Was ist Prompt Injection?

Kurz gesagt

Prompt Injection ist ein Angriff, bei dem in einem Text versteckte Anweisungen, den ein Sprachmodell liest, es von seiner eigentlichen Aufgabe abbringen. Bei Coding-Agenten können diese Anweisungen von einer Webseite, einem Issue, einem Dokument oder einer Tool-Ausgabe stammen und den Agenten zu Aktionen verleiten, die du nie verlangt hast.

Direkte und indirekte Injection

Bei Coding-Agenten liegt das eigentliche Risiko in der indirekten Variante, weil Agenten ständig Inhalte von außen lesen.

Direkt: Der Nutzer weist das Modell an, seine Regeln zu ignorieren.
Indirekt: Die Anweisung steckt in Inhalten, die das Modell verarbeitet, etwa in einer README, einem Code-Kommentar, einem Issue, einer Webseite oder der Antwort eines MCP-Tools.

Warum das schwer zu lösen ist

Das Modell sieht seine Anweisungen und die Daten, die es liest, im selben Textstrom und kann sie nicht immer unterscheiden. Deshalb gibt es keine bekannte Methode, die Prompt Injection vollständig verhindert. Die OWASP Top 10 für Anwendungen mit großen Sprachmodellen führen Prompt Injection auf Platz eins.

Was bei Agenten schiefgehen kann

Je mehr Tools und Zugriff ein Agent hat, desto größer der Schaden, den eine erfolgreiche Injection anrichten kann.

Secrets wie .env-Dateien oder Tokens abfließen lassen.
Ein bösartiges Paket installieren oder einen destruktiven Befehl ausführen.
Eine schwer erkennbare Hintertür in den Code schmuggeln.
Über ein MCP-Tool auf einem Dienst handeln, auf den der Agent Zugriff hat.

Schutzmaßnahmen

Keine einzelne Maßnahme genügt; das Ziel ist, den Schaden zu begrenzen, selbst wenn ein Angriff durchkommt.

Minimale Rechte: Gib dem Agenten nur die Tools und den Zugriff, die der Job braucht.
Verlange immer eine Freigabe für destruktive Aktionen und alles, was nach außen wirkt.
Bearbeite nicht vertrauenswürdige Repos und Inhalte in einer isolierten Umgebung, etwa in einem Container oder einer VM.
Installiere MCP-Server nur aus vertrauenswürdigen Quellen.
Prüfe die Änderungen des Agenten vor dem Merge.

Schutzmechanismen in AgentVera

In AgentVera ist der Zugriff von Agenten auf deine Server und Datenbanken standardmäßig aus, und riskante Aktionen landen bei dir.

Auto approval gibt nur sichere Anfragen wie Lesen und Tests frei. Befehle mit Umleitungen (>), $() oder Backticks werden nie automatisch freigegeben, und Befehle wie git push und rm fragen immer bei dir nach (Pro und Team).
Der SSH-Zugriff für Agenten ist standardmäßig für jeden Server aus. Wenn er an ist, sehen Agenten nie die Verbindungsdaten oder das Passwort, und jede Anfrage läuft durch deine Regeln und wird protokolliert (Pro und Team).
Auch der Datenbankzugriff ist standardmäßig aus. Wenn er an ist, startet er schreibgeschützt, und jede Abfrage eines Agenten wird protokolliert (Pro und Team).
Geheime Werte für MCP-Server liegen im Schlüsselbund deines Betriebssystems.

FAQ

Lässt sich Prompt Injection vollständig verhindern?

Mit keiner heute bekannten Methode. Du senkst das Risiko, indem du Berechtigungen begrenzt, für kritische Aktionen eine Freigabe verlangst und den Agenten isolierst.

Kann mein Coding-Agent beim Lesen einer Webseite angegriffen werden?

Ja. Versteckter Text auf einer Seite kann für den Agenten wie eine Anweisung aussehen. Deshalb sollte ein Agent, der Web-Inhalte liest, keine destruktiven Befehle ohne Freigabe ausführen können.

Sind MCP-Server anfällig für Prompt Injection?

Ja, weil Tool-Beschreibungen und Tool-Ergebnisse in den Kontext des Modells gelangen. Nutze Server, denen du vertraust, und sei vorsichtig mit Tools, die Inhalte von außen holen.

Was ist der Unterschied zwischen Prompt Injection und einem Jailbreak?

Ein Jailbreak ist, wenn ein Nutzer versucht, die Sicherheitsregeln des Modells zu umgehen. Prompt Injection bedeutet meist, dass ein Dritter Anweisungen in Inhalten versteckt, die das Modell verarbeitet, um die Anwendung für seine Zwecke zu missbrauchen.