InjecAgent - Benchmark für indirekte Prompt Injection bei Tool-nutzenden Agenten

Überblick

InjecAgent verlagert die Frage von Textausgaben auf Aktionen. Die Arbeit untersucht, ob ein Agent, der über ein Tool externe Inhalte liest, etwa eine Bewertung oder eine E-Mail, dazu gebracht werden kann, andere Tools gegen die Interessen der Nutzenden aufzurufen.

Forschungsfrage

Wie anfällig sind Tool-integrierte LLM-Agenten für indirekte Prompt Injection, die auf schädliche Aktionen oder die Exfiltration privater Daten abzielt?

Methode und Artefakt

Der Benchmark umfasst 1.054 Testfälle mit 17 Nutzer-Tools und 62 Angreifer-Tools. Die Absichten der Angreifer werden in zwei Hauptkategorien eingeteilt: direkter Schaden für Nutzende und Exfiltration privater Daten. Bewertet werden 30 LLM-Agenten in einer Basiseinstellung und in einer verstärkten Einstellung, in der die Angreiferanweisung zusätzlich bekräftigt wird. Diese Seite beschreibt die Kategorien nur konzeptionell und gibt keine Testfallinhalte wieder.

• uiuc-kang-lab/InjecAgent (GitHub) - offizielles Benchmark-Repository

Zentrale Ergebnisse laut den Autorinnen und Autoren

Aussagen der Quelle: Die folgenden Punkte fassen zusammen, was die zitierte Publikation für die dort getesteten Modelle und Konfigurationen berichtet.

• Die bewerteten Agenten waren für indirekte Prompt Injection anfällig.
• Laut Paper war ein mit ReAct-Prompting betriebener GPT-4-Agent in der Basiseinstellung in 24 % der Fälle anfällig.
• In der verstärkten Einstellung verdoppelte sich die berichtete Erfolgsrate für diesen Agenten nahezu.
• Die Autorinnen und Autoren folgern, dass ihre Ergebnisse Fragen zum breiten Einsatz von LLM-Agenten aufwerfen.

Sicherheitliche Einordnung

Einordnung dieser Website: Dieser Abschnitt erklärt aus Sicht von Prompt-Injection.net, warum die Arbeit relevant ist. Er ist keine Aussage der Autorinnen und Autoren.

InjecAgent macht das Agentenrisiko greifbar: Sobald nicht vertrauenswürdige Inhalte und privilegierte Tools denselben Kontext teilen, geht es nicht mehr nur darum, was das Modell sagt, sondern was es tun darf. Das stützt den Ansatz, Tool-Aufrufe als Autorisierungsentscheidungen außerhalb des Modells zu behandeln.

Grenzen und Vorbehalte

• Alle Prozentwerte sind historische Ergebnisse für die konkret getesteten Agenten, Prompting-Stile und Zeitpunkte.
• Die Tools sind simuliert; reale Einsätze haben eigene Berechtigungen, Bestätigungen und Fehlerbilder.
• Ein statisches Testset bildet adaptive Angreifer nicht ab.

So lässt sich die Arbeit nutzen

Nutzen Sie InjecAgent, um Bedrohungsmodelle für Agenten entlang von Nutzer-Tools, für Angreifer erreichbaren Tools und den beiden Wirkungsklassen zu strukturieren. Die Kategorien passen gut zu Autorisierungs- und Egress-Kontrollen, die Sie in Ihrer eigenen Umgebung testen können.

Verwandte Inhalte auf Prompt-Injection.net

• AI-Agent-Prompt-Injection - Wie aus Prompt Injection in einem agentischen System eine sicherheitsrelevante Aktionskette wird, warum ein Vorschlag keine Autorisierung ist und an welchen Gates die Kette deterministisch bricht.
• Tool-Output-Injection - Warum ein vertrauenswürdiges Tool seinen zurückgelieferten Inhalt nicht vertrauenswürdig macht, wie Tool-Ergebnisse in den Modellkontext gelangen und wie Provenienz, begrenzte Fähigkeiten und deterministische Autorisierung Auswirkungen eindämmen.
• AI Agents und Tool Calling - Wie Modellvorschläge zu Aktionen werden: der Tool-Calling-Kreislauf, Verfügbarkeit und Berechtigung, Autorisierung zur Laufzeit, Freigabe, Tool-Ergebnisse als variable Daten und Audit.
• Agentenautorisierung - Wie Aktionen von KI-Agenten außerhalb des Modells autorisiert werden: initiierender Principal, Agentenidentität, Ressource, Aktion, Parameter, Ziel, Scope und Policy-Version, mit Exact-Action-Bindung und nachgelagerter Revalidierung.
• Least Privilege - Wie Umfang, Reichweite und Lebensdauer von Agentenbefugnissen reduziert werden, bevor eine Aktion geprüft wird: Identitäten, Scopes, Tool-Exposition, Datenzugriff, JIT-Erhöhung, Review und Widerrufsbereitschaft.
• Tool-Output-Injection (Lab) - Eine geführte Übung, um vertrauenswürdige Tools von nicht vertrauenswürdigen Tool-Ergebnissen zu trennen und jedes Folge-Tool, Ziel oder jede Aktion neu zu autorisieren.