abs/2606.04425 ↩
  3. OWASP GenAI Security Project: LLM08:2025 Vector and Embedding Weaknesses. https://genai.owasp.org/llmrisk/llm082025-vector-and-embedding-weaknesses/ ; zur Wirksamkeit präparierter Dokumente: Zou, Geng, Wang, Jia: PoisonedRAG, arXiv:2402.07867. https://arxiv.org/abs/2402.07867 ↩
  4. MCP Safety Audit: LLMs with the Model Context Protocol Allow Major Security Exploits, arXiv:2504.03767. https://arxiv.org/abs/2504.03767 ↩
  5. Johann Rehberger: Spyware Injection Into Your ChatGPT's Long-Term Memory (SpAIware), 20.09.2024. https://embracethered.com/blog/posts/2024/chatgpt-macos-app-persistent-data-exfiltration/ ; zum Schreiben ins Gedächtnis: Hacking ChatGPT's Memories. https://embracethered.com/blog/posts/2024/chatgpt-hacking-memories/ ↩

Im Zusammenhang