Wo eingeschleuste Anweisungen sich verstecken: die Träger indirekter Prompt-Injektion, die ein Agent liest

Worum es geht

OWASP führt Prompt-Injektion in seinen 2025 Top 10 für LLM-Anwendungen als LLM01 und unterscheidet direkte Injektion (die nutzende Person tippt die Anweisung selbst) von indirekter Injektion, bei der das Modell die Anweisung innerhalb externer Inhalte wie einer Website oder einer Datei erhält. Für einen Agenten ist die indirekte Injektion die grössere Angriffsfläche: jedes Werkzeug, das Text zurückgibt, der nicht von der nutzenden Person verfasst wurde, ist ein Träger.

Verbreitete Träger:

• Webseiten: mit CSS versteckter Text, weisser Text auf weissem Grund, aria-label- und alt-Attribute, HTML-Kommentare, <noscript>-Blöcke — im Browser unsichtbar, im extrahierten Text vorhanden.
• Dokumente: PDF-Textebenen, Notizen für Vortragende, Dokumenteigenschaften, nachverfolgte Änderungen, Tabellenzellen ausserhalb des sichtbaren Bereichs.
• Repositories: README-Dateien, Code-Kommentare, Issue- und Pull-Request-Texte, Commit-Nachrichten, Test-Fixturen, Konfigurationsdateien, die ein Agent beim Programmieren öffnet.
• Nachrichten: E-Mail-Texte und -Header, Kalendereinladungen, Chatnachrichten, Support-Tickets.
• Werkzeugausgabe: API-Fehlertexte, Suchausschnitte, Dateinamen und Verzeichnislisten, Ergebnisse von MCP-Servern Dritter.
• Bilder und Audio bei multimodalen Modellen: in ein Bild gerenderter Text, Anweisungen in einem Transkript.

Warum es wichtig ist

Das Modell kann eine Anweisung nicht zuverlässig von einem Zitat einer Anweisung unterscheiden. Gleich welcher Träger es ist, der Text landet im selben Kontextfenster wie die Anfrage der nutzenden Person. Ein Agent, der handeln kann — senden, schreiben, löschen, abrufen — macht aus einer erfolgreichen Injektion eine Aktion, die mit der Befugnis der nutzenden Person ausgeführt wird.

So wird es angewendet

• Eine explizite Liste führen, welche Werkzeuge Text von Dritten zurückgeben, und diesen Text durchgehend als zitierte Daten behandeln.
• Text nach Möglichkeit so extrahieren, wie ein Browser ihn darstellt, und das Entfernen von verstecktem Text als Heuristik verstehen, nicht als Schutzmassnahme.
• Die Quelle jeder Textpassage im Ausführungsprotokoll festhalten, damit ein Vorfall bis zu seinem Träger zurückverfolgt werden kann.
• Nach dem Lesen von Inhalten Dritter vor jeder Aktion, die die nutzende Person nicht bereits angefordert hat, eine erneute Bestätigung verlangen.
• In Red-Team-Übungen in jeden Trägertyp, den der Agent liest, eine harmlose Markieranweisung einschleusen und prüfen, ob sie befolgt wird.

Stolpersteine

• Die Annahme, eine vertrauenswürdige Website könne keine Injektion tragen: von Nutzenden erstellte Abschnitte (Kommentare, Bewertungen, Wiki-Bearbeitungen) erben nichts von der Vertrauenswürdigkeit der Website.
• Nur den sichtbaren Text einer Seite filtern, während das Modell die rohe Extraktion erhält.
• Das eigene Repository als vertrauenswürdig behandeln, obwohl es Issue-Text, eingebundenen Fremdcode oder von anderen verfasste Fixturen enthält.