prompt injections.de
Art der Prompt Injection

Indirekte Prompt Injection

Indirekte Prompt Injection ist die Form der Prompt Injection, bei der die manipulierende Anweisung nicht aus der Nutzereingabe stammt, sondern aus Daten, die das System im Auftrag des Nutzers verarbeitet: einer Webseite, einer E-Mail, einem PDF, einem Kalendereintrag, einem Repository. Der Angreifer braucht keinen Zugang zur Anwendung, er muss nur den Inhalt kontrollieren, den sie später abruft. Greshake und Kollegen beschrieben diese Klasse 2023 systematisch und demonstrierten sie unter anderem gegen das damals GPT-4-gestützte Bing Chat.1

Das Bundesamt für Sicherheit in der Informationstechnik stuft indirekte Prompt Injections als „intrinsische Schwachstelle in anwendungsintegrierten KI-Sprachmodellen" ein, also nicht als Implementierungsfehler eines einzelnen Produkts.2 Für Systeme mit RAG, E-Mail-Anbindung oder Browser-Zugriff ist das der praktisch relevanteste Angriffsweg.

Der Mechanismus in drei Schritten

  1. Der Angreifer platziert Anweisungstext in einem Inhalt, den das Zielsystem später lädt. Er muss dafür weder ein Konto besitzen noch mit der Anwendung interagieren.
  2. Beim Abruf gelangt dieser Text in dasselbe Kontextfenster wie die Systemanweisung des Betreibers. Eine Herkunftsmarkierung, die das Modell zuverlässig auswerten könnte, existiert nicht.
  3. Das Modell befolgt die Anweisung, weil es Daten nicht sicher von Befehlen unterscheiden kann.3

Die Angriffsfläche wächst mit den Rechten der Anwendung. Ein Assistent, der nur zusammenfasst, gibt bestenfalls eine falsche Zusammenfassung aus. Ein Assistent, der lesen, senden und ausführen darf, handelt im Namen des Nutzers und mit dessen Berechtigungen. Simon Willison bündelt diese Gefahrenlage als „tödliche Trias": Zugriff auf private Daten, Verarbeitung nicht vertrauenswürdiger Inhalte und die Fähigkeit, nach außen zu kommunizieren. Wo alle drei zusammentreffen, ist Datenabfluss keine Frage der Wahrscheinlichkeit mehr, sondern der Gelegenheit.4

Die Kanäle

Webinhalte. Anweisungen stehen unsichtbar im Quelltext: weiße Schrift auf weißem Grund, Schriftgröße null, HTML-Kommentare, ausgeblendete Elemente. Der Nutzer sieht eine unauffällige Seite, der Agent liest das DOM. Brave demonstrierte darüber Aktionen in einem agentischen Browser.5 → Versteckter Text in Webseiten · Webinhalte und agentische Browser

E-Mail. Eine präparierte Nachricht genügt. Sobald ein Assistent das Postfach durchsucht oder zusammenfasst, liest er den eingebetteten Anweisungstext mit, auch wenn der Nutzer die Mail nie geöffnet hat. → Injektion über E-Mail · E-Mail und Postfach-Assistenten

Dokumente. PDF-, Office- und Textdateien tragen Anweisungen in Metadaten, weißer Schrift oder Kommentarfeldern. Bewerbungs-, Rechnungs- und Vertragsprozesse sind der typische Weg ins Unternehmen. → Injektion über Dokumente · Dokumente: PDF, Office und Anhänge

Kalender. Titel und Beschreibung einer Einladung landen oft automatisch im Kalender und damit im Kontext eines Assistenten, der eine Terminfrage beantwortet. SafeBreach demonstrierte auf diesem Weg Aktionen bis in eine angebundene Gebäudesteuerung.6 → Injektion über Kalender-Einladungen

Suchergebnisse. Angreifer stellen Seiten ins Netz, deren sichtbarer Inhalt für Menschen belanglos ist, die aber auf Fragen optimiert sind, die Agenten typischerweise recherchieren. Unit 42 dokumentierte solche Seiten bereits im produktiven Netz.7 → Vergiftung von Suchergebnissen

Abgerufene Wissensbasen. In RAG-Systemen entscheidet der Retriever, welcher Fremdtext in den Kontext gelangt. Präparierte Dokumente lassen sich gezielt auf semantische Nähe zu einer erwarteten Frage optimieren, sodass sie verlässlich in den Top-Treffern landen.8 → RAG-Vergiftung · RAG-Systeme und Wissensdatenbanken

Werkzeugbeschreibungen. Bei Agenten mit MCP-Anbindung gelangt die Beschreibung eines Werkzeugs in den Kontext, bevor das Werkzeug überhaupt aufgerufen wird. Ein bösartiger Server kann darüber das Verhalten für alle anderen Werkzeuge umdefinieren.9 → Tool-Poisoning (MCP) · Werkzeuge, Function Calling und MCP

EchoLeak: der erste dokumentierte Zero-Click-Fall

Unter dem Namen EchoLeak veröffentlichte das Forschungsteam von Aim Security im Juni 2025 eine Schwachstelle in Microsoft 365 Copilot, geführt als CVE-2025-32711 und mit einem CVSS-Basiswert von 9.3 als kritisch bewertet.10 Eine präparierte E-Mail genügte: Verarbeitete Copilot sie später im Rahmen einer beliebigen, thematisch unverwandten Nutzeranfrage, folgten die darin versteckten Anweisungen, und Inhalte aus dem Kontext des Opfers gelangten nach außen. Niemand musste klicken. Der veröffentlichten Analyse zufolge wurden dabei mehrere Schutzschichten nacheinander umgangen, darunter ein Klassifikator für Injection-Versuche und die Link-Bereinigung.11 Microsoft behob die Lücke serverseitig.

Der Fall zeigt zweierlei. Erstens, dass indirekte Prompt Injection in Systemen mit Zugriff auf Postfächer und Dokumente ein Datenschutzproblem ist und kein Chatbot-Kuriosum. Zweitens, dass gestapelte Erkennungsschichten einen entschlossenen Angreifer verzögern, aber nicht aufhalten. → EchoLeak im Detail · Zero-Click-Injektion

Der Ausgang: wie Daten das System verlassen

Eine Injektion allein stiehlt nichts. Sie braucht einen Rückkanal, und der ist meist unscheinbar: ein Markdown-Bild, dessen URL die Daten als Parameter trägt und das der Client beim Rendern automatisch lädt, oder ein scheinbar hilfreicher Link, in dessen Parametern Kontextdaten stecken. PromptArmor demonstrierte den zweiten Weg für den Abzug von Inhalten aus privaten Slack-Kanälen.12 Wer den Rückkanal schließt, entwertet einen großen Teil der Angriffe, auch ohne die Injektion selbst zu verhindern. → Datenabfluss über Markdown-Bilder · Datenabfluss über präparierte Links

Schutz

  • Fremdinhalte als nicht vertrauenswürdig kennzeichnen und begrenzen. Spotlighting markiert abgerufene Passagen unverwechselbar als Daten, statt sie in den Anweisungstext einzuschmelzen.13
  • Kontrollfluss von Fremddaten trennen. Das Dual-LLM-Muster trennt ein privilegiertes Modell, das Werkzeuge aufruft, von einem isolierten Modell, das ausschließlich verdächtige Daten verarbeitet.14 CaMeL leitet Kontroll- und Datenfluss aus der vertrauenswürdigen Anfrage ab, sodass abgerufene Inhalte den Programmablauf nicht mehr beeinflussen können. Im AgentDojo-Benchmark löste das Verfahren 77 Prozent der Aufgaben mit beweisbarer Sicherheitseigenschaft, gegenüber 84 Prozent bei einem ungeschützten System.15
  • Die tödliche Trias auflösen. Wenn private Daten, fremde Inhalte und ein Außenkanal nicht in derselben Sitzung zusammenkommen müssen, sollten sie es nicht.4
  • Ausgehende Kanäle einschränken. Bildquellen per Content-Security-Policy auf eigene Domains begrenzen, Links aus Modellausgaben gegen eine Allowlist prüfen, Parameter auf kodierte Nutzdaten kontrollieren.
  • Rechte minimieren. Ein Agent, der nur lesen darf, kann nichts versenden. OWASP führt übermäßige Handlungsvollmacht als eigenes Risiko LLM06.16
  • Menschliche Freigabe für Aktionen mit Außenwirkung. Das BSI nennt eine ausdrückliche Nutzerbestätigung vor der Ausführung von Funktionen als Härtungsmaßnahme.17
  • Wissensbasen kuratieren und prüfen. Nur herkunftsgeprüfte Quellen indexieren, Zugriffsrechte bis auf Chunk-Ebene durchsetzen.

→ Weiter im Cluster: Schutz vor Prompt Injection · Die tödliche Trias vermeiden · Dual-LLM-Muster und CaMeL · RAG-Pipelines absichern

Verwandte Seiten

Quellen

  1. Greshake, Abdelnabi, Mishra, Endres, Holz, Fritz: Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection, arXiv:2302.12173. https://arxiv.org/abs/2302.12173 ↩
  2. BSI: Indirect Prompt Injections. Intrinsische Schwachstelle in anwendungsintegrierten KI-Sprachmodellen, Cyber-Sicherheitswarnung 2023. https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2023/2023-249034-1032_csw.html ↩
  3. OWASP GenAI Security Project: LLM01:2025 Prompt Injection. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ ↩
  4. Simon Willison: The lethal trifecta for AI agents, 16.06.2025. https://simonwillison.net/2025/Jun/16/the-lethal-trifecta/ ↩
  5. Brave: Unseeable prompt injections in screenshots and agentic browsing. https://brave.com/blog/comet-prompt-injection/ ↩
  6. SafeBreach: Gemini voice assistant prompt injection exploit. https://www.safebreach.com/blog/gemini-voice-assistant-prompt-injection-exploit/ ↩
  7. Unit 42, Palo Alto Networks: AI Agent Prompt Injection. https://unit42.paloaltonetworks.com/ai-agent-prompt-injection/ ↩
  8. Zou, Geng, Wang, Jia: PoisonedRAG: Knowledge Corruption Attacks to Retrieval-Augmented Generation of Large Language Models, arXiv:2402.07867. https://arxiv.org/abs/2402.07867 ↩
  9. MCP Safety Audit: LLMs with the Model Context Protocol Allow Major Security Exploits, arXiv:2504.03767. https://arxiv.org/abs/2504.03767 ↩
  10. NIST National Vulnerability Database: CVE-2025-32711, veröffentlicht 11.06.2025. https://nvd.nist.gov/vuln/detail/CVE-2025-32711 ↩
  11. Reddy, Gujral: EchoLeak: The First Real-World Zero-Click Prompt Injection Exploit in a Production LLM System, arXiv:2509.10540. https://arxiv.org/abs/2509.10540 ↩
  12. PromptArmor: Data Exfiltration from Slack AI via Indirect Prompt Injection. https://www.promptarmor.com/resources/data-exfiltration-from-slack-ai-via-indirect-prompt-injection ↩
  13. Hines, Lopez, Hall, Zarfati, Zunger, Kiciman: Defending Against Indirect Prompt Injection Attacks With Spotlighting, arXiv:2403.14720. https://arxiv.org/abs/2403.14720 ↩
  14. Simon Willison: The Dual LLM pattern for building AI assistants that can resist prompt injection, 25.04.2023. https://simonwillison.net/2023/Apr/25/dual-llm-pattern/ ↩
  15. Debenedetti, Shumailov, Fan, Hayes, Carlini et al.: Defeating Prompt Injections by Design (CaMeL), arXiv:2503.18813. https://arxiv.org/abs/2503.18813 ↩
  16. OWASP GenAI Security Project: LLM06:2025 Excessive Agency. https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ ↩
  17. BSI: BSI stellt Maßnahmen gegen Evasion Attacks auf große KI-Sprachmodelle vor, 10.11.2025. https://www.bsi.bund.de/DE/Service-Navi/Presse/Alle-Meldungen-News/Meldungen/Evasion-Attacks-LLM_251110.html ↩

Im Zusammenhang