Warum die Begriffe verwirren
Dieser Artikel setzt die Grundlagen aus Was ist Prompt Injection? voraus und beantwortet eine engere Frage: wie die beiden Begriffe zusammenhängen und wie man einen konkreten Fall benennt, ohne falsche Gewissheit zu erzeugen.
Keiner der beiden Begriffe hat eine global standardisierte Definition. Anbieter, Forschende und Leitfäden ziehen die Grenze unterschiedlich: Manche behandeln Jailbreaking als Teilmenge der Prompt Injection, andere verwenden die Wörter fast synonym, wieder andere trennen sie danach, was unterlaufen wird. Blogbeiträge und Produktseiten erhöhen die Vielfalt zusätzlich.
Prompt-Injection.net legt deshalb ausdrückliche Arbeitsdefinitionen fest und verwendet sie konsequent. Nutzt eine Quelle eine andere Bedeutung, beschreiben wir diese, statt sie stillschweigend mit unserer zu vermischen.
Arbeitsdefinitionen dieser Website
| Begriff | Schwerpunkt auf dieser Website | Typische Urheberschaft |
|---|---|---|
| Jailbreaking | Versuche, ein Modell dazu zu bringen, das vom Modellanbieter oder Betreiber festgelegte Sicherheits- oder Nutzungsrichtlinienverhalten zu verletzen oder zu umgehen | Häufig, aber nicht zwingend, die interagierende Person |
| Prompt Injection | Inhalte, die die vorgesehenen Anweisungen oder die Aufgabensteuerung der Anwendung unterlaufen | Jede Quelle modellsichtbarer Inhalte; besonders wichtig, wenn Inhalte gemischter Vertrauenswürdigkeit in den Kontext gelangen |
Wie veröffentlichte Quellen sich unterscheiden
Der OWASP-Eintrag LLM01:2026 Prompt Injection beschreibt beide Konzepte als verwandt, weist darauf hin, dass sie oft synonym verwendet werden, und beschreibt Jailbreaking als eine Form der Prompt Injection, die das Modell dazu bringen soll, seine Sicherheitsvorkehrungen zu missachten. Das ist eine dokumentierte Sichtweise einer Leitfadenquelle. Sie ist mit den obigen Arbeitsdefinitionen vereinbar, wenn man Jailbreaking als ein bestimmtes Ziel des Unterlaufens liest.
NIST AI 100-2e2025 und das NIST-Glossar liefern Begriffe zur Prompt Injection, einschließlich der Unterscheidung zwischen direkter und indirekter Zustellung. Es gibt keine einheitliche, anbieterübergreifende Standarddefinition, die Jailbreaking von Prompt Injection abgrenzt; die obigen Arbeitsdefinitionen sind die dieser Website.
Anbieterdokumentation kann eigene Begriffe für Sicherheitsrichtlinien, Missbrauch oder Anweisungsautorität verwenden. Solche Begriffe gelten nur für diesen Anbieter und diese Produktoberfläche.
Entlang getrennter Achsen einordnen
"Jailbreak oder Prompt Injection?" presst mehrere unabhängige Fragen in ein binäres Etikett. Für die Sicherheitsarbeit sollte jede Achse getrennt erfasst werden:
| Achse | Frage | Mögliche Werte |
|---|---|---|
| Quelle oder Herkunft | Wer hat den beeinflussenden Inhalt verfasst? | Interagierende Person, Dritte, unbekannt |
| Zustellung | Wie gelangte er in den Modellkontext? | Direkte Eingabe, indirekt über verarbeitete Inhalte (Dokument, Webseite, E-Mail, Tool-Ausgabe, Retrieval) |
| Ziel des Unterlaufens | Welche Grenze wurde herausgefordert? | Sicherheitsverhalten von Modell oder Anbieter, Aufgabe oder Anweisungen der Anwendung, beides |
| Fähigkeiten der Anwendung | Was konnte das umgebende System tun? | Nur Text, Zugriff auf private Daten, Tools oder Seiteneffekte |
| Tatsächliche Wirkung | Was ist wirklich passiert? | Nichts, seltsame oder aufgabenfremde Antwort, richtlinienwidrige Ausgabe, unbefugte Offenlegung oder Aktion |
| Persistenz | Wirkt der Einfluss erneut? | Einzelner Turn, in Speicher oder Inhalten abgelegt, nicht zutreffend |
Zwei Fälle mit demselben Etikett können sich auf jeder anderen Achse unterscheiden. Zwei Fälle mit unterschiedlichen Etiketten können dieselbe Sicherheitswirkung haben. Die Achsen, nicht das Etikett, steuern die Triage.
Direkt und indirekt beschreiben die Zustellung
Direkt oder indirekt beschreibt, wie Inhalte zum Modell gelangen: von der interagierenden Person eingegeben oder in Inhalten transportiert, die die Anwendung verarbeitet. Das ist eine Zustellungsachse. Es ist kein Synonym für Jailbreak oder Prompt Injection.
Ein Jailbreak-Versuch erfolgt oft direkt, Angriffe auf Sicherheitsrichtlinien können aber auch über verarbeitete Inhalte ankommen. Prompt Injection kann direkt sein, wie bei Direkte Prompt Injection, oder indirekt, wie bei Indirekte Prompt Injection. Schreiben Sie nicht "Jailbreak", wenn Sie "direkte Prompt Injection" meinen, und umgekehrt.
Überschneidungsfälle
Die folgenden synthetischen Fälle verwenden neutrale Platzhalter in eckigen Klammern statt anweisungsähnlichem Angriffstext.
Ein reiner Text-Chatassistent ohne Tools und ohne private Daten.
Die Person sendet [eine Anfrage, die auf Inhalte zielt, die die Nutzungsrichtlinie des Anbieters untersagt].
Direkt, von der Person stammend; Ziel ist das Sicherheitsverhalten des Modells; üblicherweise Jailbreak-Versuch genannt. Keine Anwendungsfähigkeit über Text hinaus.
Ein Support-Assistent mit der Anweisung, nur Fragen zu einem fiktiven Produkt zu beantworten.
Die Person sendet [eine Anfrage, die Produktaufgabe zu ignorieren und etwas anderes zu tun].
Direkt, von der Person stammend; Ziel ist die Aufgabensteuerung der Anwendung; nach der Definition dieser Website Prompt Injection, obwohl keine Sicherheitsrichtlinie berührt ist.
Ein Assistent fasst für eine Mitarbeiterin ein fiktives Lieferantendokument zusammen.
Das Dokument enthält [einen an den Assistenten gerichteten Satz, einen anderen Lieferanten zu empfehlen].
Indirekt, von Dritten stammend; Ziel ist die Aufgabensteuerung der Anwendung; indirekte Prompt Injection. In diesem Szenario wurde das Dokument dem Workflow direkt übergeben statt durch einen Retrieval-Schritt ausgewählt, es handelt sich also um ein Beispiel für Dokumentlieferung. Würde eine Retrieval-Pipeline denselben Inhalt aus einem Korpus oder Index auswählen, könnte es ebenfalls ein RAG-Prompt-Injection-Fall sein.
Ein Agent mit einem fiktiven Ticket-Tool.
Eine Eingabe enthält [die Aufforderung, sowohl die Inhaltsregeln des Anbieters als auch die Ticket-Aufgabe zu missachten und das Tool für einen fremden Zweck aufzurufen].
Ziel sind Sicherheitsverhalten und Anwendungsanweisungen zugleich. Das Etikett ist umstritten, der Triage-Eintrag nicht: Quelle, Zustellweg, beide herausgeforderten Grenzen und ob die Autorisierung den vorgeschlagenen Tool-Aufruf blockiert hat.
Sicherheitswirkung ist eine eigene Frage
Die Einordnung bestimmt nicht den Schweregrad. Wie die vorherigen Lernartikel erklären, sind Modellausgaben variable Daten oder Vorschläge, und Anwendungskontrollen entscheiden über folgenreiche Wirkungen. Eine reine Text-Umgehung einer Richtlinie und eine Agentenaktion, die Datensätze oder Tools betrifft, können sehr unterschiedliche Sicherheitsfolgen haben, gleich wie man sie nennt.
| Beobachtung | Was sie zeigt | Was sie nicht zeigt |
|---|---|---|
| Modell erzeugte richtlinienwidrigen Text in einem reinen Textprodukt | Sicherheitsverhalten des Modells wurde umgangen | Unbefugten Datenzugriff oder eine Aktion |
| Modell schlug einen Tool-Aufruf vor; Autorisierung blockierte ihn | Modellverhalten wurde beeinflusst | Eine folgenreiche Wirkung |
| Modell schlug einen Tool-Aufruf vor; er lief mit zu weiten Rechten | Eine Lücke in den Anwendungskontrollen | Dass das Etikett allein den Schweregrad erklärt |
Hinweise zu Triage und Berichten
Mindestinhalt eines Triage-Eintrags
- Quelle und Zustellweg: wer den Inhalt verfasst hat und wie er in den Modellkontext gelangte.
- Herausgeforderte Grenze: Sicherheitsverhalten des Anbieters, Anwendungsanweisungen oder beides.
- Modellverhalten: ob sich das Verhalten geändert hat und wie das beobachtet wurde.
- Wirkung in der Anwendung: ob Kontrollen eine Offenlegung, Aktion, ein Ziel oder eine Zustandsänderung zugelassen haben.
- Beteiligte Kontrollen: welche Erkennung, Autorisierung oder Validierung gegriffen hat und mit welchem Ergebnis.
- Formulierung: bei umstrittenem Etikett präzise beschreibende Sprache verwenden.
Gute Berichtssprache beschreibt, statt zu etikettieren, zum Beispiel:
- "Direkte, von der Person stammende Umgehung der Anweisungssteuerung ohne folgenreiche Wirkung in der Anwendung."
- "Indirekter Inhalt Dritter hat das Modell beeinflusst; deterministische Autorisierung hat die vorgeschlagene Aktion blockiert."
- "Direkter Versuch einer Person, das Sicherheitsverhalten des Anbieters in einem reinen Textprodukt zu umgehen; richtlinienwidriger Text ausgegeben; kein Daten- oder Tool-Zugriff vorhanden."
Verlangt Ihre Organisation eine einzelne Kategorie, ergänzen Sie sie zur Beschreibung und nennen Sie die angewandte Definition. Signale aus der Erkennung von Prompt Injection können das Feld Modellverhalten stützen, ersetzen aber nicht die Wirkungsanalyse.
Häufige Missverständnisse
Aussagen, die nicht stimmen
- Jeder Jailbreak ist automatisch ein Sicherheitsvorfall.
- Prompt Injection geschieht nur über indirekte Inhalte.
- Indirekte Prompt Injection bedeutet RAG.
- Eine erfolgreiche Umgehung der Modellrichtlinie verleiht Autorisierung in der Anwendung.
- Weil die Begriffe umstritten sind, müssen Quelle, Weg und Wirkung nicht dokumentiert werden.
Retrieval ist nur einer von vielen indirekten Wegen; zu diesem Sonderfall siehe RAG Prompt Injection.
Bezug zu System Prompts
Jailbreak-Versuche und Prompt Injection konkurrieren häufig mit System- oder Entwickleranweisungen. Diese Anweisungen können die Priorisierung beeinflussen, wie in Anweisungen und Anweisungshierarchien beschrieben, sind aber weder Geheimnisse noch deterministische Sicherheitsgrenzen. Warum verborgene Anweisungen offengelegt werden können, behandelt System-Prompt-Extraktion. Was diese Anweisungen leisten können und was nicht, behandelt das nächste Lernthema System Prompts.
Üben
Das Lab Direkte und indirekte Prompt Injection trainiert die Zustellungsachse mit synthetischen Fällen. Das Lab Direkte Prompt Injection: Grundlagen trennt Modelleinfluss von der Autorisierungsentscheidung. Die Architektur dahinter erklärt Vertrauensgrenzen und Modellkontext.
Standards und Quellen
Wie dieser Artikel Quellen verwendet
- OWASP
- LLM01:2026 Prompt Injection - eine dokumentierte Sichtweise, die Jailbreaking mit Prompt Injection verbindet
- NIST
- AI 100-2e2025 und Glossareinträge - Begriffe zur Prompt Injection sowie direkte und indirekte Zustellung
- Microsoft
- Leitfaden zu indirekter Prompt Injection - Inhalte Dritter als Zustellweg und mehrschichtige Gegenmaßnahmen
Häufige Fragen
Ist jeder Jailbreak eine Prompt Injection?
Ist jede Prompt Injection ein Jailbreak?
Ist indirekte Prompt Injection immer schwerwiegender?
Welchen Begriff sollte ein Vorfallsbericht verwenden?
Kann ein Modell ohne Schwachstelle in der Anwendung gejailbreakt werden?
Kann Prompt Injection relevant sein, obwohl keine Sicherheitsrichtlinie umgangen wird?
Bedeutet direkt Jailbreak und indirekt Prompt Injection?
Quellen
- LLM01:2026 Prompt InjectionOWASP GenAI Security Project · GuidanceGeprüft 2026-09-26
- OWASP GenAI LLM Top 10 2026OWASP GenAI Security Project · GuidanceGeprüft 2026-09-26
- Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations, NIST AI 100-2e2025NIST · Standard · 2025-03Geprüft 2026-09-26
- prompt injectionNIST Glossary · Technical documentationGeprüft 2026-09-26
- indirect prompt injectionNIST Glossary · Technical documentationGeprüft 2026-09-26
- Defend against indirect prompt injection attacksMicrosoft Learn · GuidanceGeprüft 2026-09-26