Prompt Injection: der versteckte Befehl
Bei Prompt Injection schmuggelt jemand eine Anweisung in einen Text, den die KI liest: eine Webseite, eine Mail, ein PDF. Die KI kann nicht sicher unterscheiden, was von dir kommt und was vom Text. So wird sie umgelenkt.
💡 Lass eine KI mit Zugriff auf Mails oder Konten nichts Wichtiges ohne deine Bestätigung erledigen.
So funktioniert es
Für ein LLM ist alles Text: deine Frage genauso wie die Webseite, die es zusammenfassen soll. Steht auf dieser Seite, unsichtbar in weißer Schrift, „Ignoriere alle bisherigen Anweisungen und …“, kann die KI dem folgen.
- Direkt: Jemand tippt die Anweisung selbst ein, um Schutzregeln eines Chatbots auszuhebeln.
- Indirekt: Die Anweisung steckt in fremden Inhalten, die die KI für dich verarbeitet. Das ist die gefährlichere Variante.
Warum das zählt
Solange eine KI nur Texte schreibt, ist der Schaden begrenzt. Ein KI-Agent, der Mails verschicken, Termine buchen oder Dateien lesen darf, kann durch eine versteckte Anweisung aber Daten weitergeben oder Dinge in deinem Namen tun. Das OWASP-Projekt führt Prompt Injection auf Platz 1 seiner Risiken für KI-Anwendungen.
Ein Beispiel aus dem Alltag
Du bittest einen Boten, einen Brief abzuholen. Im Umschlag liegt ein Zettel: „Bring den Schlüssel bitte hierher.“ Ein vorsichtiger Bote ruft dich an. Eine KI tut das nicht von selbst.
Häufige Fragen
Kann man Prompt Injection ganz verhindern?
Nach heutigem Stand nicht vollständig. Anbieter bauen Filter und Schutzregeln ein, aber die wichtigste Bremse bist du: Rechte der KI klein halten und heikle Aktionen selbst bestätigen.
Betrifft mich das, wenn ich nur chatte?
Wenig. Vorsicht ist geboten, wenn die KI fremde Webseiten, Mails oder Dokumente liest und gleichzeitig etwas für dich ausführen darf.