Achtung: Prompt Injection

Prompt Injection: Die unbekannte Gefahr hinter moderner KI

Sie nutzen eine KI, um eingehende E-Mails automatisch zusammenzufassen. Eine dieser E-Mails enthält, unauffällig im Text versteckt, die Anweisung, alle bisherigen Regeln zu ignorieren und bestimmte Inhalte weiterzuleiten. Für Sie sieht die Nachricht aus wie eine normale Geschäftsanfrage. Die KI hingegen interpretiert diesen Satz als gültige Instruktion und handelt entsprechend, ohne dass Sie etwas falsch gemacht hätten. Das nennt ich Prompt Injection. Genau das macht solche Angriffe so tückisch: Sie passieren im Hintergrund und sind kaum zu erkennen.

Wenn KI plötzlich macht, was sie nicht soll

Künstliche Intelligenz wirkt oft erstaunlich zuverlässig. Wir stellen eine Frage, erhalten eine passende Antwort und bauen Vertrauen auf. Genau dieses Vertrauen wird jedoch zunehmend zum Sicherheitsproblem. Mit der wachsenden Verbreitung von KI-Tools wie Chatbots oder digitalen Assistenten gewinnt eine neue Angriffsmethode an Bedeutung: Prompt Injection. Sie zielt nicht auf klassische Softwarelücken ab, sondern auf etwas Grundlegenderes, die Art, wie KI-Sprache versteht und verarbeitet.

Was steckt hinter Prompt Injection?

Das Prinzip ist einfach, aber wirkungsvoll: KI-Systeme verarbeiten alles als Text, egal ob es sich um eine Anweisung oder um reinen Inhalt handelt. Ein geschickt formulierter Satz kann deshalb plötzlich mehr sein als nur Information: Er wird zur versteckten Instruktion. Das Problem dabei ist, dass ein KI-Modell nicht zuverlässig erkennen kann, ob ein eingehender Text legitim ist oder manipulativ. Die OWASP, eine international anerkannte Organisation für IT-Sicherheit, zählt dieses Verhalten zu den zentralen Risiken moderner KI-Systeme.

Warum klassische IT-Sicherheit hier nicht ausreicht

In herkömmlichen Systemen gibt es eine klare Trennung zwischen Daten und Befehlen, eine der wichtigsten Grundlagen der IT-Sicherheit. Bei KI-Systemen existiert diese Trennung praktisch nicht. Das hat konkrete Folgen: Ein externer Text, etwa aus einer E-Mail oder Webseite, kann das Verhalten eines KI-Systems beeinflussen, ohne dass dies beabsichtigt oder erkennbar war. Prompt Injection ist deshalb kein klassischer Softwarefehler, der sich einfach beheben lässt. Es ist eine direkte Folge der Funktionsweise von Sprachmodellen.

Wenn alltägliche Inhalte zum Einfallstor werden

Besonders heikel wird es, wenn KI-Systeme externe Inhalte verarbeiten, also E-Mails, Webseiten oder Dokumente. Für die KI ist jeder Text zunächst gleichwertig: Sie unterscheidet nicht zuverlässig zwischen einer Information und einer Anweisung. In scheinbar harmlosen Inhalten können deshalb gezielt versteckte Instruktionen eingebettet sein, die das Verhalten der KI verändern, ohne dass Nutzerinnen und Nutzer es bemerken. Diese Variante nennt sich indirekte Prompt Injection.

Von der Manipulation zum echten Schaden

Wird ein KI-System auf diese Weise beeinflusst, kann das dazu führen, dass:

• Sensible Informationen ungewollt offengelegt werden
• Inhalte gezielt verfälscht oder verändert werden
• Systeme unerwartete oder nicht autorisierte Aktionen ausführen

Das Risiko steigt erheblich, wenn KI nicht nur Texte produziert, sondern aktiv in Prozesse eingebunden ist, etwa beim Zugriff auf interne Daten oder bei automatisierten Entscheidungen.

Warum das Thema gerade jetzt wichtig ist

Je stärker KI in Unternehmen integriert wird, desto grösser wird die potenzielle Angriffsfläche. Systeme werden vernetzter, greifen auf mehr Daten zu und übernehmen komplexere Aufgaben. Die grundlegende Schwäche bleibt dabei bestehen: Die fehlende Trennung zwischen Anweisung und Inhalt. Kein Zufall also, dass die OWASP Foundation Prompt Injection als eines der wichtigsten Risiken im Bereich Generativer KI einstuft.

Eine neue Generation von Angriffen

Aktuelle Entwicklungen zeigen, dass Prompt Injection erst am Anfang steht. Angriffe werden raffinierter und erinnern zunehmend an klassische Cyberangriffe: Mehrere Schritte, versteckte Mechanismen, Ausbreitung über mehrere Systeme. In der Forschung etabliert sich dafür bereits ein eigener Begriff: Promptware, eine Angriffsform, die speziell auf KI-Umgebungen ausgelegt ist.

Was das für Ihr Unternehmen bedeutet

Prompt Injection zeigt: KI ist nicht nur ein Werkzeug, sie ist auch eine potenzielle Angriffsfläche. Das eigentliche Risiko liegt nicht allein in einzelnen Angriffen, sondern in der grundlegenden Funktionsweise der Systeme. Wer KI einsetzt, sollte verstehen, dass jede Eingabe, so harmlos sie auch wirken mag, das Verhalten beeinflussen kann.

Die entscheidende Frage lautet daher nicht mehr nur: Was kann diese KI? Sondern auch: Wem vertraut sie und warum?

Ein paar einfache Grundregeln helfen, Risiken zu reduzieren:

• Übernehmen Sie KI-Ausgaben nicht ungeprüft als Tatsache
• Hinterfragen Sie Ergebnisse kritisch, besonders bei sensiblen Informationen
• Seien Sie vorsichtig, wenn KI-Inhalte aus unbekannten Quellen verarbeitet
• Geben Sie vertrauliche Daten nicht ungefiltert in KI-Systeme ein

Je stärker KI in Ihre Abläufe eingebunden ist, desto wichtiger wird ein bewusster und kontrollierter Umgang damit. Sicherheit bei KI beginnt nicht nur bei der Technologie, sondern beim Verständnis ihrer Grenzen.