Prompt-Injection.net
ENDE

Lernpfade

Indirekte Prompt Injection

Verfolgen Sie externe Inhalte aus Websites, E-Mails und Dokumenten bis in den Modellkontext und sehen Sie, wie Provenienz, Prüfung, Erkennung und Autorisierung begrenzen, was diese Inhalte bewirken können.

Zielgruppe
Entwicklerinnen und Entwickler, die externe Inhalte einbinden, Security-Reviewer und Red Teams
Ungefährer Zeitaufwand
Etwa 2 bis 3 Stunden
Voraussetzungen
Pfad Grundlagen oder vergleichbares Verständnis von Vertrauensgrenzen

Lernziele

  • Nachvollziehen, wie externe Inhalte modellsichtbar werden
  • Website, E-Mail und Dokumente als Zustellwege vergleichen
  • Erklären, was Provenienz, Prüfung und Erkennung belegen können und was nicht
  • Einen realen Fall mit korrekter Evidenzeinordnung lesen

Ablauf des Pfads

01 Auffrischung und Überblick

  1. 01 - LernenVertrauensgrenzen und Modellkontext

    Erklärt, wie Kontext zusammengesetzt wird und warum Kontrollen außerhalb des Modells liegen.

  2. 02 - AngriffIndirekte Prompt Injection

    Der Leitartikel, der alle indirekten Zustellwege einordnet.

02 Zustellwege

  1. 03 - AngriffWebsite Prompt Injection

    Webinhalte als nicht vertrauenswürdiger Kontext für Browsing- und Zusammenfassungsassistenten.

  2. 04 - Lab - Kontrollierte SimulationPrompt Injection über Websites (Lab)

    Wenden Sie den Vertrauenspfad für Websites in einer kontrollierten Simulation an.

  3. 05 - AngriffE-Mail Prompt Injection

    Eingehende E-Mails als für Angreifende erreichbarer Inhalt in Postfach-Assistenten.

  4. 06 - Lab - Kontrollierte SimulationPrompt Injection über E-Mails (Lab)

    Bewerten Sie Absender, Inhalt und Aktionsumfang in einer kontrollierten Simulation.

  5. 07 - AngriffDokument-Prompt-Injection

    Geteilte und hochgeladene Dokumente als Kontextquelle.

  6. 08 - Lab - Kontrollierte SimulationPrompt Injection über Dokumente / PDF (Lab)

    Trennen Sie extrahierte Inhalte von ihrem Vertrauensniveau in einer kontrollierten Simulation.

03 Abwehr

  1. 09 - AbwehrDatenprovenienz

    Hält fest, woher Inhalte stammen, damit spätere Entscheidungen die Herkunft als Evidenz nutzen können.

  2. 10 - AbwehrEingabe- und Inhaltsprüfung

    Prüfung liefert probabilistische Evidenz, keine Autorisierung.

  3. 11 - AbwehrErkennung von Prompt Injection

    Erkennungsbefunde sind Signale, kein Beweis für eine Kompromittierung und keine Berechtigungsentscheidung.

04 Evidenzfall

  1. 12 - Vorfall - Mit Evidenzeinordnung lesenEchoLeak - Microsoft 365 Copilot

    Eine offengelegte Schwachstelle (CVE-2025-32711) mit E-Mail als indirekter Eingabe; der Eintrag nennt keine bekannte Ausnutzung in freier Wildbahn.

Vertiefung (optional)

Wissenscheck

Denken Sie jede Frage zuerst selbst durch und öffnen Sie sie dann, um mit der erwarteten Begründung zu vergleichen. Es gibt keine Punkte.

Eine E-Mail stammt von einer bekannten Kollegin. Ist ihr Text damit als Modellanweisung sicher?

Nein. Die Absenderidentität ist Provenienzevidenz, keine Befugnis, dem Assistenten Anweisungen zu geben. Der Inhalt bleibt Daten für die Aufgabe.

Ein Detektor markiert anweisungsähnlichen Text in einem Dokument. Was ist damit belegt?

Ein Signal, das festgehalten und bearbeitet werden sollte. Es beweist keine Kompromittierung, und eine ausbleibende Erkennung beweist keine Sicherheit.

Warum ist EchoLeak als offengelegte Schwachstelle und nicht als Sicherheitsverletzung zu lesen?

Der Eintrag dokumentiert ein gemeldetes und behobenes Problem ohne bekannte Ausnutzung in freier Wildbahn. Eine Evidenzeinordnung darf ohne Belege nicht hochgestuft werden.

Nach diesem Pfad sollten Sie...

  • Eine externe Quelle bis in den Modellkontext verfolgen
  • Erklären, warum Quellidentität keine Anweisungsbefugnis ist
  • Provenienz, Prüfung und Erkennung korrekt als Evidenz einordnen
  • Einen realen Fall beschreiben, ohne seine Evidenz zu überzeichnen