Geführtes Sicherheitslab

Tool-Output-Injection

Eine geführte Übung zur Antwortseite der Tool-Nutzung: Vertrauen in ein Tool von Vertrauen in seine Rückgabe trennen, Feldprovenienz erhalten und jedes Folge-Tool, Ziel oder jede Aktion als neue Autorisierungsentscheidung behandeln.

Konzeptionelle SimulationAdvanced15 Minuten2026-09-26

Konzeptionelle Simulation

Diese Übung nutzt redaktionell festgelegte, deterministische Beispiele mit fiktiven Namen und neutralen synthetischen Inhalten. Sie ruft keine Tools, APIs, Connectoren, Agenten oder Modelle auf und sagt nicht voraus, wie sich ein reales Modell verhält.

Schritt 3 von 63/6

Lernziele

Vertrauen in die Tool-Komponente von Vertrauen in zurückgegebene Inhalte und einzelne Felder trennen.
Die anfrageseitige Aufrufautorisierung von der antwortseitigen Ergebnisbehandlung trennen.
Erklären, warum ein gültiges Schema, ein Status 200 OK oder ein interner Connector keine semantische oder Anweisungsautorität begründet.
Quell- und Feldprovenienz über Parsing, Normalisierung und Kontextaufbau hinweg erhalten.
Tool-übergreifenden Einfluss erkennen, ohne dass die Ausgabe eines Tools ein anderes Tool, eine Ressource oder ein Ziel autorisiert.
Vorschläge von Modell und Sub-Agent als Anfragen behandeln, die eigene Autorisierungs-, Ziel- und Flussprüfungen brauchen.
Begrenzte, lesende Nutzung legitimer Tool-Ergebnisse erlauben, wenn Umfang und Provenienz passen, ohne Anweisungsautorität zu gewähren.

Voraussetzungen

Lab Vertrauensgrenzen und Modellkontext (empfohlen)
Lab RAG Prompt Injection (empfohlen)

Szenario wählen

Jedes fiktive Szenario beginnt nach einem autorisierten Tool-Aufruf. Es zeigt den zurückgegebenen Inhalt, den das Modell sieht, und getrennt davon die Tool-, Berechtigungs-, Autorschafts-, Herkunfts- und Policy-Fakten der Anwendung. Verlassen darf sich die Anwendung nur auf ihre eigenen Fakten.

Vertrauenswürdiger Connector, nicht vertrauenswürdiges FeldEin interner Ticket-Connector darf ein synthetisches Ticket lesen. Ein Freitextfeld stammt von einer externen anfragenden Person und versucht, den Ablauf auf eine fremde Aufgabe umzulenken. Das Modell schlägt vor, dem zu folgen.Gültiges Schema, freie BeschreibungEine Bestell-API liefert mit 200 OK gültiges JSON, das dem erwarteten Schema entspricht. Das freie Beschreibungsfeld regt an, den Datensatz an ein neues externes Ziel zu senden. Das Modell schlägt genau das vor.Begrenzte lesende Nutzung einer KundennotizEin vertrauenswürdiges Support-Tool liefert eine synthetische Notiz der Kundin. Die Person hat nur um eine lesende Zusammenfassung dieses Falls gebeten. Das Modell schlägt eine zugeordnete Zusammenfassung ohne Folgeaktion vor.Ergebnis von Tool A regt Aufruf von Tool B anEin Kalender-Tool wird legitim aufgerufen und liefert eine Terminnotiz, die einen Freigabeaufruf für einen anderen Ordner und eine andere Empfängerin anregt. Das Modell schlägt diesen Aufruf mit konkreten Parametern vor.Sub-Agent liefert eine zugeordnete SyntheseEin Recherche-Sub-Agent hat eine erlaubte lesende Abfrage ausgeführt und liefert eine quellenzugeordnete Synthese. Der Eltern-Agent soll innerhalb derselben Aufgabe lesend antworten. Kein Versand, keine Änderung und kein Egress wird vorgeschlagen.

Pfad des Tool-Ergebnisses und Vertrauensfluss

Ein autorisierter Aufruf liefert ein Ergebnis, die Anwendung parst es mit Feldprovenienz, das Modell schlägt einen nächsten Schritt vor und die Policy entscheidet über die Wirkung. Tools und Gates sind Systemkomponenten; zurückgegebene Inhalte und Vorschläge bleiben variabel.

Ticket-Connector (autorisiertes Lesen)Systemkomponente->
Zurückgegebener Ticket-DatensatzVariabler Inhalt->
Parser mit FeldprovenienzSystemkomponente->
ModellSystemkomponente->
Geänderter PlanVariabler Inhalt->
Aufgaben- und Aktions-PolicySystemkomponente

Modellsichtbarer Inhalt des Tool-Ergebnisses

Zurückgegebene Felder, die das Modell liest. Text in Klammern markiert neutrale synthetische Inhalte, keine echte Anweisung.

Ticket T-204, Feld: status
Offen
Ticket T-204, Feld: requester_comment
[synthetischer anweisungsartiger Text, der versucht, den Ablauf umzulenken]

Anwendungsseitige Belege

Erfasst von Tool-Registry, Berechtigungsspeicher, Parser, Herkunftsnachweisen, ACL und Ziel-Policy außerhalb des Modelltexts.

Tool-Identität: tickets-connector v3, intern, registriert
Aufrufautorisierung: Lesen von T-204 durch den auslösenden Agenten im Auftrag der angemeldeten Support-Person
Feldautorschaft: status: vom Ticketsystem gesetzt; requester_comment: von einer externen anfragenden Person verfasst
Aufgabenumfang: Aktuellen Status von T-204 zusammenfassen, nur lesend