Invitation Is All You Need - Gezielte Promptware gegen Gemini

Zusammenfassung

Im August 2025 veröffentlichten Ben Nassi, Stav Cohen und Or Yair die Studie "Invitation Is All You Need" über sogenannte gezielte Promptware gegen Gemini-gestützte Assistenten im Produktivbetrieb. Sie demonstrierten 14 kontrollierte Angriffsszenarien in mehreren Bedrohungsklassen, in denen mit einer Person geteilte Inhalte, etwa eine Kalendereinladung, eine E-Mail-Betreffzeile oder der Titel eines geteilten Dokuments, den Assistenten beeinflussten, sobald die Person später eine gewöhnliche Anfrage stellte.

Dieser Eintrag ist eine Forschungsdemonstration. Er verwendet die Kalendereinladung als repräsentativen Eintragsweg. Er dokumentiert kontrollierte Tests, keine Angriffe auf Gemini-Nutzende.

Einordnung und Evidenzstatus

Betroffenes System und Vertrauenspfad

Ein Assistent, der mit Kalender, E-Mail, Dokumenten und weiteren Apps verbunden ist, ruft geteilte Elemente ab, um eine Anfrage zu beantworten. Wer eine Einladung senden kann, kann Inhalte in diese Abrufmenge bringen. Das Element sind Daten Dritter, steht nach dem Abruf aber im selben Kontext, der entscheidet, welche verbundene Fähigkeit als Nächstes genutzt wird. Wenn Daten einer Fähigkeit eine andere Fähigkeit lenken können, wird die Grenze zwischen Agenten oder Tools zur Vertrauensgrenze.

Angriffskette im Überblick

Im Überblick: Ein Angreifer teilt eine Kalendereinladung oder eine ähnliche Ressource mit der Zielperson. Die Person stellt eine legitime Anfrage, und der Assistent ruft dieses Element ab. Der Kontext des Assistenten wird beeinflusst. Eine weitere verbundene Fähigkeit wird aufgerufen, um die die Person nicht gebeten hat. In der kontrollierten Studie führte das zu digitalen Aktionen, Wegen zur Datenoffenlegung oder physischen Folgen.

Dieser Eintrag gibt weder Einladungsinhalte noch Auslöseformulierungen, Details zu Tool-Aufrufen, Gerätebefehle oder die Angriffsgraphen der Studie wieder.

Demonstrierte Wirkung und beobachtete Ausnutzung

Demonstriert: In kontrollierten Szenarien zeigten die Forschenden ungewollte Tool-Nutzung, Datenoffenlegung und physische Folgen über verbundene Anwendungen und Hausautomation.

Gegen reale Nutzende beobachtet: in den zitierten Quellen nichts berichtet. Die Beeinflussung des Assistenten ist Modelleinfluss; die Sicherheitsfolge entstand durch verbundene Fähigkeiten, die auf Grundlage dieses beeinflussten Kontexts aufgerufen werden konnten.

Begünstigende Kontrolllücken

• Geteilte Elemente externer Absender gelangten ohne Provenienz, die ihren Einfluss auf spätere Aktionen begrenzte, in den Kontext des Assistenten.
• Daten einer verbundenen Fähigkeit konnten zum Aufruf einer anderen Fähigkeit führen, ohne dass die Autorisierung an die Anfrage der Person gebunden war.
• Aktionen mit realen Folgen waren in den getesteten Szenarien aus einem beeinflussten Kontext heraus erreichbar.

Reaktion von Hersteller und Forschenden

Die Forschenden geben auf ihrer Projektseite an, die Ergebnisse am 2025-02-22 über Googles Vulnerability-Reward-Prozess an Google gemeldet zu haben. Googles dort wiedergegebene Antwort besagt, dass die Arbeit Google half, eine neuartige Prompt-Injection-Angriffsmethode zu erkennen und zu unterbinden, dass Google die Probleme untersucht und behoben und gezielte Gegenmaßnahmen ausgerollt hat. Das Paper erörtert zudem eine Neubewertung des Risikos nach den ausgerollten Gegenmaßnahmen. Der Status "Vom Hersteller behoben" wird in diesem Eintrag Googles Antwort auf der Projektseite zugeschrieben.

Nachweise, die Verteidiger sichern sollten

• Soweit verfügbar, die Herkunft geteilter Elemente wie Einladungen und Dokumente, die in jede Antwort des Assistenten einflossen, einschließlich ihrer Absender.
• Aufzeichnungen, welche verbundenen Tools oder Apps der Assistent aufrief, verknüpft mit der vorausgehenden Anfrage.
• Aktions- und Freigabeverlauf verbundener Apps und Geräte, einschließlich Ereignissen der Hausautomation.
• Einladungen unbekannter externer Absender, die kurz vor ungewöhnlicher Assistentenaktivität in Kalender übernommen wurden.

Lehren für die Abwehr

• Agentenautorisierung: In anwendungsseitigen Richtlinien festlegen, welche Fähigkeiten eine Anfrage nutzen darf, nicht anhand abgerufener Inhalte.
• Least Privilege: Integrationen mit hohen Folgen, etwa Geräte, außer Reichweite von Kontexten halten, die aus Elementen Dritter entstehen.
• Human-in-the-Loop: Folgenreiche Aktionen mit Anzeige der konkreten Aktion bestätigen lassen; Zustimmung ersetzt keine Autorisierung.
• Informationsflusskontrolle: Daten externer Absender nachverfolgen, damit sie nicht in fremde Aktionen oder Ziele fließen.
• Datenprovenienz: Absender und Herkunft geteilter Elemente über Abruf- und Tool-Ketten hinweg erhalten.

Verwandte Lernthemen

• AI Agents und Tool Calling - Wie Modellvorschläge zu Aktionen werden: der Tool-Calling-Kreislauf, Verfügbarkeit und Berechtigung, Autorisierung zur Laufzeit, Freigabe, Tool-Ergebnisse als variable Daten und Audit.
• Vertrauensgrenzen und Modellkontext - Was modellsichtbarer Kontext ist, warum Position kein Vertrauen erzeugt und warum Kontrollen außerhalb des Modells liegen.