Geführtes Sicherheitslab

RAG Prompt Injection

Eine geführte Übung zum RAG-Vertrauenspfad: Inhalte von der Quelle über Ingestion, Chunking, autorisiertes Retrieval und Kontextaufbau verfolgen und dann Identitäts-, Provenienz-, Aufgaben- und Aktions-Policy auf einen Modellvorschlag anwenden.

Konzeptionelle SimulationIntermediate15 Minuten2026-09-26

Konzeptionelle Simulation

Diese Übung nutzt redaktionell festgelegte, deterministische Beispiele mit fiktiven Namen. Sie führt kein Retrieval aus, nutzt keine Embeddings, keine Vektordatenbank, kein Modell und keine Tools und sagt nicht voraus, wie sich ein reales Modell verhält.

Schritt 3 von 63/6

Lernziele

Erklären, warum Inhalte, die eine Identität lesen darf, den Assistant weder anweisen noch die Aufgabe ändern dürfen.
Berechtigungsbewusstes Retrieval vor den Kontextaufbau legen, damit Relevanz und Rang nie Identität, Mandant oder ACL übersteuern.
Quelle, Version, Chunk-Herkunft und Autorisierungsmetadaten über Parsing, Chunking und Neuindizierung erhalten und bei fehlenden Angaben sicher ablehnen.
Einen begrenzten, legitimen RAG-Antwortpfad erkennen, ohne abgerufenem Text Autorität über spätere Schritte zu geben.
RAG-Einfluss von nachgelagerter Fähigkeit trennen: Jede folgenreiche Aktion wird außerhalb des Modells neu geprüft.

Voraussetzungen

Lab Vertrauensgrenzen und Modellkontext (empfohlen)
Angriffsartikel RAG Prompt Injection (optional)

Szenario wählen

Jedes fiktive Szenario zeigt abgerufene Inhalte, die das Modell sieht, und getrennt davon die Identitäts-, Provenienz- und Policy-Fakten, die die Anwendung erfasst. Sicherheitsentscheidungen gehören in die zweite Spalte.

Abgerufener Chunk beeinflusst, legt aber die Aufgabe nicht neu festEin autorisierter Chunk aus dem Handbuch wird zu einer Frage zur Urlaubsregelung abgerufen. Er enthält normalen Regelungstext und eine anweisungsartige Passage.Relevanter Chunk aus einer Ressource ohne ZugriffsrechtIm gemeinsamen Index liegt ein semantisch passender Chunk, der zu einer eingeschränkten Ressource einer anderen Abteilung gehört.Abgeleiteter Chunk mit fehlenden oder widersprüchlichen SicherheitsmetadatenEin Dokument wurde geparst, in Chunks zerlegt und neu indiziert. Ein abgeleiteter Chunk hat seine Quell-ACL verloren. Die Pipeline muss ihn vor dem Kontextaufbau sicher ablehnen, unabhängig davon, was sein eigener Text behauptet.Legitime, begrenzte RAG-AntwortEin von Mitwirkenden verfasster Runbook-Chunk wird für eine Identität abgerufen, die ihn lesen darf. Provenienz und ACL sind intakt, die Aufgabe ist eine reine Lesefrage.Abgerufener Inhalt schlägt eine nachgelagerte Aktion vorEin autorisierter Chunk aus einem Ticketverlauf erreicht das Modell, und das Modell schlägt vor, Datensätze an ein darin genanntes externes Ziel zu senden.

RAG-Pfad und Vertrauensfluss

Inhalte laufen von der Quelle über Ingestion, Chunking, autorisiertes Retrieval und Kontextaufbau, bevor das Modell sie sieht. Komponenten sind System; Dokumente, Chunks und der Modellvorschlag bleiben variabel.

NutzerfrageVariabler Inhalt->
Retriever mit ACL-FilterSystemkomponente->
Autorisierter ChunkVariabler Inhalt->
KontextaufbauSystemkomponente->
ModellSystemkomponente->
VorschlagVariabler Inhalt->
Aufgaben-PolicySystemkomponente

Modellsichtbare abgerufene Inhalte

Abgerufener Text, den das Modell liest. Text in eckigen Klammern ist ein neutraler Platzhalter, keine echte Anweisung.

Abgerufener Chunk, Handbuch Abschnitt 4
Urlaubsanspruch entsteht monatlich; übertragen werden höchstens zehn Tage. [synthetischer anweisungsartiger Text, der versucht, den Assistant umzulenken]

Anwendungsseitige Identität, Provenienz und Policy

Von der Ingestion-Pipeline, dem Retriever und der Anwendung außerhalb des Modelltexts erfasst.

Identität: employee-17, Mandant acme.example.test
Zugriff auf den Chunk: Für alle Beschäftigten dieses Mandanten lesbar
Aufgabenumfang: Die Frage zur Urlaubsregelung beantworten, nur lesend