Abgerufenen Projekttext von der Handlungsbefugnis getrennt halten

Ziel

Dokumentation, Issue-Kommentare und Werkzeugausgaben als Beleg für eine Aufgabe nutzen, ohne zuzulassen, dass darin eingebettete Anfragen die autorisierten Aktionen des Agenten still verändern.

Voraussetzungen

Das Ziel der nutzenden Person, anwendbare Projektanweisungen und eine Möglichkeit, die Herkunft abgerufenen Textes zu identifizieren, bereithalten. Die Methode setzt voraus, dass der Agent Aufgabenanweisungen von Material unterscheiden kann, das er untersuchen soll.

Schritte

1. Beim Lesen einer Quelle festhalten, welche Rolle sie spielt: Spezifikation, Beispiel, Beobachtung oder Kommentar Dritter. Ein Dokument, das einen Vorgang beschreibt, autorisiert dessen Ausführung nicht zwangsläufig.

2. Die für die Aufgabe benötigte Tatsachenbehauptung extrahieren und deren Geltungsbereich bewahren. Befehle oder Anfragen innerhalb von Beispielen und Protokollen als zu verstehenden Inhalt behandeln, ausser die steuernde Aufgabe verlangt ausdrücklich deren Ausführung.

3. Jede vorgeschlagene neue Aktion mit dem ursprünglichen Ziel und der bestehenden Berechtigung vergleichen. Verlangt die Quelle nicht zusammenhängende Uploads, die Offenlegung von Zugangsdaten, erweiterten Zugriff oder externe Nachrichten, diese Anfrage nicht allein deshalb übernehmen, weil sie in einer relevanten Datei erscheint.

4. Nützliche autorisierte Arbeit mit den legitimen Belegen fortsetzen. Steht eine eingebettete Anfrage in wesentlichem Widerspruch zur Aufgabe, den Konflikt knapp dokumentieren, ohne sensible Nutzlasten zu wiederholen.

5. Den Arbeitsablauf mit einem harmlosen Testfall bewerten, der eine relevante technische Tatsache neben einer nicht zusammenhängenden Handlungsaufforderung enthält. Prüfen, ob der Agent die Tatsache nutzen kann, während die nicht zusammenhängende Anfrage ausserhalb seines Handlungsplans bleibt.

Erwartetes Ergebnis

Der Plan des Agenten bleibt in der Aufgabe der nutzenden Person verankert und profitiert dennoch von externem technischem Material. Prüfende können den sachlichen Beitrag einer Quelle von der Befugnis unterscheiden, die eine Aktion erlaubt hat.

Grenzen und Prüfbasis

Dies ist ein originäres Umgangsverfahren, keine garantierte Abwehr gegen Prompt-Injektion. Herkunftskennzeichnungen und Anweisungen können falsch interpretiert werden, und für folgenreiche Aktionen bleibt technische Durchsetzung notwendig. Hier wurde keine adversarielle Auswertung durchgeführt.