Kryptografische Kontextinjektion
Ein Prompt-Injection-Angriff, der seine Anweisungen hinter der Verschlüsselung verbirgt, sodass Filter nur Kauderwelsch sehen und diese dann vom Modell selbst entschlüsseln lässt.
Bei der normalen Prompt-Injection werden Anweisungen auf einer Webseite ausgeblendet und es wird darauf gehofft, dass das Modell sie befolgt. Die Verteidigung fängt einen guten Teil davon ab, indem sie eingehenden Text nach allem durchsucht, was wie ein Befehl aussieht. Die kryptografische Kontextinjektion umgeht den Scan vollständig: Die Anweisungen werden verschlüsselt, sodass der Filter bedeutungslose Zeichen liest und durchlässt, und die Seite übergibt auch den Schlüssel.
Die Falle springt zu, wenn das Modell über eine Code-Sandbox verfügt. Wenn man ihn darum bittet, den Blob zu verstehen, entschlüsselt er ihn und der ausgegebene Klartext wurde im eigenen Arbeitsbereich des Modells erstellt und stammt nicht von der Website eines Fremden. Systeme, die Inhalte nach ihrer Herkunft klassifizieren, behandeln sie nun als vertrauenswürdig. Es wurde im August 2026 von Adversa AI benannt und ist ein gutes Beispiel dafür, warum die sofortige Injektion immer wieder in neuen Formen zurückkehrt.