Eine von dieser Website gepflegte Architektursicht darauf, wie nicht vertrauenswürdige Inhalte in eine AI-Anwendung gelangen, ein Modell beeinflussen können und durch anwendungseigene Kontrollen gestoppt oder zugelassen werden. Sie ist weder Standard noch universelle Pipeline.
Kein einzelner Vertrauenswert kann diese getrennten Fakten und Entscheidungen sicher ersetzen.
| Konzept | Was es belegt | Was es nicht belegt |
|---|---|---|
| Quelle und Authentizität | Woher Inhalt stammt und ob eine Identitäts- oder Kanalprüfung bestand. | Anweisungsbefugnis, Richtigkeit, Vertrauen oder Berechtigung. |
| Relevanz | Wie gut Inhalt zu Anfrage oder Aufgabe passt. | Vertrauen, Integrität oder Autorisierung. |
| Anweisungspriorität | Wie ein Modell konkurrierende Anweisungen voraussichtlich priorisiert. | Eine deterministische Anwendungsgrenze. |
| Modelleinfluss | Dass eine Eingabe Modellverhalten oder Ausgabe verändert hat. | Ausführung, Offenlegung, Änderung oder bestätigte Auswirkung. |
| Autorisierung | Ob eine konkrete aufgelöste Aktion laut Policy erlaubt ist. | Ob Inhalt wahr, harmlos oder vertrauenswürdig ist. |
| Informationsfluss | Ob klassifizierte Daten von einer Quelle zu einer Senke fließen dürfen. | Netzwerkerreichbarkeit oder Aktionsberechtigung für sich allein. |
| Netzwerkerreichbarkeit | Ob ein genehmigter Netzwerkpfad zu einem Ziel besteht. | Aktionsautorisierung oder Informationsflussberechtigung. |
| Ausführungs- und Ergebniszustand | Den beobachteten Zustand von Übermittlung, Ausführung und Ergebnis. | Absicht oder vollständige Folgeauswirkungen ohne weitere Evidenz. |
| Sicherheitsauswirkung | Beobachtete Auswirkungen auf Vertraulichkeit, Integrität, Verfügbarkeit, Ressourcen oder Geschäftszustand. | Folgt nicht allein aus Modelleinfluss, einem Vorschlag oder einer Warnung. |
Dieses Beispiel nutzt nur die reservierte Domain example.test. Es veranschaulicht getrennte Zustände ohne wiederverwendbaren Payload oder reales Ziel.
Ein Support-Assistent ruft eine im Ticket verlinkte Seite unter status.example.test ab; die Seite ist externe Information.
Die Anwendung erfasst URL und Abrufzeit, markiert die Seite als nicht vertrauenswürdig und stellt einen Auszug neben vertrauenswürdige Aufgabenanweisungen.
Anweisungsähnlicher Seitentext bringt das Modell dazu, den Versand einer Diagnosezusammenfassung an ein anderes Ziel vorzuschlagen. Das belegt nur Einfluss.
Die Anwendung löst einen Versandvorschlag mit Ziel, ausgewählten Feldern und initiierendem Nutzer auf. Es wurde noch nichts gesendet.
Die Autorisierung lehnt das Ziel ab; auch die Informationsflusskontrolle lehnt die Freigabe von Ticketdaten dorthin ab. Kein Detektorbefund kann eine dieser Entscheidungen überstimmen.
Es wird kein Tool-Aufruf übermittelt. Der Zustand lautet vor Ausführung abgelehnt, nicht fehlgeschlagene Ausführung und nicht unbeobachtet.
Protokolle erhalten Abruf, Vorschlag und beide Ablehnungen. Sie belegen Modelleinfluss und verhinderte Freigabe, nicht Kompromittierung oder Datenoffenlegung.
Diese Einträge beleuchten unterschiedliche Teile des Modells. Ihre ursprüngliche Evidenzeinordnung bleibt unverändert.
Zeigt einen gemeldeten Pfad von E-Mail über Kontext zur Exfiltration; der Eintrag nennt keine bekannte Ausnutzung in freier Wildbahn.
ForschungsdemonstrationSlack AIDemonstriert unter Forschungsbedingungen einen Retrieval-vermittelten Datenpfad, keinen bestätigten realen Sicherheitsvorfall.
Hersteller-BulletinAWS-2025-019Dokumentiert vom Hersteller gemeldete Prompt-Injection-Probleme und Abhilfe; dies ist kein Beleg für bekannte Ausnutzung in freier Wildbahn.
Nutzen Sie einen Lernpfad für einen geordneten Kurs oder öffnen Sie Labs für vorgegebene clientseitige Lernsimulationen.