Prompt-Injection.net
ENDE

Vorfälle & Fälle

Prompt-Injection-Vorfälle und Falldokumentation

Eine quellenbasierte Sammlung öffentlich dokumentierter Prompt-Injection-Schwachstellen, Demonstrationen und Vorfälle in realen AI-Produkten. Jeder Eintrag nennt, auf welcher Art von Evidenz er beruht.

01

Evidenzstandard

  • Jeder Eintrag stützt sich auf Primärquellen: Herstellerhinweise, CVE-Einträge oder die ursprüngliche Offenlegung der Forschenden. Ergänzende Quellen sind als solche gekennzeichnet.
  • Kennungen wie CVE- oder MITRE-ATLAS-IDs erscheinen nur, wenn sie geprüft sind. Externe Schweregradwerte werden mit Quellenangabe gezeigt; diese Website vergibt keine eigene Bewertung.
  • Angriffsketten werden nur im Überblick beschrieben. Die Einträge enthalten keine Payloads, Umgehungstechniken oder Anleitungen zum Nachstellen.

Record-Typen

Bestätigter Vorfall
Dokumentierte böswillige Ausnutzung oder ein Schaden in einer Produktivumgebung.
Offengelegte Schwachstelle
Eine validierte Schwachstelle, offengelegt durch Forschende, den Hersteller oder einen CVE-Prozess.
Forschungsdemonstration
Eine kontrollierte Demonstration, dass sich ein reales System manipulieren lässt.
Red-Team-Befund
Ein Befund aus Responsible Disclosure oder Red Teaming gegen ein reales Produkt.
Herstellerhinweis
Ein vom Hersteller verfasster Sicherheitshinweis oder Produkthinweis.

Einträge

Neueste Offenlegung zuerst. Filtern nach Record-Typ, Angriffsklasse oder Eintragsweg.

8 von 8 Einträgen

  1. Red-Team-Befund - Indirekte Prompt Injection

    CamoLeak - GitHub Copilot Chat

    Red-Team-Befund von Legit Security: Vom Angreifer kontrollierte Pull-Request-Inhalte konnten die Antworten von GitHub Copilot Chat für eine andere Person beeinflussen und in der Forschungsdemonstration Geheimnisse und Quellcode aus privaten Repositories abfließen lassen. Laut der Offenlegung des Forschers schloss GitHub den Pfad, indem es die Bilddarstellung in Copilot Chat deaktivierte.

    Öffentliche Offenlegung
    2025-10-08
    Hersteller / Produkt
    GitHub / GitHub Copilot Chat
    Eintragsweg
    Repository-Inhalte
    Demonstrierte Wirkung
    Beeinflusste Copilot-Antworten für eine andere Person und ein in der Forschung demonstrierter Pfad zur Exfiltration privaten Codes und von Geheimnissen
    Freie Wildbahn
    Keine Ausnutzung in freier Wildbahn in den zitierten Quellen berichtet
    Behebung
    Behoben (laut Offenlegung der Forschenden)
    Kennungen
    Keine angegeben

  2. Herstellerhinweis - Indirekte Prompt Injection

    AWS-2025-019 - Prompt-Injection-Probleme in Amazon Q Developer und Kiro

    Herstellerhinweis von AWS: ein Security Bulletin zu Prompt-Injection-Problemen in den IDE-Plugins von Amazon Q Developer und Kiro, gemeldet über Coordinated Vulnerability Disclosure. AWS gibt an, Updates mit zusätzlicher Human-in-the-Loop-Bestätigung veröffentlicht zu haben, und empfiehlt ein Upgrade. Das Bulletin berichtet keine böswillige Ausnutzung in freier Wildbahn.

    Öffentliche Offenlegung
    2025-10-07
    Hersteller / Produkt
    AWS / Amazon Q Developer and Kiro IDE plugins
    Eintragsweg
    Repository-Inhalte
    Demonstrierte Wirkung
    Laut AWS: Befehle, die ohne Bestätigung laufen konnten, ein Exfiltrationsweg für Metadaten, der die Annahme eines eingeschleusten Vorschlags voraussetzte, und konfigurationsbasierte Ausführung beliebigen Codes in Kiro unter genannten Voraussetzungen
    Freie Wildbahn
    Keine Ausnutzung in freier Wildbahn in den zitierten Quellen berichtet
    Behebung
    Vom Hersteller behoben
    Kennungen
    Vendor bulletin AWS-2025-019

  3. Red-Team-Befund - Indirekte Prompt Injection

    Perplexity Comet - Indirekte Prompt Injection in einem agentischen Browser

    Red-Team-Befund von Brave: Webseiteninhalte, die der Browser-Agent von Comet verarbeitete, konnten den Agenten im angemeldeten Browser der Nutzenden zu sensiblen Informationen und Aktionen jenseits der zusammengefassten Seite lenken. Braves Offenlegung dokumentiert zum Veröffentlichungszeitpunkt eine unvollständige Behebung; der aktuelle Stand wird hier nicht festgestellt. Böswillige Nutzung wurde nicht berichtet.

    Öffentliche Offenlegung
    2025-08-20
    Hersteller / Produkt
    Perplexity / Comet
    Eintragsweg
    Webinhalte
    Demonstrierte Wirkung
    In der Demonstration der Forschenden wurde der Agent dazu gelenkt, auf sensible Informationen zuzugreifen und außerhalb der zusammengefassten Seite zu handeln
    Freie Wildbahn
    Keine Ausnutzung in freier Wildbahn in den zitierten Quellen berichtet
    Behebung
    Unbekannt
    Kennungen
    Keine angegeben

  4. Forschungsdemonstration - Indirekte Prompt Injection

    Invitation Is All You Need - Gezielte Promptware gegen Gemini

    Forschungsdemonstration von Ben Nassi, Stav Cohen und Or Yair: Geteilte Inhalte wie Kalendereinladungen konnten Gemini-gestützte Assistenten beeinflussen und in 14 kontrollierten Szenarien weitere verbundene Fähigkeiten mit digitalen und physischen Folgen auslösen. Laut Googles Antwort auf der Projektseite hat Google Gegenmaßnahmen ausgerollt. Böswillige Nutzung wurde nicht berichtet.

    Öffentliche Offenlegung
    2025-08-16
    Hersteller / Produkt
    Google / Gemini-powered assistants / Gemini for Workspace integrations
    Eintragsweg
    Kalendereinladung
    Demonstrierte Wirkung
    In kontrollierten Tests: ungewollte Nutzung verbundener Tools, Wege zur Datenoffenlegung und physische Folgen über verbundene Hausautomation
    Freie Wildbahn
    Keine Ausnutzung in freier Wildbahn in den zitierten Quellen berichtet
    Behebung
    Vom Hersteller behoben
    Kennungen
    Keine angegeben

  5. Offengelegte Schwachstelle - Indirekte Prompt Injection

    EchoLeak - Microsoft 365 Copilot

    Offengelegte Schwachstelle (CVE-2025-32711): Eine vom Angreifer verfasste E-Mail konnte in den Retrieval-Kontext von Microsoft 365 Copilot gelangen und in der Demonstration der Forschenden zu einer Zero-Click-Offenlegung von Daten im Copilot-Zugriff führen. Microsoft meldete keine bekannte Ausnutzung.

    Öffentliche Offenlegung
    2025-06-11
    Hersteller / Produkt
    Microsoft / Microsoft 365 Copilot
    Eintragsweg
    E-Mail
    Demonstrierte Wirkung
    Mögliche unbefugte Offenlegung von Daten im Copilot-Zugriff über das Netzwerk; Zero-Click-Exfiltrationspfad in der Demonstration der Forschenden
    Freie Wildbahn
    Keine bekannte Ausnutzung in freier Wildbahn
    Behebung
    Vom Hersteller behoben
    Kennungen
    CVE CVE-2025-32711

  6. Red-Team-Befund - Indirekte Prompt Injection

    GitLab Duo - Remote Prompt Injection und Quellcode-Exfiltration

    Red-Team-Befund von Legit Security: Vom Angreifer kontrollierte Projektinhalte konnten die Antworten von GitLab Duo Chat für andere Personen lenken und zusammen mit einem Problem bei der HTML-Ausgabe einen demonstrierten Pfad zur Exfiltration privaten Quellcodes eröffnen. Laut der Offenlegung der Forschenden hat GitLab die veröffentlichte Kette behoben.

    Öffentliche Offenlegung
    2025-05-22
    Hersteller / Produkt
    GitLab / GitLab Duo Chat
    Eintragsweg
    Repository-Inhalte
    Demonstrierte Wirkung
    Manipulierte Duo-Antworten und ein demonstrierter Pfad zur Exfiltration privaten Quellcodes im Zugriff der betroffenen Person
    Freie Wildbahn
    Keine Ausnutzung in freier Wildbahn in den zitierten Quellen berichtet
    Behebung
    Behoben (laut Offenlegung der Forschenden)
    Kennungen
    Keine angegeben

  7. Red-Team-Befund - Indirekte Prompt Injection

    SpAIware - Persistente Memory-Injection in ChatGPT

    Red-Team-Befund von Johann Rehberger: Nicht vertrauenswürdige Inhalte konnten ChatGPT dazu bringen, dauerhafte Anweisungen in die Memory zu schreiben, die in einer kontrollierten Demonstration Daten aus späteren Chat-Sitzungen aus der macOS-App abfließen ließen. Laut dem Forscher hat OpenAI das Problem im September 2024 behoben. Böswillige Nutzung wurde nicht berichtet.

    Öffentliche Offenlegung
    2024-09-20
    Hersteller / Produkt
    OpenAI / ChatGPT macOS app / Memory
    Eintragsweg
    Webinhalte
    Demonstrierte Wirkung
    Dauerhafte Vergiftung der Memory und fortgesetzte Offenlegung künftiger Chat-Inhalte über Sitzungen hinweg in der kontrollierten Demonstration
    Freie Wildbahn
    Keine Ausnutzung in freier Wildbahn in den zitierten Quellen berichtet
    Behebung
    Behoben (laut Offenlegung der Forschenden)
    Kennungen
    Keine angegeben

  8. Forschungsdemonstration - Indirekte Prompt Injection

    Slack AI - Datenexfiltration über indirekte Prompt Injection

    Forschungsdemonstration von PromptArmor: Eine Nachricht in einem öffentlichen Slack-Channel konnte in die Slack-AI-Antwort einer anderen Person gelangen und bewirken, dass Daten aus privaten Channels in einem Link landeten, der sie beim Anklicken abfließen ließ. Böswillige Nutzung wurde nicht berichtet.

    Öffentliche Offenlegung
    2024-08-20
    Hersteller / Produkt
    Salesforce (Slack) / Slack AI
    Eintragsweg
    Kollaborationsnachricht
    Demonstrierte Wirkung
    Daten aus privaten Channels in einem vom Angreifer kontrollierten Link; die Exfiltration setzte einen Klick der betroffenen Person voraus
    Freie Wildbahn
    Keine Ausnutzung in freier Wildbahn in den zitierten Quellen berichtet
    Behebung
    Vom Hersteller behoben
    Kennungen
    MITRE ATLAS AML.CS0035
LernenGrundlagen zu Modellkontext, RAG und Agents.AngriffeDirekte und indirekte Angriffswege.AbwehrMehrschichtige Kontrollen.LabsKontrollierte Übungen ohne reale Systeme.