Geführtes Sicherheitslab

Direkte und indirekte Prompt Injection

Eine geführte konzeptionelle Übung: Prompt Injection nach Ursprung und Übertragungsweg der konkurrierenden Anweisung einordnen und die Auswirkung getrennt anhand der beschriebenen Architektur bewerten.

Konzeptionelle SimulationFundamentals10-15 Minuten2026-09-26

Konzeptionelle Simulation

Diese Übung nutzt redaktionell festgelegte, deterministische Beispiele und neutrale Platzhalter statt echter Angriffstexte. Sie ist kein Live-LLM und sagt das Verhalten realer Modelle nicht voraus.

Schritt 3 von 63/6

Lernziele

Ein Szenario danach als direkt oder indirekt einordnen, woher die konkurrierende Anweisung stammt und wie sie das Modell erreicht, nicht danach, wie dramatisch sie klingt.
Erkennen, dass indirekte Injection aus Inhalten stammen kann, die der Nutzer nie verfasst hat: Webseiten, E-Mails, Dokumente, Retrieval-Ergebnisse oder Tool-Ausgaben.
Die Frage nach der Anweisungskontrolle von der Frage nach der Sicherheitsauswirkung trennen.
Begründen, warum externe Inhalte variable, nicht vertrauenswürdige Daten bleiben, auch wenn eine vertrauenswürdige Anwendungskomponente sie abgerufen hat.

Voraussetzungen

Was ist Prompt Injection? (empfohlen)
Grundkenntnisse zu AI-Assistenten

Szenario wählen

Jedes fiktive Szenario zeigt, woher ein Text stammt, wie er das Modell erreicht und was die Anwendung tun kann. Anweisungsähnlicher Text erscheint nur als neutraler Platzhalter.

Chat-Anfrage mit reinem LesezugriffEin angemeldeter Kunde tippt konkurrierende Anweisungen in einen Support-Chat.Operations-Agent mit SchreibzugriffEin Mitarbeiter gibt in einen internen Agenten Anweisungen ein, die über seine Rolle hinausgehen.Zusammenfassung einer WebseiteEin Nutzer bittet um die Zusammenfassung einer öffentlichen Seite, die versteckten anweisungsähnlichen Text enthält.E-Mail-Assistent mit VersandrechtEine eingehende Nachricht eines unbekannten Absenders wird von einem Assistenten verarbeitet, der E-Mails versenden darf.Wissensbasis mit Erstattungs-ToolEin abgerufener interner Artikel enthält einen Abschnitt, den ein externer Dienstleister eingefügt hat.Nutzer ändert die eigene AnfrageEin Nutzer bittet den Assistenten, die vorige Frage zu verwerfen und bei etwas anderem zu helfen.

Quelle und Übertragungsweg

Folgen Sie dem Weg von links nach rechts. Anwendungskomponenten sind als System markiert, Inhalte auf dem Weg als variabel.

KundennachrichtVariabler Inhalt->
Support-AnwendungSystemkomponente->
ModellSystemkomponente

Was im modellsichtbaren Kontext ankommt

AnwendungsanweisungVon der Anwendung gesteuert
Beantworte Fragen zu den eigenen Bestellungen des angemeldeten Kunden.
KundennachrichtVom Nutzer verfasst
Wo ist mein Paket? [synthetischer anweisungsähnlicher Text, der den Assistenten umlenken soll]

Beschriebene Architektur: Der Assistent kann nur den Bestellstatus des angemeldeten Kunden lesen. Er hat keine schreibenden Tools, keinen Zugriff auf andere Konten und keinen ausgehenden Nachrichtenversand.