Multimodale Prompt Injection
Multimodale Prompt Injection nutzt Eingabekanäle jenseits des Textes: Anweisungen stecken als sichtbarer oder kaum wahrnehmbarer Text in einem Bild, in Metadaten oder als adversariale Störung im Signal. Sobald ein multimodales Modell die Datei verarbeitet, landen sie im selben Kontextfenster wie der Auftrag des Nutzers — mit derselben Wirkung wie eingeschleuster Text.
Die Grundform ändert sich nicht: Es bleibt Prompt Injection, nur über einen anderen Kanal. Praktisch verschärft sich die Lage aber, weil Text-Filter Bilder nicht prüfen und weil Menschen bei einem Bild keine Anweisung vermuten. Für den Zustellweg gilt derselbe Mechanismus wie bei der indirekten Prompt Injection.
Wie Anweisungen in ein Bild kommen
Der einfachste Fall ist sichtbarer Text: Eine Anweisung steht schlicht im Bild, klein oder kontrastarm, und wird beim Auswerten mitgelesen. Aufwendiger sind adversariale Störungen — gezielt berechnete Pixelmuster, die für Menschen wie Rauschen aussehen, das Modell aber zu einer bestimmten Interpretation drängen.
Forschungsarbeiten zeigen beide Varianten für Bild und Audio. Der praktische Unterschied liegt in der Zustellung: Ein sichtbarer Text im Bild überlebt Screenshots und Weiterleitungen, eine adversariale Störung übersteht Kompression und Skalierung oft nicht.
Wichtig für die Bewertung: Der Kanal erweitert die Angriffsfläche, verändert aber nicht die Verteidigungslogik. Was zählt, ist weiterhin, was das System nach dem Lesen tun darf.
Was wirksam hilft
- Bild- und Audioquellen wie jede andere Fremddatenquelle behandeln — mit Herkunftskennzeichnung im Kontext.
- Erkannten Text aus Bildern nicht als Anweisung, sondern als zitierten Inhalt in den Prompt geben.
- Aktionen, die auf multimodalen Eingaben beruhen, mit menschlicher Bestätigung versehen.
- Rechte des Systems begrenzen: Ein Modell, das nur beschreibt, richtet mit einer Fehldeutung wenig an.
- Nachvollziehbarkeit sichern: protokollieren, welche Datei zu welcher Aktion geführt hat.
Techniken über nicht-textuelle Kanäle
Diese Einträge aus dem Techniken-Verzeichnis gehören unmittelbar zu diesem Thema — jeder mit Funktionsweise, Risiko-Einstufung, Schutzmaßnahmen und Primärquelle.
-
Multimodale Injektion über Bild und Ton
Anweisungen werden in Bilder oder Audiodateien eingebettet — als sichtbarer Text im Bild oder als adversariale Störung — und wirken, sobald ein multimodales Modell die Datei verarbeitet.
Risiko hoch -
ASCII Smuggling (unsichtbare Unicode-Tags)
Anweisungen werden in Unicode-Tag-Zeichen kodiert, die in Oberflächen unsichtbar bleiben, vom Modell aber als Text gelesen werden — der Mensch sieht nichts, das Modell folgt.
Risiko hoch -
Homoglyphen und Zero-Width-Zeichen
Schlüsselwörter werden mit optisch identischen Zeichen aus anderen Alphabeten oder mit unsichtbaren Trennzeichen geschrieben, um Signatur- und Sperrlisten-Filter zu unterlaufen.
Risiko mittel -
ASCII-Art-Jailbreak (ArtPrompt)
Ein sicherheitsrelevantes Schlüsselwort wird als ASCII-Art dargestellt. Das Modell rekonstruiert das Wort aus der Grafik, die Sicherheitsprüfung auf Textebene erkennt es nicht.
Risiko mittel
Passende Werkzeuge
-
Llama Guard
Auf Inhaltssicherheit spezialisiertes Modell, das Eingaben und Antworten anhand einer anpassbaren Risikotaxonomie klassifiziert.
Open Source -
Azure AI Prompt Shields
Dienst innerhalb von Azure AI Content Safety, der direkte Jailbreak-Angriffe und indirekte Injektionen in eingebetteten Dokumenten erkennt.
kommerziell -
Model Armor
Dienst zur Prüfung von Prompts und Antworten auf Prompt Injection, Jailbreak-Versuche, sensible Daten und schädliche URLs.
kommerziell
Einordnung in die OWASP LLM Top 10
-
LLM01: Prompt Injection
Eingaben verändern das Verhalten des Modells auf eine vom Betreiber nicht vorgesehene Weise — unabhängig davon, ob der Text für Menschen sichtbar ist oder nicht.
Häufige Fragen
Was ist multimodale Prompt Injection?
Multimodale Prompt Injection bezeichnet das Einschleusen von Anweisungen über Bild-, Audio- oder Videoeingaben in ein Sprachmodell, das diese Formate verarbeitet. Die Anweisung kann als sichtbarer Text im Bild stehen oder als adversariale Störung im Signal versteckt sein.
Erkennen Text-Filter Angriffe über Bilder?
In der Regel nicht. Ein Filter, der die Texteingabe prüft, sieht den Inhalt eines Bildes nicht. Erkennung muss deshalb auf der Ebene ansetzen, auf der das Modell den Inhalt interpretiert — oder die Rechte des Systems müssen so begrenzt sein, dass eine Fehldeutung folgenlos bleibt.
Quellen
- (Ab)using Images and Sounds for Indirect Instruction Injection in Multi-Modal LLMs (arXiv:2307.10490): https://arxiv.org/abs/2307.10490
- OWASP GenAI Security Project: LLM01:2025 Prompt Injection: https://genai.owasp.org/llmrisk/llm01-prompt-injection/