Dokumentierte Vorfälle
Aufgenommen wird nur, was öffentlich dokumentiert ist. Jeder Eintrag nennt Zeitpunkt, betroffenes System, Wirkung und Behebungsstand und verweist auf die Primärquelle. Die Darstellung ist erklärend und enthält keine Reproduktionsanleitung.
Die Auswahl zeigt das Spektrum: vom Zero-Click-Datenabfluss über persistente Gedächtnis-Manipulation bis zu Angriffen auf Entwicklerwerkzeuge und Werkzeugketten.
Dokumentierte Fälle 7
-
EchoLeak (CVE-2025-32711)
EchoLeak gilt als erster öffentlich dokumentierter Zero-Click-Prompt-Injection-Angriff auf ein produktives KI-System: Eine einzige präparierte E-Mail genügte, damit Microsoft 365 Copilot bei einer späteren, völlig normalen Nutzeranfrage Inhalte aus dem Kontext des Opfers nach außen gab — ohne dass jemand die Mail öffnen oder auf etwas klicken musste.
CVE-2025-32711 -
SpAIware
Der Sicherheitsforscher Johann Rehberger zeigte, wie eine über eine manipulierte Webseite ausgelöste Prompt Injection dauerhafte Anweisungen in das Langzeitgedächtnis von ChatGPT schrieb. Diese wirkten anschließend in neuen Unterhaltungen weiter und leiteten Inhalte an einen fremden Server aus — der anschaulichste öffentliche Fall für gespeicherte Prompt Injection.
-
Slack AI
Das Sicherheitsunternehmen PromptArmor beschrieb, wie sich über eine in einem zugänglichen Kanal platzierte Anweisung Inhalte aus privaten Slack-Kanälen abgreifen ließen. Der Abfluss erfolgte nicht direkt, sondern über einen scheinbar hilfreichen Link in der Antwort des Assistenten — ein Klick genügte.
-
Gemini und Kalendereinladungen
Forschende von SafeBreach demonstrierten, dass Anweisungen in Titel oder Beschreibung einer Kalendereinladung wirksam werden, sobald ein Assistent den Kalender liest. Weil ein Kalendereintrag von außen zugestellt werden kann, genügt der Versand einer Einladung, um Inhalte in den Kontext des Assistenten zu bringen.
-
Agentische Browser
Das Browser-Team von Brave analysierte, wie sich indirekte Prompt Injection gegen agentische Browser richtet: Anweisungen auf einer aufgerufenen Webseite gelangen in den Kontext des Assistenten und werden von ihm befolgt — mit den Rechten der laufenden Browser-Sitzung des Nutzers.
-
Gemini CLI
Cyera Research Labs meldete Command- und Prompt-Injection-Schwachstellen im Gemini CLI. Agentische Kommandozeilenwerkzeuge verbinden Dateizugriff, Codeausführung und externe Inhalte — genau die Kombination, die eine eingeschleuste Anweisung besonders gefährlich macht.
-
MCP-Tool-Poisoning
Eine Untersuchung der Sicherheit von MCP-Servern beschreibt Tool-Poisoning: Die Beschreibung eines Werkzeugs enthält versteckte Anweisungen. Der Agent liest sie beim Auflisten der verfügbaren Werkzeuge — also lange bevor ein Aufruf stattfindet — und behandelt sie wie eine legitime Vorgabe.
Aufgenommen wird nur, was öffentlich dokumentiert ist. Jeder Eintrag nennt Zeitpunkt, betroffenes System, Wirkung und Behebungsstand und verweist auf die Primärquelle. Die Darstellung ist erklärend und enthält keine Reproduktionsanleitung.