Prompt Injection: Sicherheit von KI-Agenten beginnt bei Rechten

Man hat Ihnen wahrscheinlich gesagt, Prompt Injection sei ein Filterproblem: prüfen, was ins Modell geht, die feindlichen Zeichenfolgen blockieren, und der Agent ist sicher. Dieser Glaube ist der Grund, warum Agenten mit einem Schutz in Betrieb gehen, den niemand getestet hat, und er scheitert aus einem Grund, den kein besserer Filter behebt.

Ein Sprachmodell liest einen einzigen Textstrom. Ihr System-Prompt, die Frage des Nutzers, die Webseite, die der Agent gerade geladen hat, und die README, die er gerade geöffnet hat, treffen alle als Token im selben Kontext ein. Es gibt kein Typsystem, das Anweisungen von Daten trennt. SQL-Injection war behebbar, weil eine Datenbank es erlaubt, die Abfrage von ihren Parametern getrennt zu halten. Im Modell existiert nichts Vergleichbares. Ein Filter kann die Wahrscheinlichkeit senken, dass ein Angriff trifft. Wer behauptet, eine Guardrail „verhindere Prompt Injection“, verkauft Ihnen eine Wahrscheinlichkeit.

Hören Sie deshalb auf zu fragen, wie man feindlichen Text erkennt. Fragen Sie, was ein vollkommen gehorsamer Leser von dem Schreibtisch aus anrichten könnte, an den Sie ihn gesetzt haben.

Stellen Sie sich einen Sachbearbeiter vor, der jedem Blatt Papier folgt, das in seinem Eingangskorb landet, ganz gleich, wer es geschrieben hat. Niemand mit Verstand reagiert darauf, indem er dem Sachbearbeiter das Erkennen von Fälschungen beibringt und ihm dann das Scheckbuch der Firma überlässt. Man sieht sich an, womit der Schreibtisch verbunden ist. Das ist die ganze Sicherheit von Agenten, und sie verlagert die Arbeit vom Prompt, wo Sie nicht gewinnen können, auf die Berechtigungen, wo Sie es können.

Der Angreifer muss nicht Ihr Nutzer sein, und genau das verdecken die Vorführungen mit „ignoriere alle vorherigen Anweisungen“. In ein Chatfeld zu tippen ist der leichte Fall. Der gefährliche ist der indirekte: Jemand hinterlegt Text dort, wo Ihr Agent ihn irgendwann liest, auf einer Webseite, in einem Support-Ticket, in einer Kalendereinladung oder in der Beschreibung eines Pull Requests, und der Agent ruft ihn im Rahmen seiner gewöhnlichen Arbeit ab. Auf Ihrer Seite klickt niemand etwas an. Anthropics eigener Git-MCP-Server trug drei Schwachstellen, die sich über Prompt Injection erreichen ließen, CVE-2025-68143, CVE-2025-68144 und CVE-2025-68145, bei denen eine vergiftete README oder eine Issue-Beschreibung genügte, um Codeausführung zu erreichen. Auch Werkzeugbeschreibungen sind eine Angriffsfläche. Ein Agent liest Name, Beschreibung und Schema eines Werkzeugs, um über dessen Einsatz zu entscheiden, ein MCP-Server eines Dritten kann also Anweisungen mitbringen, sobald er angebunden ist. Wer einen anschließt, importiert dessen Vertrauensgrenze zusammen mit seinen Funktionen.

Bei dieser Menge wird aus einer kleinen Erfolgsquote eine Gewissheit. Die Untersuchung von Zylos AI zur Sicherheit agentischer KI 2026 führt eine öffentliche Red-Teaming-Übung an, die 1,8 Millionen Injection-Versuche fuhr und dabei mehr als 60.000 Richtlinienverstöße verzeichnete, eine Erfolgsquote von 3,3 %. Gegen einen Menschen klingen 3,3 % nach einem Ärgernis. Ein Agent liest täglich tausende Dokumente, und er wird dem einen begegnen, das funktioniert. Dieselbe Untersuchung berichtet, dass 73 % der produktiven KI-Installationen 2025 von Prompt Injection getroffen wurden und dass nur 29 % der Organisationen, die solche Installationen betreiben, sich für die Absicherung von Agenten gewappnet halten. Behandeln Sie das als eine einzelne Sekundärquelle und nicht als Vollerhebung.

Da der hinterlegte Satz nicht zu verhindern ist, lautet die Entwurfsfrage, was er erreichen kann. Der Entwickler Simon Willison hat die Kombination benannt, die aus einem Ärgernis einen Vorfall macht: ein Agent, der private Daten sehen kann, Inhalte von außen liest und nach außen kommunizieren darf. Jede dieser Fähigkeiten ist allein harmlos. Zusammen sind sie eine Ausleitungsstrecke, für deren Start ein einziger hinterlegter Satz genügt. Die Regel daraus ist schlicht: Kein einzelner Agent hält alle drei. Der Agent, der eingehende E-Mails liest, darf keine Anfragen an beliebige Adressen senden. Der Agent mit Datenbankzugriff bewegt sich nicht im offenen Netz. Berechtigungen schneidet man auf die Aufgabe zu und nicht auf den Agenten, ein Support-Agent hat also keine Shell, und ein Coding-Agent hält keine Produktionszugangsdaten eines fremden Systems.

Wo eine Aktion nicht rückgängig zu machen ist, etwa eine Zahlung, eine Löschung oder eine Nachricht an einen neuen Empfänger, setzen Sie eine Bestätigung davor, die das Modell nicht überspringen kann. Das ist mehr wert als jeder Klassifikator, weil es nicht davon abhängt, dass das Modell etwas bemerkt. Fixieren Sie die Version jedes MCP-Servers, lesen Sie seine Werkzeugbeschreibungen so, wie Sie eine Abhängigkeit lesen würden, und schauen Sie erneut hin, sobald sie sich ändern. Protokollieren Sie, was der Agent gelesen hat und warum er gehandelt hat, nicht nur, was er gesagt hat, denn eine Injection, die eine plausible Antwort hervorbringt, bleibt für jeden unsichtbar, der die Eingaben nicht sehen kann. Diese Lücke nehmen wir uns in unserem Beitrag zur Nachvollziehbarkeit von KI-Agenten vor. Und gehen Sie davon aus, dass es längst Agenten gibt, die Sie nie freigegeben haben. Mitarbeiter betreiben Werkzeuge auf eigene Faust, womit sich unser Beitrag zur Governance von Schatten-KI befasst, und das sind die Agenten ohne jede Kontrolle.

Auf der Käuferseite fängt man an, danach zu suchen. Google Ads, über DataForSEO am 11. Oktober 2026 für die USA und Englisch erhoben, weist für prompt injection 5.400 Suchanfragen pro Monat aus, gestiegen von 3.600 im September 2025 nach einer Spitze von 9.900 im August 2026. Das ist ein Land und eine Suchmaschine, und es kann Entwickler nicht von Einkaufsabteilungen trennen. Bemerkenswert ist etwas anderes: Von fünfzehn Begriffen rund um Agenten, die wir gemessen haben, lieferten elf überhaupt kein messbares Volumen, darunter ai agent observability, ai agent evaluation und mcp protocol. Die Branche schreibt darüber. Gesucht wird danach so gut wie nicht. Prompt Injection ist einer der wenigen Agentenbegriffe, die Menschen wirklich nachschlagen, und es ist der, der davon handelt, was schiefgeht.

ThinqHub implementiert Odoo und ERPNext, unsere KI-Arbeit sitzt also neben Rechnungen, Bestandsdaten und Kundendaten. Wir halten Sicherheit für einen Teil des Entwurfs dessen, was wir bauen, und nicht für eine Prüfung hinterher, und das Berechtigungsmodell von oben ist der Anfang davon. Wenn Sie Agenten in die Nähe wichtiger Systeme setzen und noch nicht versucht haben, sie hereinzulegen, beginnen unsere KI-Services mit genau diesem Test. Sprechen Sie mit uns, bevor es jemand anders für Sie tut.