Überblick
Diese Übersicht ordnet die schnell wachsende Literatur zu Abwehrmaßnahmen gegen Prompt Injection einschließlich Jailbreaking. Sie nutzt den NIST-Bericht zu adversariellem maschinellem Lernen als begriffliche Grundlage und schlägt zusätzliche Abwehrkategorien vor.
| Feld | Wert |
|---|---|
| Ressourcentyp | Systematische Übersicht |
| Originaltitel | A Systematic Literature Review on LLM Defenses Against Prompt Injection and Jailbreaking: Expanding NIST Taxonomy |
| Autorinnen und Autoren | Pedro H. Barcha Correia, Ryan W. Achjian, Diego E. G. Caetano de Oliveira, Ygor Acacio Maria, Victor Takashi Hayashi, Marcos Lopes, Charles Christian Miers, Marcos A. Simplicio Jr |
| Erste öffentliche Version | 2026-01-29 |
| Publikationsstatus | arXiv-Preprint (arXiv:2601.22240, Januar 2026). |
| Schwerpunkte | Abwehr, Evaluation |
| Artefakte | Kein Code- oder Datenartefakt angegeben |
| Zuletzt geprüft | 2026-09-26 |
Forschungsfrage
Welche Strategien gegen Prompt Injection wurden vorgeschlagen, wie fügen sie sich in die NIST-Taxonomie ein oder erweitern sie, und welche Wirksamkeit haben ihre Autorinnen und Autoren berichtet?
Methode und Artefakt
Die Autorinnen und Autoren führen eine systematische Literaturübersicht über 88 Studien durch, darunter Studien, die weder im NIST-Bericht noch in früheren Übersichten erfasst sind. Sie schlagen eine Erweiterung der NIST-Taxonomie vor und stellen einen Katalog der untersuchten Abwehren mit berichteter quantitativer Wirksamkeit für bestimmte LLMs und Angriffsdatensätze zusammen, einschließlich der Angabe, welche Lösungen Open Source und modellunabhängig sind. Ein separates Code- oder Daten-Repository wird hier nicht aufgeführt.
Zentrale Ergebnisse laut den Autorinnen und Autoren
Aussagen der Quelle: Die folgenden Punkte fassen zusammen, was die zitierte Publikation für die dort getesteten Modelle und Konfigurationen berichtet.
- Die Autorinnen und Autoren bezeichnen die Arbeit als erste systematische Literaturübersicht zu Gegenmaßnahmen gegen Prompt Injection.
- Sie identifiziert Studien über den NIST-Bericht und frühere Übersichten hinaus.
- Sie schlägt zusätzliche Abwehrkategorien als Erweiterung der NIST-Taxonomie vor.
- Sie liefert einen Katalog von Abwehren mit berichteter Wirksamkeit, Open-Source-Status und Modellunabhängigkeit sowie Leitlinien für Forschung und Entwicklung.
Sicherheitliche Einordnung
Einordnung dieser Website: Dieser Abschnitt erklärt aus Sicht von Prompt-Injection.net, warum die Arbeit relevant ist. Er ist keine Aussage der Autorinnen und Autoren.
Ein gemeinsames Vokabular hilft Teams, Kontrollen über Hersteller und Papers hinweg zu vergleichen. Der Katalog eignet sich, um Kandidaten für Abwehrmaßnahmen zu finden, doch die Wirksamkeitswerte beschreiben jeweils den Aufbau der Originalstudie. Die Abwehrseiten dieser Website unterscheiden daher probabilistische modellseitige und erkennende Kontrollen von deterministischen Autorisierungs- und Informationsflusskontrollen.
Grenzen und Vorbehalte
- Die Wirksamkeitswerte stammen aus Einzelstudien mit unterschiedlichen Modellen, Datensätzen, Angriffen und Metriken; sie lassen sich nicht direkt als Rangfolge vergleichen.
- Eine Übersicht übernimmt die Grenzen und möglichen Verzerrungen der eingeschlossenen Studien.
- Das Feld entwickelt sich schnell; nach dem Suchzeitraum veröffentlichte Abwehren sind nicht enthalten.
- Die Übersicht behandelt Jailbreaking gemeinsam mit Prompt Injection; diese Website betrachtet beide als verwandte, aber unterschiedliche Probleme.
So lässt sich die Arbeit nutzen
Nutzen Sie die Übersicht als Landkarte der Abwehrliteratur und als Quelle für Verweise auf Originalstudien. Lesen Sie vor der Einführung einer Abwehr die Originalstudie und testen Sie sie gegen Ihr eigenes Bedrohungsmodell und Ihre Arbeitslasten.
Verwandte Inhalte auf Prompt-Injection.net
- Abwehr von Prompt Injection - Mehrschichtige Abwehr mit Provenienz, Autorisierung, Tool-Kontrollen, Informationsfluss, Monitoring und Eindämmung.
- Erkennung von Prompt Injection - Wie Prompt-Injection-Versuche und Auswirkungen zur Laufzeit erkannt werden, indem Inhalts-, Kontext-, Verhaltens-, Plan-, Tool- und Durchsetzungssignale korreliert werden. Probabilistische Evidenz für Reaktion und Untersuchung, nie Autorisierung oder Ersatz für deterministische Durchsetzung.
- Eingabe- und Inhaltsprüfung - Wie Nutzereingaben und externe Inhalte auf Risikosignale für Prompt Injection geprüft werden: Prüfpunkte, Darstellungen, risikoabgestufte Maßnahmen, Ausfallverhalten und Metriken. Ein Prüfergebnis ist Evidenz, keine Vertrauens- oder Autorisierungsentscheidung.
- Informationsflusskontrolle - Wie außerhalb des Modells entschieden wird, ob Daten mit einer bestimmten Provenienz und Klassifikation von einer konkreten Quelle über Verarbeitungsschritte zu einer konkreten Senke fließen dürfen - über Modell-, Kontext-, Tool-, Speicher- und Mandantengrenzen hinweg.
- Ausgabevalidierung - Wie Modell- und Agentenausgaben vor der Nutzung gegen senkenspezifische Struktur- und Formatvorgaben validiert werden: strenges Parsing, Allowlists, typisierte Parameter, Zielsyntax. Getrennt von Kodierung, Autorisierung und Flusskontrolle; macht ausführbaren Freitext nie sicher.
- Prompt Injection und Jailbreaking - Wie sich die Begriffe überschneiden, warum der Sprachgebrauch variiert und wie man einen Fall nach Quelle, Zustellung, herausgeforderter Grenze und Wirkung einordnet und dokumentiert.