Was ist multimodale Prompt Injection?
Multimodale Prompt Injection bezeichnet Prompt-Injection-Einfluss, der über Eingaben oder Repräsentationen transportiert wird, die nicht allein aus Text bestehen: ein Bild, ein Screenshot, eine gescannte Seite, eine Audioaufnahme, ein Videobild oder ein gemischtes Artefakt, in dem Text und andere Modalitäten zusammen ankommen. Wirksam wird der Einfluss erst, wenn eine multimodale Pipeline daraus etwas macht, das das Modell lesen, interpretieren oder gewichten kann.
Der Eintrittsmechanismus bleibt unverändert und greift nur, wenn das Medium tatsächlich Prompt-Injection-Inhalt trägt; ein gewöhnlicher Bildupload ist für sich noch keine Prompt Injection. Gelangt anweisungstragendes Medium über den vorgesehenen Eingabekanal in das System, handelt es sich um direkte Prompt Injection. Erreicht anweisungstragendes Medium das Modell über extern abgerufene oder verarbeitete Inhalte, handelt es sich um indirekte Prompt Injection. Was dieser Artikel ergänzt, ist der Weg dazwischen: Aufnahme, Rendering, Extraktion, Transkription oder visuelle Interpretation und die Zusammenführung des Ergebnisses in einen Kontext.
Warum multimodal kein dritter Eintrittsmodus ist
Multimodale Fälle neben direkt und indirekt einzuordnen legt nahe, es gebe einen dritten Kanal. Den gibt es nicht. Jeder multimodale Fall bleibt einer der beiden Eintrittsmodi und erhält zusätzlich eine Repräsentationseigenschaft, die verändert, was geprüft werden muss und welche Belege überhaupt erhebbar sind.
| Aspekt | Reiner Textfall | Multimodaler Fall |
|---|---|---|
| Eintritt | Direkt oder indirekt | Direkt oder indirekt, unverändert |
| Weg zur Modellsichtbarkeit | Der Text ist meist bereits die Repräsentation | Dazwischen liegt ein Dekodier-, Render-, Transkriptions- oder Interpretationsschritt |
| Nachvollziehbarkeit | Die modellsichtbare Zeichenkette ist in der Regel rekonstruierbar | Manche Repräsentationen sind rekonstruierbar, andere intern und nicht vollständig serialisierbar |
| Menschliche Prüfung | Eine Person liest denselben Text wie das Modell | Was eine Person wahrnimmt und was die Pipeline extrahiert, kann auseinanderfallen |
| Kontrollfläche | Eingabeverarbeitung und Kontextzusammenstellung | Zusätzlich Aufnahmepolitik, Dekoder, Renderer, Transkriptionsstufen |
Die Lesart als Eigenschaft hält die Taxonomie stabil. An Vertrauensgrenzen, Autorisierung und Egress-Kontrolle ändert sich nichts, nur weil ein Pixelpuffer beteiligt war; es ändert sich die Zahl der Transformationsschritte zwischen Quelle und Prompt.
Menschlich auffällig, maschinell extrahiert, modellsichtbar
Sprachliche Genauigkeit ist in diesem Thema die nützlichste Gewohnheit. Drei Beschreibungen können gleichzeitig auf dasselbe Artefakt zutreffen und sind trotzdem nicht austauschbar.
Was eine prüfende Person unter normalen Arbeitsbedingungen wahrscheinlich bemerkt, abhängig von Person, Anzeige und aufgewendeter Zeit.
Was ein Dekoder, ein Renderer, eine Texterkennung oder eine Transkription tatsächlich erzeugt hat, und das kann mehr, weniger oder schlicht anderes sein.
Was am Ende in den Modellkontext gelangt ist, entweder als extrahierter Text oder als kodierte Repräsentation des Mediums selbst.
Pipeline-Stufen, die auseinandergehalten gehören
| Zustand | Was er belegt | Was er nicht belegt |
|---|---|---|
| Artefakt akzeptiert oder erreichbar | Das Medium ist in den Aufnahmepfad gelangt | Dass eine Modalität dekodiert wurde |
| Modalität dekodiert oder extrahiert | Ein Renderer, eine Texterkennung, eine Transkription oder ein Encoder hat verarbeitet | Dass das Ergebnis den Modellkontext erreicht hat |
| Repräsentation modellsichtbar | Der abgeleitete Inhalt wurde in den Prompt oder die kodierte Eingabe aufgenommen | Dass sich das Verhalten geändert hat |
| Messbarer Modelleinfluss | Ausgabe, Plan oder Toolwahl haben sich messbar geändert | Dass eine Richtlinie umgangen wurde |
| Richtlinienumgehung | Eine Kontrolle, die den Schritt hätte stoppen sollen, hat das nicht getan | Dass eine Aktion ausgeführt wurde |
| Unautorisierte Aktion | Eine Aktion außerhalb des autorisierten Rahmens wurde wirksam | Das Ausmaß der Auswirkung |
| Sicherheitsauswirkung | Eine konkrete Wirkung auf Vertraulichkeit, Integrität oder Verfügbarkeit | Darüber hinaus wird nichts angenommen |
OCR-Injection ist ein Pfad, kein Synonym
Viele Pipelines schalten zwischen Bild und Modell eine eigenständige Texterkennung. Dort gewonnener anweisungsartiger Text erreicht das Modell als gewöhnlicher Prompt-Text. Das ist ein verbreiteter Pfad und der am leichtesten belegbare, weil die extrahierte Zeichenkette protokolliert und mit dem Prompt verglichen werden kann.
Das Thema geht darüber hinaus. Vision-Language-Systeme können eine kodierte Repräsentation des Bildes selbst verarbeiten, ohne dass eine getrennte Erkennungsstufe eine Zeichenkette erzeugt, und auf visuelle Semantik reagieren statt auf erkannte Zeichen. Dort gibt es unter Umständen gar keinen extrahierten Text zum Protokollieren, was sowohl die Erkennungsstrategie verändert als auch das, was ein Bericht redlich behaupten kann.
Modalitätsflächen, die das Modell wirklich erreichen
Eine Fläche zählt nur, wenn die eingesetzte Pipeline sie exponiert. Die folgende Übersicht ist eine Prüfliste je System, keine Aufzählung von Eigenschaften, die jedes multimodale Produkt hat.
Anweisungsartige Formulierungen in Fotos, Diagrammen, Plakaten oder Grafiken, die hochgeladen oder abgerufen werden.
Aufnahmen von Chats, Tickets, Dashboards oder Terminals, in denen zitierte Inhalte formal nicht von der umgebenden Oberfläche zu unterscheiden sind.
Ergebnis einer Texterkennungsstufe, das zu gewöhnlichem Prompt-Text wird. Wo Quell-, Abschnitts- oder Bereichsprovenienz verfügbar ist, sollte sie erhalten bleiben; andernfalls führt der erkannte Text die Vertrauensklasse des Quellartefakts konservativ und wird nicht vertrauenswürdiger, nur weil eine Systemkomponente ihn erzeugt hat.
Kodierte Bildeingabe, die ein Vision-Language-Modell ohne getrennte Erkennungsstufe interpretiert.
Audio, das eine Transkriptionsstufe verarbeitet, sofern das Deployment eine solche nutzt, einschließlich Sprachnachrichten und Gesprächsaufzeichnungen.
Abgetastete Einzelbilder oder die getrennte Tonspur, sofern die Pipeline Video überhaupt verarbeitet.
Dokument-Workflows, in denen gerenderte Seite und extrahierter Textstrom auseinanderfallen können; vertieft in den Dokument- und PDF-Seiten.
Metadaten, Alternativtexte, Bildunterschriften, Annotationen und eingebettete Objekte, die nur zählen, wenn die Pipeline sie tatsächlich liest.
Abgrenzung zu benachbarten Klassen
| Klasse | Kennzeichnender Mechanismus | Bezug zu diesem Thema |
|---|---|---|
| Prompt Injection (LLM01:2026) | Eingaben verändern das Modellverhalten | Die übergeordnete Klasse; OWASP führt dort ein multimodales Szenario |
| Adversarial Examples | Störungen verschieben Vorhersage oder Repräsentation | Grundsätzlich ein anderes Ziel, wobei Forschung in geprüften Vision-Language-Systemen überlappende Techniken zeigt |
| OCR-Umgehung | Text wird so gestaltet, dass Erkennung scheitert oder fehlliest | Betrifft Extraktionsgenauigkeit, nicht Anweisungseinfluss |
| Dokument-Prompt-Injection | Dokumentbestandteile und Parsing erzeugen modellsichtbare Inhalte | Formatspezifische Seite; hier geht es um die Modalitätseigenschaft |
| PDF-Prompt-Injection | Extraktion, Rendering, Annotationen und eingebettete Dateien erzeugen mehrere Repräsentationen | Formatspezifische Seite; die Render-Extrakt-Differenz ist gemeinsamer Boden |
| Schadcode in Mediendateien | Eine präparierte Datei nutzt eine Parser- oder Viewer-Lücke aus | Eine klassische Softwareschwachstelle, kein Modelleinfluss |
| Trainings- oder Modellvergiftung | Trainingsdaten oder Gewichte werden manipuliert | Eine völlig andere Phase im Lebenszyklus |
Geht es tatsächlich um ein Dateiformat, liegen die Details in den Seiten zu Dokument-Prompt-Injection und PDF-Prompt-Injection. Geht es um den Abrufweg, beschreiben Website Prompt Injection und Tool-Output-Injection, wie externe Artefakte überhaupt ins System gelangen.
Echte Herkunft ist keine Anweisungsautorität
Ein Screenshot einer Kollegin, ein signiertes PDF eines Lieferanten und ein authentifizierter Upload einer angemeldeten Kundin sind alle echt in dem Sinn, den Sicherheitsteams meinen. Über die enthaltenen Anweisungen sagt das nichts.
| Signal | Was es belegt | Was es nicht belegt |
|---|---|---|
| Gültige Signatur | Integrität und Authentizität des von der Signatur erfassten Inhalts im Rahmen ihres Gültigkeitsbereichs | Dass der erfasste Inhalt das System steuern darf oder dass jedes Byte und jedes Update zwingend erfasst ist |
| Authentifizierter Upload | Welches Konto die Datei geliefert hat | Dass der Inhalt mit der Autorität dieses Kontos spricht |
| Internes Quellsystem | Das Artefakt kam aus einem bekannten System | Dass dieses System jeden Teil des Inhalts verfasst hat |
| Bekannte Dateiherkunft | Woher das Artefakt stammt | Ob der Inhalt darin Aufgabenanweisung oder Daten ist |
Die multimodale Erfolgskette
Modalitätsübergreifende Fusion und Anweisungskonkurrenz
Sobald mehrere Modalitäten in einen Kontext zusammengeführt sind, muss das Modell die Aufgabenanweisungen des Betreibers gegen alles abwägen, was mit dem Medium mitgekommen ist. Die Repräsentation selbst markiert nicht, welcher Teil Aufgabe und welcher Bearbeitungsmaterial ist.
Die Forschung dazu benennt ihren Geltungsbereich ausdrücklich. Die Arbeit "Self-interpreting Adversarial Images" von der USENIX Security 2025 führt indirekte, modalitätsübergreifende Injection-Angriffe gegen Visual-Language-Modelle ein, bei denen Bilder Meta-Anweisungen tragen, die steuern, wie das Modell Fragen zum Bild beantwortet, während die Antworten stimmig und am Bildinhalt orientiert bleiben; die Autoren werten das über mehrere Modelle, Interpretationen und Nutzerfragen aus. Diese Ergebnisse gehören zu den dort geprüften Systemen und Konfigurationen. Sie belegen nicht, dass sich jedes multimodale Modell so verhält, und das Erzeugungsverfahren wird hier nicht wiedergegeben.
Gerenderte gegenüber extrahierter Repräsentation
Wo eine Pipeline mehr als eine Repräsentation desselben Artefakts erzeugen kann, ist der Unterschied zwischen ihnen selbst sicherheitsrelevant. Gerenderte Seite, erkannter Text und strukturelle Textextraktion können jeweils Material enthalten, das die anderen nicht führen.
| Repräsentation | Erzeugt durch | Warum sie abweichen kann |
|---|---|---|
| Gerendertes Seitenbild | Einen Layout-Renderer | Bildet visuelle Ebenen, Überlagerungen und tatsächlich Gezeichnetes ab |
| Erkannter Text | Eine Texterkennung über dem Rendering | Hängt von Kontrast, Größe, Sprache und Erkennungsqualität ab |
| Strukturelle Textextraktion | Einen Formatparser | Folgt den internen Textobjekten, die dem visuellen Ergebnis nicht entsprechen müssen |
| Kodierte Medieneingabe | Einen Vision- oder Audio-Encoder | Ist keine Zeichenkette und lässt sich nicht auf dieselbe Weise vergleichen |
Ein Vergleich der Repräsentationen ist eine sinnvolle erkennende Kontrolle, wenn zwei davon existieren und serialisierbar sind. Sie steht nicht in jeder Pipeline zur Verfügung und ist ein Signal für die Prüfung, keine Autorisierungsentscheidung. Formatdetails für Dokumente liegen unter PDF Prompt Injection.
Erreichbare Daten- und Fähigkeitspfade
Einfluss wird nur in dem Maß zum Sicherheitsproblem, in dem die beeinflusste Komponente etwas erreichen kann. Derselbe manipulierte Screenshot ergibt in einer reinen Zusammenfassung und in einem Assistenten mit Zahlungs- und Mailfunktionen völlig verschiedene Risikobilder.
Was für die beeinflusste Komponente zu erfassen ist
- Welche Daten die Sitzung lesen kann und unter welcher Identität
- Welche Tools und Aktionen in diesem Workflow aufrufbar sind, nicht im Produkt insgesamt
- Welche ausgehenden Ziele erreichbar sind, einschließlich Link- und Medienabruf beim Rendern
- Welche Aktionen folgenreich sind, also Zustand ändern, Geld bewegen oder Daten verschieben
- Welche Gates zwischen Vorschlag und Ausführung liegen und ob sie deterministisch sind
- Ob beeinflusste Ausgabe in Zustand geschrieben wird, den eine spätere Aufgabe liest
Die Folgen eines beeinflussten Plans auf Agentenseite behandelt AI-Agent-Prompt-Injection, Material mit Wirkung über die Sitzung hinaus die persistente Prompt Injection.
Perspektive der offensiven Bewertung
In einer autorisierten Bewertung liegt der Wert dieses Themas darin, den Medienpfad Stufe für Stufe zu kartieren und festzuhalten, wo ein Versuch tatsächlich endet. Die folgenden Punkte sind Prüffragen und Beobachtungspunkte, kein Konstruktionsverfahren. Dieser Artikel enthält bewusst keine Payload-Zeichenketten, keine Optimierungsverfahren für adversariale Bilder, keine Verschleierungstechniken und keine Exfiltrationsverfahren.
Welche Medienquellen Externe überhaupt beeinflussen können: Uploads, verlinkte Bilder, geteilte Dokumente, Ticketanhänge, Tool-Ergebnisse.
Welche Modalitäten das Deployment tatsächlich aufnimmt und welche es ablehnt, entfernt oder ignoriert.
Welche Komponenten in welcher Reihenfolge mit welchen Grenzen laufen und was jede davon ausgibt.
Was der Prompt erhalten hat, soweit serialisierbar, und welche Belege vorliegen, wo das nicht der Fall ist.
Ob medienabgeleitete Inhalte als Daten mit Provenienz erscheinen oder in den Anweisungsbereich des Prompts eingemischt werden.
Welche Daten und Fähigkeiten die beeinflusste Komponente in diesem Workflow berühren könnte.
Welche Autorisierungsentscheidungen außerhalb des Modells fallen und welche nur filtern oder bewerten.
Was pro Stufe aufgezeichnet wurde, damit der Bericht die tatsächlich erreichte tiefste Stufe benennen kann.
Durchgespieltes Szenario: Spesenassistent und Screenshot
Das Folgende ist eine synthetische, begrenzte und umkehrbare Übung in einem Testmandanten mit angelegten Testdaten. Beschrieben werden Stufen und Entscheidungen, ohne wiederverwendbare Inhalte.
Ein Test-Spesenassistent fasst hochgeladene Belegbilder zusammen und darf ein Erstattungs- und ein Mail-Tool aufrufen, beide hinter deterministischer Autorisierung.
Ein eingereichtes Belegbild enthält neben den Belegfeldern zusätzliche anweisungsartige Formulierungen, die wie ein Betreiberhinweis wirken.
Das Bild wird vom Upload-Pfad akzeptiert. Festgehalten werden Artefakt-Hash, hochladende Identität, Quellkanal und Aufnahmeentscheidung.
Die Erkennungsstufe erzeugt eine Textrepräsentation, die die anweisungsartige Formulierung enthält. Festgehalten werden die extrahierte Zeichenkette und die erzeugende Transformation.
Die Kontextzusammenstellung übernimmt den extrahierten Text in den Prompt. In dieser Konfiguration ist die Repräsentation serialisierbar, der genaue modellsichtbare Text wird protokolliert.
Der erzeugte Plan ändert sich: Neben der erwarteten Zusammenfassung schlägt der Assistent vor, eine Nachricht an eine Adresse zu senden, die nicht zum Workflow gehört. Das ist messbarer Einfluss.
Der Mail-Tool-Aufruf wird von der Autorisierung der konkreten Aktion gegen die Workflow-Richtlinie geprüft. Empfänger und Zweck liegen außerhalb des autorisierten Rahmens, der Aufruf wird vor der Ausführung abgelehnt.
Tiefstes beobachtetes Gate: Autorisierung der konkreten Aktion. Einfluss bestätigt, keine unautorisierte Aktion ausgeführt, keine Daten an ein unautorisiertes Ziel gelangt, also keine Exfiltration. Der Testmandant wird zurückgesetzt.
Was das Szenario belegt und was nicht
| Aussage | Belegt? | Begründung |
|---|---|---|
| Der Bildpfad kann Einfluss transportieren | Ja | Die extrahierte Repräsentation gelangte in den Kontext und der Plan änderte sich |
| Das Modell ist defekt | Nein | Beobachteter Einfluss hängt sowohl vom Kontextaufbau als auch vom Modellverhalten ab und belegt für sich keinen Fehler eines bestimmten Modells |
| Jedes solche Bild würde wirken | Nein | Geprüft wurden eine Konfiguration, ein Workflow und eine Erkennungsstufe |
| Es wurden Daten exfiltriert | Nein | Der ausgehende Aufruf wurde nie ausgeführt |
| Das Deployment ist sicher | Nein | Ein Gate hat in einem Workflow gehalten; andere Workflows und Fähigkeiten wurden nicht geprüft |
Erkennung und Telemetrie
Eine durchgängige Rekonstruktion multimodaler Fälle setzt Einblick in jede Transformation voraus, denn die entscheidende Frage ist, welche Repräsentation das Modell wirklich erreicht hat.
- 01Artefaktidentität
Hash, Medientyp, Größe und der Quellkanal oder die URL, aus der das Artefakt stammt.
- 02Aufnahmeentscheidung
Ob das Artefakt akzeptiert, abgelehnt, bereinigt oder konvertiert wurde, und unter welcher Richtlinienversion.
- 03Transformationen
Welche Render-, Erkennungs-, Transkriptions- oder Kodierungsstufe lief, mit Version und Einstellungen.
- 04Abgeleitete Repräsentationen
Der extrahierte Text oder das Transkript, sofern vorhanden, gespeichert für den Vergleich mit dem Prompt.
- 05Kontextaufnahme
Welcher abgeleitete Inhalt in welchen Kontextabschnitt mit welchen Provenienzangaben gelangt ist.
- 06Plan- und Ausgabeänderung
Der erzeugte Plan oder die Ausgabe, damit Einfluss gemessen und nicht vermutet wird.
- 07Vorgeschlagener Tool-Aufruf
Die genaue angeforderte Aktion mit Parametern, vor jeder Autorisierungsentscheidung.
- 08Richtlinienentscheidung und Ergebnis
Erlaubt oder abgelehnt, die entscheidende Regel und ob etwas ausgeführt wurde.
Grenzen der Erkennung in multimodalen Pipelines
Zwei Grenzen gehören in jeden Bericht und nicht erst in die Erkenntnis während eines Vorfalls.
Erstens ist nicht jede modellsichtbare Repräsentation serialisierbar. Wo ein Vision- oder Audio-Encoder das Modell direkt speist, gibt es womöglich kein Textartefakt, das dem entspricht, worauf das Modell reagiert hat. Artefakt, Transformationsprotokoll und beobachtete Verhaltensänderung bleiben verfügbar, die Zwischenrepräsentation nicht zwingend.
Zweitens sind vorhandene Belege und abgeleiteter Einfluss verschiedene Kategorien. Dass ein Bild aufgenommen wurde und sich im selben Zug der Plan geändert hat, ist ein starkes Indiz, kein Kausalnachweis. Erst kontrollierte Wiederholung mit und ohne Artefakt macht aus der Vermutung eine Messung.
Medienfilter und Klassifikatoren sind Signale, keine Autorisierung
Modalitätsbewusstes Filtern hat echten Wert: erkennungsbasierte Vorprüfung, Klassifikatoren für Anweisungsähnlichkeit über extrahiertem Text, Anomaliebewertung von Medienquellen und Heuristiken zu Inhalten, die in einem Beleg nichts verloren haben, senken das Volumen und stützen die Triage.
Sie sind probabilistisch. Sie erzeugen Fehlalarme bei legitimen Artefakten wie Screenshots von Dokumentation und übersehen Formulierungen und Layouts, für die sie nicht ausgelegt sind. Sie laufen möglicherweise, bevor die Repräsentation überhaupt existiert, die das Modell nutzt. Deshalb gehören sie in die Erkennungsschicht und niemals an die Stelle, die über die Ausführung einer Aktion entscheidet.
Defensive Architektur für multimodale Eingaben
- 01Medienprovenienz
Quelle, Kanal, hochladende Identität und Abrufkontext je Artefakt erfassen und diese Angabe an allem Abgeleiteten belassen.
- 02Vertrauensklassen über Transformationen
Quell-, Abschnitts- oder Bereichsprovenienz und Vertrauen über Transformationen erhalten, wo möglich; eine unmittelbar abgeleitete Repräsentation wird nicht vertrauenswürdiger, weil eine Systemkomponente sie erzeugt hat, und ist nur Artefaktvertrauen verfügbar, wird dieses Quellvertrauen konservativ geführt.
- 03Trennung von Anweisung und Daten
Medienabgeleitete Inhalte als gekennzeichnete Daten mit Provenienz führen, statt sie in den Anweisungsbereich des Prompts zu mischen.
- 04Freigegebene, isolierte Dekoder
Bekannte Medientypen akzeptieren, Parser und Renderer mit Ressourcengrenzen und Isolation betreiben und ablehnen, was der Workflow nicht braucht.
- 05Begrenzter Medienabruf
Einschränken, welche entfernten Medien das System abruft, und jedes abgerufene Artefakt als externen Inhalt behandeln.
- 06Repräsentationsvergleich
Wo zwei serialisierbare Repräsentationen existieren, vergleichen und Abweichungen als erkennendes Signal zur Prüfung geben.
- 07Least Privilege
Die in einem medienverarbeitenden Workflow erreichbaren Fähigkeiten auf das begrenzen, was dieser Workflow wirklich braucht.
- 08Autorisierung der konkreten Aktion
Jede folgenreiche Aktion deterministisch außerhalb des Modells entscheiden, gebunden an die konkreten Parameter zum Ausführungszeitpunkt.
- 09Egress- und Datenflusskontrolle
Ausgehende Ziele begrenzen, einschließlich Link- und Bildrenderpfaden, über die Daten nach außen gelangen können.
- 10Menschliche Freigabe bei hoher Wirkung
Für unumkehrbare oder hochwertige Aktionen eine Person vorsehen, wenn der Workflow extern kontrollierte Medien aufnimmt.
- 11Überwachung von Planabweichungen
Den ausgeführten Plan gegen die angeforderte Aufgabe halten und Schritte melden, die kein Teil der Anfrage erklärt.
- 12Transformationskette
Die vollständige Kette von Artefakt über Repräsentation bis zur Kontextaufnahme führen, damit Untersuchungen rekonstruierbar sind und Ableitungen auffindbar bleiben.
Riskante und robustere Pipeline im Vergleich
- Beliebige Medien akzeptiert
- Dekodiert und in den Prompt gemischt
- Modell entscheidet die nächste Aktion
- Tool führt aus
Medienabgeleitete Inhalte stehen ungekennzeichnet im selben Raum wie die Aufgabenanweisungen, und der Vorschlag des Modells ist faktisch die Autorisierungsentscheidung.
- Freigegebene Aufnahme mit Provenienz
- Isoliert dekodiert, Vertrauensklasse erhalten
- Gekennzeichneter Datenabschnitt im Kontext
- Modell schlägt vor
- Deterministische Autorisierung der konkreten Aktion
- Egress-Kontrolle und Protokollierung
Jede Transformation ist festgehalten, abgeleitete Inhalte bewahren granulares Quellvertrauen und werden nicht vertrauenswürdiger, weil eine Systemkomponente sie erzeugt hat, und eine Schicht außerhalb des Modells entscheidet über die Ausführung.
Die robustere Pipeline behauptet nicht, Einfluss zu verhindern. Sie behauptet, dass Einfluss sichtbar und eingedämmt ist und sich nicht selbst autorisieren kann, und das ist das erreichbare Ziel. Der breitere Kontrollsatz steht im Abwehrbereich.
Reaktion auf Vorfälle mit multimodalen Artefakten
Schritte speziell für Medienpfade
- Originalartefakt, Hash und Quellangabe vor jeder Bereinigung sichern
- Alle vorhandenen abgeleiteten Repräsentationen sichern, einschließlich extrahiertem Text und Transkripten
- Festhalten, welche Transformationsstufen mit welcher Version und Einstellung liefen
- Die Kontextaufnahme rekonstruieren: welcher Abschnitt, welche Kennzeichnung
- Die tatsächlich erreichte tiefste Stufe bestimmen, von der Aufnahme bis zu einer etwaigen Ausführung
- Prüfen, ob abgeleitete Inhalte in Zustand geschrieben wurden, den eine spätere Aufgabe liest
- Das Ergebnis genau einordnen: nur Extraktion, Einfluss, eingedämmter Vorschlag, unautorisierte Aktion oder bestätigter Datenabfluss
- Aufnahmerichtlinie und Autorisierungs-Gate vor dem Abschluss erneut prüfen
Wurden abgeleitete Inhalte gespeichert, gelten für die Bereinigung die Herkunftsregeln aus der persistenten Prompt Injection, denn das Löschen des Originalbilds entfernt keine Zusammenfassung, die es verdichtet hat.
Kontrolliertes Testen
Aufbau eines belastbaren multimodalen Tests
- Einen Testmandanten mit angelegten Daten und umkehrbarem Zustand nutzen, niemals Produktivdaten
- Die geprüfte Pipeline-Konfiguration festschreiben und Dekoder-, Erkennungs- und Modellversionen festhalten
- Paarweise Durchläufe mit und ohne Artefakt fahren, damit Einfluss gemessen und nicht vermutet wird
- Jede Stufe getrennt instrumentieren, damit ein gestoppter Versuch einem konkreten Gate zuzuordnen ist
- Jede Modalität prüfen, die das Deployment tatsächlich aufnimmt, und festhalten, welche es ablehnt
- Den Nutzen gutartiger multimodaler Aufgaben im selben Aufbau messen, damit strengere Aufnahme nicht als Sicherheitsgewinn missverstanden wird
- Abdeckung festhalten: welche Workflows, Fähigkeiten und Modalitäten im Umfang lagen und welche nicht
Kennzahlen und ihre Berichterstattung
| Kennzahl | Zähler | Nenner |
|---|---|---|
| Artefakt-Erreichbarkeitsrate | In den Aufnahmepfad übernommene Artefakte | Eingereichte oder angebotene Artefakte |
| Dekodier- und Extraktionsrate | Akzeptierte Artefakte, deren relevante Modalität dekodiert oder extrahiert wurde | Akzeptierte Artefakte |
| Modellsichtbarkeitsrate | Dekodierte Repräsentationen, die in den Modellkontext gelangten | Dekodierte Repräsentationen |
| Rate modalitätsübergreifenden Einflusses | Modellsichtbare Fälle mit messbarer Verhaltensänderung | Modellsichtbare Fälle |
| Rate der Richtlinienumgehung | Beeinflusste Fälle, in denen eine zuständige Kontrolle den Schritt nicht gestoppt hat | Beeinflusste Fälle, die diese Kontrolle erreichten |
| Rate unautorisierter Aktionen | Wirksam gewordene Aktionen außerhalb des autorisierten Rahmens | Vorschläge, die die Autorisierungsschicht erreichten |
| Erkennungsabdeckung | Von der Telemetrie erkannte Ereignisse im Medienpfad | Bekannte tatsächlich aufgetretene Ereignisse im Medienpfad |
| Fehlalarmrate | Gemeldete gutartige Artefakte | Verarbeitete gutartige Artefakte |
| Eindämmungsrate | Vor einer Wirkung gestoppte Fälle | Fälle mit bestätigtem Einfluss |
| Rate abweichender Repräsentationen | Artefakte, bei denen zwei serialisierbare Repräsentationen deutlich abwichen | Artefakte, bei denen zwei serialisierbare Repräsentationen gezielt verglichen wurden |
Standards und Forschungskontext
Referenzrahmen
- OWASP
- LLM01:2026 Prompt Injection, einschließlich des multimodalen Szenarios
- NIST
- AI 100-2e2025 Terminologie
- Microsoft
- Defend against indirect prompt injection attacks, Microsoft 365 Copilot, Prompt-Injection-Abwehr in der Tiefe
- Forschung
- USENIX Security 2025, Self-interpreting Adversarial Images, arXiv-Arbeiten 2026 zu bildbasierter und modalitätsübergreifender Injection
OWASP LLM01:2026 hält fest, dass der Aufstieg multimodaler KI Prompt-Injection-Risiken aus dem Zusammenspiel der Modalitäten mit sich bringt, etwa Anweisungen in Bildern, die gutartigen Text begleiten, dass die Komplexität dieser Systeme die Angriffsfläche vergrößert und dass multimodale Modelle für neuartige modalitätsübergreifende Angriffe anfällig sein können, die mit heutigen Techniken schwer zu erkennen und zu entschärfen sind. Die Szenarienliste führt Multimodal Injection auf, bei der ein in ein Bild eingebetteter Prompt zusammen mit gutartigem Text verarbeitet wird und das Modellverhalten verändert. Robuste multimodalspezifische Abwehr wird dort als weiterer Forschungsbedarf benannt. Nichts davon rechtfertigt, jeden multimodalen Fall als indirekt zu behandeln oder anzunehmen, ein aufgenommenes Bild führe zu einer Auswirkung.
NIST AI 100-2e2025 liefert die hier verwendete Taxonomie und Terminologie des adversarialen maschinellen Lernens. Die Quelle wird für Begriffe zitiert; dieser Artikel behauptet nicht, NIST standardisiere multimodale Prompt Injection als eigene Klasse.
Die Microsoft-Leitfäden zur Abwehr indirekter Prompt Injection und zur gestaffelten Abwehr in Microsoft 365 Copilot sind Herstellerleitfäden und werden als solche benannt. Sie werden hier für die allgemeine Architekturhaltung genutzt: extern kontrollierte Inhalte als nicht vertrauenswürdig behandeln, präventive, erkennende und begrenzende Kontrollen staffeln und folgenreiche Entscheidungen außerhalb des Inhaltspfads treffen.
Auf der Forschungsseite führt die USENIX-Security-2025-Arbeit "Self-interpreting Adversarial Images" von Zhang, Zhang, Morris, Bagdasarian und Shmatikov indirekte, modalitätsübergreifende Injection-Angriffe gegen Visual-Language-Modelle ein, bei denen Bilder Meta-Anweisungen tragen, die steuern, wie das Modell Fragen zum Bild beantwortet, während die Antworten stimmig und am Bildinhalt orientiert bleiben. Zwei arXiv-Arbeiten aus 2026 setzen diese Linie fort, eine zu bildbasierter Prompt Injection gegen multimodale Modelle über visuell eingebettete Anweisungen und eine zu modalitätsübergreifender Prompt Injection gegen große Vision-Language-Modelle mit ausschließlich bildseitigen Störungen. Alle drei sind zugeordnete Forschung, deren Ergebnisse zu den jeweils geprüften Konfigurationen der Autoren gehören; Verfahren zur Erzeugung, Optimierung oder Verschleierung werden hier nicht wiedergegeben.
Häufige Fragen
Ist multimodale Prompt Injection eine eigene OWASP-Klasse?
Nein. Sie liegt unter LLM01:2026 Prompt Injection, wo multimodales Risiko ausdrücklich behandelt und ein multimodales Szenario aufgeführt wird. Der Begriff beschreibt eine Repräsentationseigenschaft, keine eigene standardisierte Klasse.
Ist das dasselbe wie OCR-Injection?
Nein. Von einer Erkennungsstufe gewonnener Text ist ein Pfad. Vision-Language-Systeme können ein kodiertes Bild direkt interpretieren, ohne eine erkannte Zeichenkette zu erzeugen, und Audiopfade verhalten sich nochmals anders.
Betrifft das nur Bilder?
Nein. Jede Modalität, die das Deployment aufnimmt, kann den Einfluss tragen: Screenshots, gescannte Seiten, Audio mit Transkriptionsstufe sowie Videobilder oder Tonspuren, wo Video verarbeitet wird.
Muss der Inhalt für Menschen unsichtbar sein?
Nein, und die Behauptung sollte vermieden werden. Inhalte können visuell unauffällig oder schlicht übersehen sein, und was eine Pipeline extrahiert, ist eine andere Frage als das, was eine Person bemerkt.
Ist das dasselbe wie ein Adversarial Example?
Es sind verschiedene Klassen mit in manchen geprüften Systemen überlappenden Techniken. Adversarial Examples zielen allgemein auf Vorhersagen oder Repräsentationen, Prompt Injection auf das Befolgen von Anweisungen.
Ändert eine signierte oder interne Datei etwas?
Sie authentifiziert den Behälter, nicht die Anweisung. Eine erfolgreich validierte Signatur belegt Integrität und Authentizität für den von ihr erfassten Inhalt im Rahmen ihres Gültigkeitsbereichs; über die Steuerungsbefugnis des Inhalts sagt sie nichts, und sie garantiert ohne gesonderte Prüfung nicht, dass jedes Byte oder jedes Update erfasst ist.
Ist Extraktion bereits Einfluss?
Nein. Erkannter Text im Protokoll belegt Extraktion. Einfluss erfordert eine messbare Änderung von Ausgabe, Plan oder Toolwahl, idealerweise gezeigt durch paarweise Durchläufe mit und ohne Artefakt.
Löst Medienfilterung das Problem?
Sie senkt das Volumen und stützt die Triage. Sie ist probabilistisch, übersieht und übermeldet und darf nie die Komponente sein, die über die Ausführung einer Aktion entscheidet.
Wie wird Einfluss getrennt von Extraktion gemessen?
Mit getrennten Raten und genannten Nennern: wie oft Artefakte akzeptiert wurden, wie oft die Modalität dekodiert wurde, wie oft die Repräsentation den Kontext erreichte und wie oft sich das Verhalten tatsächlich änderte.
Was gehört nach einem eingedämmten Fall in den Bericht?
Beides: dass eine medienabgeleitete Repräsentation messbaren Einfluss erzeugt hat und dass das deterministische Gate die resultierende Aktion abgelehnt hat, mit Gate, Richtlinie und tiefster erreichter Stufe.
Quellen
- LLM01:2026 Prompt InjectionOWASP GenAI Security Project · GuidanceGeprüft 2026-09-20
- Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations, NIST AI 100-2e2025NIST · Standard · 2025-03Geprüft 2026-09-20
- Defend against indirect prompt injection attacksMicrosoft Learn · GuidanceGeprüft 2026-09-20
- Microsoft 365 Copilot prompt injection defense in depthMicrosoft Learn · GuidanceGeprüft 2026-09-20
- Self-interpreting Adversarial ImagesUSENIX Security 2025 · Research paper · 2025-08Geprüft 2026-09-20
- Image-based Prompt Injection: Hijacking Multimodal LLMs through Visually Embedded Adversarial InstructionsarXiv · Research paper · 2026-03Geprüft 2026-09-20
- A Cross-Modal Prompt Injection Attack against Large Vision-Language Models with Image-Only PerturbationarXiv · Research paper · 2026-05Geprüft 2026-09-20