Datenabfluss aus privaten Slack-Kanälen über indirekte Prompt Injection
Das Sicherheitsunternehmen PromptArmor beschrieb, wie sich über eine in einem zugänglichen Kanal platzierte Anweisung Inhalte aus privaten Slack-Kanälen abgreifen ließen. Der Abfluss erfolgte nicht direkt, sondern über einen scheinbar hilfreichen Link in der Antwort des Assistenten — ein Klick genügte.
- Zeitpunkt
- August 2024
- Betroffenes System
- Slack AI
- Wirkung
- Inhalte aus privaten Kanälen konnten über einen präparierten Link an Dritte gelangen
- Stand der Behebung
- Von Slack nach der Meldung adressiert
- Primärquelle
- promptarmor.com
Der Fall ist ein belegtes Beispiel für Prompt Injection in produktiven Systemen. Die Darstellung ist sachlich und erklärend; sie enthält keine Reproduktionsanleitung. Weitere Fälle stehen in der Vorfall-Übersicht.
Was passiert ist
Der Angreifer benötigte keinen Zugriff auf den privaten Kanal, sondern nur die Möglichkeit, Text in einem Bereich zu platzieren, den die Suchfunktion des Assistenten später einbezieht.
Fasst der Assistent Inhalte zusammen, gelangt die eingeschleuste Anweisung in denselben Kontext wie die berechtigten Daten und wird als Anweisung befolgt.
Die Exfiltration lief über die Ausgabe: Der Assistent formulierte einen Link, in dessen Parametern die abzugreifenden Daten steckten.
Der Fall zeigt die Kombination aus indirekter Injektion und Datenabfluss über die Antwortdarstellung.
Was der Fall zeigt
- Berechtigungen im Quellsystem schützen nicht, wenn ein Assistent berechtigte und unberechtigte Inhalte im selben Kontext verarbeitet.
- Die Ausgabe ist ein Angriffskanal: Links und eingebettete Ressourcen in Modellantworten müssen bereinigt werden.
- Auch ein einziger Klick eines gutgläubigen Nutzers reicht — der Angriff braucht keine technische Schwachstelle im klassischen Sinn.
Verwendete Technik
-
Datenabfluss über präparierte Links
Die Antwort des Assistenten enthält einen scheinbar hilfreichen Link, in dessen Parametern vertrauliche Daten stecken — ein Klick des Nutzers genügt für den Abfluss.
Risiko hoch -
Indirekte Prompt Injection
Die Anweisung stammt nicht vom Nutzer, sondern aus Inhalten, die das System selbst lädt — Webseiten, Dokumente, E-Mails. Der Angreifer muss nie mit der Anwendung interagieren.
Risiko hoch -
RAG-Vergiftung
Präparierte Dokumente werden so gestaltet, dass sie für bestimmte Nutzerfragen sicher in die Top-Treffer der Vektorsuche gelangen und dort ihre Anweisungen ausspielen.
Risiko hoch
Quellen
- PromptArmor: Data Exfiltration from Slack AI via Indirect Prompt Injection: https://www.promptarmor.com/resources/data-exfiltration-from-slack-ai-via-indirect-prompt-injection