Geführtes Sicherheitslab

Prompt Injection über Suchergebnisse

Eine geführte Übung zur Suchschicht: Titel, Snippets und Rang von der anwendungsseitig erfassten Provenienz trennen und Aufgaben-, Egress- und Quellen-Policy auf einen Modellvorschlag anwenden.

Konzeptionelle SimulationIntermediate15 Minuten2026-09-26

Konzeptionelle Simulation

Diese Übung nutzt redaktionell festgelegte, deterministische Beispiele mit fiktiven Domains. Sie führt keine Suche aus, ruft nichts ab, nutzt kein Modell und keine Tools und sagt nicht voraus, wie sich ein reales Modell verhält.

Schritt 3 von 63/6

Lernziele

Erkennen, dass Titel, Snippets und Treffer-Metadaten modellsichtbar sein können, bevor eine Seite geöffnet wird.
Erklären, warum Rang, Relevanz, Zitate und bekannte Domains weder Vertrauen noch Anweisungsautorität begründen.
Erzeugte oder umformulierte Suchanfragen als ausgehende Datenflüsse behandeln, die eine Policy prüfen muss.
Angezeigte Treffer-URL und aufgelöste finale URL unterscheiden und die Weiterleitungsprovenienz außerhalb des Modelltexts erhalten.
Provenienz erhalten, wenn suchabgeleitete Inhalte als Notiz gespeichert und später wieder abgerufen werden.

Voraussetzungen

Lab Prompt Injection über Websites (empfohlen)
Angriffsartikel Prompt Injection über Suchergebnisse (optional)

Szenario wählen

Jedes fiktive Szenario zeigt suchabgeleitete Inhalte, die das Modell sieht, und getrennt davon die Provenienz, die die Anwendung erfasst hat. Sicherheitsentscheidungen gehören in die zweite Spalte.

Exposition über Snippets, bevor eine Seite geöffnet wirdEine Trefferliste gelangt in den Kontext, damit das Modell auswählt, welcher Treffer geöffnet wird. Noch wurde keine Seite abgerufen.Rang und Relevanz gegenüber VertrauenDer oberste Treffer behauptet, die maßgebliche Quelle zu sein. Ein niedriger eingestufter Treffer stammt aus einer Quellenkategorie, die die Anwendung für die Auswahl eines zu lesenden Treffers freigegeben hat.Query-Umformulierung als Egress-EntscheidungNach dem Lesen externer Treffer schlägt das Modell eine Folgeanfrage vor, die Material aus dem Aufgabenkontext enthält.Angezeigte URL gegenüber aufgelöster finaler URLEin Treffer zeigt eine scheinbar freigegebene Adresse, doch die Abruf-Pipeline hat eine Weiterleitung auf einen anderen Host erfasst.Suchabgeleitete Notiz in einem späteren AblaufEin Rechercheablauf hat eine Zusammenfassung von Suchtreffern gespeichert. Tage später ruft ein anderer Ablauf die Notiz aus einem internen Speicher ab.

Suchpfad und Vertrauensfluss

Trefferinhalte durchlaufen Anwendungskomponenten, bevor das Modell sie sieht. Komponenten sind System; Titel, Snippets, Anfragen, Notizen und der Modellvorschlag bleiben variabel.

NutzeraufgabeVariabler Inhalt->
Such-ToolSystemkomponente->
Titel und SnippetsVariabler Inhalt->
KontextaufbauSystemkomponente->
ModellSystemkomponente->
VorschlagVariabler Inhalt->
Aufgaben-PolicySystemkomponente

Modellsichtbare Suchinhalte

Suchabgeleiteter Text, den das Modell liest. Text in eckigen Klammern ist ein neutraler Platzhalter, keine echte Anweisung.

Snippet Treffer 1
Überblick über fiktive Wärmepumpenmodelle mit Effizienzwerten.
Snippet Treffer 2
[synthetischer anweisungsartiger Text, der versucht, den Assistant umzulenken]

Anwendungsseitige Provenienz und Policy

Von der Such- und Abruf-Pipeline und der Anwendung außerhalb des Modelltexts erfasst.

Pipeline-Stufe: Trefferauswahl; keine Seite abgerufen, die Prüfung von Seiteninhalten ist noch nicht gelaufen
Herkunft Treffer 2: Anbieterausgabe von einem unbekannten Seitenbetreiber
Aufgabenumfang: Wärmepumpenmodelle für die Nutzerin vergleichen, nur lesend