Prompt Injection: Wenn eine gelesene Seite dem Agenten Befehle gibt
Ein Agent soll eine Webseite zusammenfassen. In der Seite steht plötzlich, er müsse vorher eine Datei an jemand anderen schicken. Die Anweisung gehört nicht zu deinem Auftrag. Für Systeme, die fremde Inhalte lesen und echte Aktionen ausführen können, ist das eine wichtige Grenze.
Recherchestand: 2026-09-09 · Titelbild: KI-generierte Illustration
Fremder Inhalt ist keine neue Freigabe
OWASP beschreibt Prompt Injection als Versuch, das Verhalten eines Sprachmodells über seine Eingaben zu verändern. Indirekte Angriffe können aus Dokumenten, Webseiten oder Werkzeugantworten kommen. Der Agent trifft also beim Erledigen seiner eigentlichen Aufgabe darauf.
Eine solche Quelle darf keine neuen Rechte vergeben. Die Anwendung muss vorgeschlagene Aktionen gegen den ursprünglichen Auftrag prüfen. Ein Warnsatz im Prompt kann helfen, ersetzt aber keine begrenzten Werkzeuge und serverseitigen Kontrollen.
Recherche und Versand getrennt behandeln
Bei einer Content-Recherche sollte feststehen, welche Quellen gelesen werden dürfen und welches Ergebnis gebraucht wird. Gelesenes Material bleibt als Quelle gekennzeichnet. Es bestimmt nicht nebenbei neue Empfänger oder Veröffentlichungsziele.
Beim Outreach ist die Grenze besonders anschaulich: Eine Website lesen und eine Nachricht verschicken sind zwei verschiedene Aufgaben. Für den Versand brauchen wir den richtigen Empfänger, den freigegebenen Inhalt und die passende Berechtigung. Ein Link in der Recherchequelle liefert das nicht.
Werkzeuge auf ihre Aufgabe begrenzen
Eine Funktion zum Erstellen von Entwürfen braucht keine Versandberechtigung. Eine Suche in freigegebenen Datensätzen benötigt keinen Exportzugriff auf beliebige Datenbanken. Vor einer Änderung prüft das Backend Identität, Ziel und Umfang.
Das fängt auch gewöhnliche Fehlentscheidungen ab. Wählt der Agent die falsche Funktion, bleiben seine Möglichkeiten begrenzt. Im Protokoll sollten der Versuch und der Ablehnungsgrund erkennbar sein, ohne unnötig vertrauliche Inhalte mitzukopieren.
Der Ablauf auf einen Blick
- 01Quelle lesenExternen Inhalt kennzeichnen
- 02Aktion prüfenZiel und Rechte abgleichen
- 03Begrenzt ausführenNur den genehmigten Auftrag
Die unerlaubte Aktion muss tatsächlich ausbleiben
Ein sinnvoller Test verwendet ein künstliches Dokument mit einer fremden Anweisung. Die Zusammenfassung soll gelingen, die unbestellte Aktion muss ausbleiben. Auch der Versuch, erlaubte Daten an einen unerlaubten Empfänger umzuleiten, gehört in die Prüfung.
Entscheidend ist für mich das Ergebnis im System. Eine Warnung im Chat reicht nicht, wenn trotzdem eine Datei versendet wurde. Solche Prüfungen reduzieren konkrete Risiken; eine vollständige Immunität gegen jede künftige Eingabe belegen sie nicht.
