Indirekte Prompt-Injection ist eine Angriffstechnik, bei der schädliche Anweisungen nicht vom Nutzer selbst kommen, sondern in externen Inhalten versteckt sind, die ein KI-System automatisch verarbeitet – etwa Webseiten, Dokumente, E-Mails oder Chatverläufe. Der Begriff wurde 2023 von Kai Greshake und Kollegen in der Arbeit „Not what you’ve signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection“ (arXiv 2302.12173) geprägt und systematisiert.
Der Unterschied zur direkten Injection
Bei der direkten Prompt-Injection tippt der Angreifer den Schadcode selbst in die Eingabe. Bei der indirekten Variante kontrolliert ein Dritter die Inhalte, die das System später liest: Ein Assistent, der beim Browsen eine manipulierte Webseite aufruft, ein RAG-System, das ein vergiftetes Dokument abruft, oder ein E-Mail-Assistent, der eine bösartige Nachricht zusammenfasst – in all diesen Fällen führt das Modell die versteckten Anweisungen aus, ohne dass ein Mensch sie je zu Gesicht bekommen hat.
Warum ist das besonders gefährlich?
- Der Angriff benötigt keinen direkten Zugang zum Chat – jede Datenquelle, die das System verarbeitet, wird zur Angriffsfläche
- Besonders kritisch in Retrieval-Augmented-Generation-Systemen (RAG) und autonomen Agenten mit Werkzeugzugriff
- Die Auswirkungen reichen von Datenabfluss über Fehlinformationen bis zum Missbrauch von Tools und APIs
- Er ist schwer zu erkennen, weil die schädliche Anweisung im normalen Inhalt versteckt ist
Gegenmaßnahmen
Eingabe-Sanitierung und Vertrauensgrenzen für externe Inhalte, Trennung von Daten und Instruktionen, minimale Rechte für Werkzeuge und ein Bewusstsein dafür, welche Datenquellen das System automatisch verarbeitet. Zusammen mit Jailbreak und Prompt-Extraktion gehört die indirekte Injection zu den wichtigsten Formen des Adversarial Prompting. Verwandte Grundlagen: System-Prompt und Prompting-Techniken.