Spotlighting / Datenmarkierung

Sicherheitsziel

Datenmarkierung verändert, wie nicht vertrauenswürdige externe Inhalte im Modellkontext dargestellt werden, damit Quelle und Rolle für das Modell leichter erkennbar sind. Systemkomponenten fügen Inhalten aus Dokumenten, Webseiten, E-Mails, Abruf oder Tools Begrenzungen, Labels, durchgehende Markierungen, Transformationen oder getrennte Nachrichtenkanäle hinzu.

Ziel ist, die Wahrscheinlichkeit zu senken, dass anweisungsartiger Text in diesen Inhalten als Anweisung behandelt wird. Die Markierung ist eine Maßnahme gegen indirekte Prompt Injection, wird vor oder während der Kontextzusammenstellung angewendet und wirkt nur über die Interpretation des Modells.

Bedrohungsmodell

Ein Angreifer kontrolliert Inhalte, die ein System später in den Modellkontext übernimmt: ein geteiltes Dokument, eine Webseite, eine E-Mail, einen indexierten Datensatz oder eine Tool-Antwort. Er kann weder den Systemprompt noch den Anwendungscode ändern, aber Text schreiben, der wie eine Anweisung aussieht. Das Risiko besteht darin, dass das Modell diesem Text folgt, weil er nach der Verkettung wie jeder andere Teil des Prompts wirkt.

Die Markierung geht davon aus, dass der Angreifer von ihr wissen und sie nachahmen oder stören könnte. Sie adressiert keinen böswilligen Nutzer in seiner eigenen Sitzung; das ist direkte Prompt Injection und braucht andere Kontrollen.

Zuständigkeitsgrenzen

Datenprovenienz entscheidet, was ein Inhalt ist und woher er stammt. Die Eingabe- und Inhaltsprüfung erzeugt probabilistische Signale über ihn. Die Markierung ändert nur, wie er dem Modell präsentiert wird.

Markierung ist kein Vertrauen

Vertrauensmodell

Die Markierungskomponente und ihre Ausgabe sind getrennte Objekte. Die Komponente läuft unter Systemkontrolle; die erzeugte Darstellung trägt vom Angreifer beeinflussten Text und bleibt variabel.

Modell und Planer laufen als Systemprozesse, doch ihr Ergebnis ist ein variabler Vorschlag. Autorisierung und Informationsflusskontrolle entscheiden unabhängig von der Markierung der Eingabe, ob er eine Wirkung hat.

Warum verketteter Text Quellrollen verwischt

Ein Sprachmodell erhält eine einzige Tokenfolge. Werden Systemanweisungen, Nutzeranfrage und abgerufenes Dokument ohne klare Trennung zusammengefügt, sagt nichts im Text selbst dem Modell, welcher Teil Autorität hat. Anweisungsartiger Text im Dokument kann dann mit den echten Anweisungen konkurrieren. Markierung soll einen Teil dieser verlorenen Rolleninformation in einer für das Modell nutzbaren Form wiederherstellen.

Provenienzsignal und Provenienzwahrheit

Eine Markierung ist ein Signal über Provenienz, nicht die Provenienz selbst. Das System muss aus maßgeblichen Metadaten außerhalb des Payloads entscheiden, was markiert wird, nie aus Labels oder Behauptungen im Inhalt. Ein Dokument, das sich selbst als vertrauenswürdig bezeichnet, bleibt externer Inhalt und wird so markiert.

Markierungspunkte

Die Markierung bei der Kontextzusammenstellung sieht die endgültige Darstellung und ist meist der zuverlässigste Punkt. Bei der Aufnahme gespeicherte Markierungen können durch spätere Transformationen verloren gehen oder verändert werden.

Markierungsstrategien

Die Ansätze lassen sich in wenige konzeptionelle Kategorien einteilen. Sie sind kombinierbar, und keine ist für sich eine Sicherheitsgrenze. Diese Seite beschreibt nur Kategorien und veröffentlicht keine konkreten Zeichenfolgen, Tokenformate oder kodierten Beispiele.

Begrenzung

Bei der Begrenzung werden externe Inhalte mit Grenzmarkern umschlossen, und Anweisungen auf Systemebene erklären dem Modell, dass Text dazwischen Daten sind. Das ist einfach und günstig. Die Schwäche: Das Signal wirkt nur an den Rändern. Ist eine Grenze vorhersagbar, im Inhalt nachbildbar oder geht sie beim Kürzen verloren, wird das Signal schwächer. Vom System pro Anfrage gewählte Grenzen sind schwerer nachzuahmen als feste.

Datamarking

Datamarking verteilt eine Markierung über den gesamten externen Inhalt statt nur an seine Ränder und gibt dem Modell so ein durchgehendes Signal, welcher Text Daten sind. Da das Signal über die ganze Spanne besteht, übersteht es teilweises Kürzen besser als Randgrenzen. Der Preis: Der Text, den das Modell sieht, weicht vom Original ab, was Aufgaben beeinflussen kann, die vom genauen Wortlaut abhängen.

Kodierung und Transformation

Kodierung stellt externe Inhalte in anderer Form dar, sodass sie sichtbar von natürlichsprachlichen Anweisungen getrennt sind. Das Modell muss die transformierte Form weiterhin lesen können, was von seinen Fähigkeiten abhängt. Kodierung erhöht meist die Tokenzahl, kann lange Inhalte über Eingabegrenzen schieben und die Qualität bei Aufgaben senken, die genaues Lesen erfordern. Sie ändert die Darstellung, nicht den Sinn.

Strukturierte Umschläge, Nachrichtenrollen und Feldgrenzen

Unterstützt eine API eigene Nachrichtenrollen oder strukturierte Eingaben, können externe Inhalte in einem Kanal getrennt von System- und Nutzeranweisungen übergeben werden. Strukturierte Umschläge können Rollen- und Quellmetadaten in Feldern tragen, die der Inhalt nicht bearbeiten kann. Die Metadaten stammen aus der Provenienz; der Payload im Umschlag bleibt unabhängig von der Verpackung nicht vertrauenswürdig.

Inhaltstypen

Zu den Eintrittspfaden siehe Prompt Injection über Websites, E-Mail, Dokumente, RAG, Tool-Ausgaben und multimodale Inhalte.

Modellsichtbare Darstellung und Transformations-Lineage

Entscheidend ist die Darstellung, die tatsächlich beim Modell ankommt. Halten Sie fest, welche Markierungsmethode und Version sie erzeugt hat, und verknüpfen Sie sie mit der unmarkierten Quelle. Ohne diese Lineage kann eine Untersuchung nicht feststellen, ob eine Markierung angewendet, verloren oder verändert wurde, bevor das Modell den Inhalt sah.

Zusammenspiel mit der Eingabe- und Inhaltsprüfung

Prüfung und Markierung sind unabhängig. Eine Policy kann für Inhalte mit Risikosignalen eine stärkere Markierung wählen, doch ein unauffälliges Prüfergebnis ist nie ein Grund, eine vorgeschriebene Markierung auszulassen, denn nicht erkannt heißt nicht sicher. Die Prüfung sollte dieselbe Darstellung analysieren, die das Modell sieht, gegebenenfalls also die markierte.

Zusammenspiel mit Datenprovenienz

Markierung nutzt Provenienz und begründet sie nie. Die Entscheidung, Inhalt als extern zu markieren, beruht auf maßgeblichen Metadaten über Eintrittspfad und Quelle. Die Markierung selbst sollte als Transformation in der Lineage erfasst werden, damit abgeleitete Artefakte rückverfolgbar bleiben.

Markierungs-Policy

Eine Policy außerhalb des Modells entscheidet, welche Inhalte mit welcher Methode an welchem Punkt markiert werden. Typische Eingaben sind Eintrittspfad, Quelltyp, Risikostufe des Ablaufs und Modellfähigkeit. Externe Inhalte in Abläufen mit Tools oder Seiteneffekten sind der übliche Standardfall. Die Policy sollte versioniert sein, damit Ergebnisse den geltenden Regeln zugeordnet werden können.

Integrität der Marker

Markierungen verlieren an Wert, wenn Inhalte sie nachahmen können, wenn sie mit legitimem Text kollidieren oder wenn Inhalte ihre Entfernung bewirken können. Konzeptionell gilt: Marker sollten vom System gewählt, von außen nicht vorhersagbar, nach jeder inhaltsgesteuerten Verarbeitung angewendet und in der endgültigen Darstellung überprüft werden. Diese Seite beschreibt bewusst nicht, wie Marker umgangen werden können.

Erhalt über Transformationen

Abgeleitete Inhalte, die erneut in den Kontext gelangen, sollten anhand der Provenienz ihrer Eingaben neu markiert werden, nicht danach, ob der abgeleitete Text noch markiert aussieht.

Zielkonflikte

Markierung kann den Nutzen bei Aufgaben senken, die exakten Text brauchen, erhöht bei manchen Methoden Tokenzahl und Latenz, hängt von der Fähigkeit des Modells ab, die gewählte Darstellung zu deuten, und kann Nutzer verwirren, wenn das Modell die Markierung erwähnt. Messen Sie diese Kosten für Ihre Modelle und Aufgaben, statt sie anzunehmen.

Grenzen und Fehlermodi

Durchgespieltes Szenario

Synthetisches Beispiel. Ein Support-Assistent fasst ein Ticket zusammen und kann Antworten entwerfen und senden. Der Abruf fügt ein vom Kunden bereitgestelltes Dokument hinzu, dessen Text synthetische anweisungsartige Inhalte enthält, die zur externen Weiterleitung interner Notizen auffordern. Payload-Text wird hier nicht gezeigt.

In einem kontrollierten Test läuft derselbe synthetische Fall mit und ohne Markierung auf demselben Modell und derselben Aufgabe, und die Rate beeinflusster Vorschläge wird jeweils erfasst. Beide Werte werden zusammen mit der Qualität harmloser Aufgaben berichtet.

Was das Szenario zeigt und was nicht

Es zeigt, wo die Markierung sitzt, wie ihre Wirkung gegen eine passende Kontrollgruppe gemessen werden kann und dass die schädliche Wirkung durch Autorisierung und Flusskontrolle verhindert wird. Es zeigt nicht, dass Markierung Beeinflussung allgemein verhindert, dass Ergebnisse auf andere Modelle oder Inhalte übertragbar sind oder dass markierter Inhalt vertrauenswürdig wurde.

Telemetrie und Evidenz

Incident Response

Kontrolliertes Testen

Verwenden Sie synthetische Marker in begrenzten, gelabelten Testmengen. Vergleichen Sie passende markierte und unmarkierte Läufe mit demselben Modell, derselben Aufgabe und denselben Inhalten. Testen Sie jeden Transformationspfad, auf dem Markierungen verloren gehen können. Wiederholen Sie die Tests, wenn sich Modelle, Markierungsmethoden oder die Kontextzusammenstellung ändern. Pflegen Sie keine wiederverwendbare Payload-Bibliothek.

Metriken

Jede Messgröße hat ihren eigenen Nenner. Es gibt keinen zusammengesetzten Wert. Markierung erkennt nichts, daher wird ihr keine Erkennungsmetrik zugeschrieben.

Häufige Fehler

Standards, Forschung und Herstellerkontext

Zur Quellennutzung: OWASP LLM01:2026 ist die aktuelle Einordnung für Prompt Injection. Microsoft Research hat Spotlighting als Familie von Prompt-Engineering-Techniken eingeführt, die Transformationen der Eingabe nutzen, um ein durchgehendes Signal ihrer Provenienz zu liefern, und berichtet für die evaluierten Setups mit GPT-Modellen eine wirksame Abwehr bei geringem Einfluss auf die Aufgabenqualität; diese Befunde gelten für die getesteten Konfigurationen. Microsoft Learn beschreibt in einer Herstellerleitlinie Spotlighting mittels Datenmarkierung und Metaprompting als eine Schicht einer Defense-in-Depth-Strategie. Microsofts Security-Response-Blog beschreibt Begrenzungs-, Datamarking- und Kodierungsmodi auf konzeptioneller Ebene. Microsoft Foundry dokumentiert eine Produktfunktion namens Spotlighting (preview), die Dokumentinhalte zum Schutz vor Dokumentangriffen transformiert, mit dokumentierten Tokenkosten, API-Umfang und standardmäßiger Deaktivierung; das ist das aktuelle Verhalten eines Produkts, keine Beschreibung der allgemeinen Technik.

Häufige Fragen