Prompt-Injection

Bei einer Prompt-Injection bringen eingeschleuste Anweisungen den Agenten zu ungewollten Schritten; Sandbox und Rechte begrenzen den Schaden.

Fachwort: prompt injection

Im Netz

Teil von: Harness und Agentic Engineering
Verwandt: Agent BSI zu generativer KI Deepfake Rechte und Sandbox Werkzeugaufruf
Gelehrt in: Rechte, Sandbox, Hooks: was sicher gelten muss Prompt-Injektion: der Text, der Befehle gibt

Was das Netz dazu sagt

Rechte und Sandbox ergänzen sich: die Sandbox gilt auch dann, wenn eine Prompt-Injection die Entscheidung des Modells umgeht.
Stand 15.10.2026AnbieterangabeAnthropic · Configure permissions
OWASP führt Prompt-Injektion als ersten Eintrag der „LLM Top 10 for 2025“ (LLM01:2025): „A Prompt Injection Vulnerability occurs when user prompts alter the LLM's behavior or output in unintended ways.“
Stand 16.10.2026belegtOWASP Gen AI Security Project · LLM01:2025 Prompt Injection
OWASP: „Indirect prompt injections occur when an LLM accepts input from external sources, such as websites or files.“
Stand 16.10.2026belegtOWASP Gen AI Security Project · LLM01:2025 Prompt Injection
Belegtes Beispiel Bewerbung: OWASP-Szenario 6 „An attacker uploads a resume with split malicious prompts“; Beispiel Webseite: Szenario 2, eine Zusammenfassung einer Webseite „containing hidden instructions“.
Stand 16.10.2026belegtOWASP Gen AI Security Project · LLM01:2025 Prompt Injection
OWASP nennt als Gegenmittel u. a. geringste Rechte („least privilege access“), menschliche Freigabe bei riskanten Handlungen („Require human approval for high-risk actions“) und fremde Inhalte getrennt kennzeichnen.
Stand 16.10.2026belegtOWASP Gen AI Security Project · LLM01:2025 Prompt Injection
Anthropic unterscheidet direkte Injektion (der Nutzer ist der Angreifer) von indirekter, bei der Claude „third-party content (web pages, emails, documents, tool results)“ mit eingeschleusten Befehlen verarbeitet.
Stand 16.10.2026AnbieterangabeAnthropic · Mitigate jailbreaks and prompt injections
Anthropic rät, fremde Inhalte nur in Werkzeug-Ergebnissen (tool_result) zu übergeben und im Systemprompt festzulegen, dass solche Inhalte „untrusted data“ sind, die nie den Auftrag des Nutzers überschreiben.
Stand 16.10.2026AnbieterangabeAnthropic · Mitigate jailbreaks and prompt injections
Anthropic rät zu geringsten Rechten, damit eine gelungene Injektion „can do minimal damage“, und zum eigenen Angriffstest mit präparierten Dokumenten und Mails vor dem Einsatz.
Stand 16.10.2026AnbieterangabeAnthropic · Mitigate jailbreaks and prompt injections
OpenAI definiert: „A prompt injection happens when untrusted text or data enters an AI system, and malicious contents in that text or data attempt to override instructions to the AI“, und rät, Werkzeug-Freigaben durch den Menschen eingeschaltet zu lassen.
Stand 16.10.2026AnbieterangabeOpenAI · Safety in building agents
Microsoft schreibt, Copilot nutze Klassifizierer gegen „jailbreak and cross-prompt injection attack (XPIA)“, die aber „may not be available in all Microsoft Copilot scenarios“.
Stand 09.07.2026AnbieterangabeMicrosoft · Data, Privacy, and Security for Microsoft Copilot