Verteidiger nutzen Prompt Injection jetzt als Falle für KI-Angreifer
Tracebit versteckte kurze Zeichenfolgen in falschen Cloud-Ressourcen, die die Sicherheitsregeln eines angreifenden KI-Modells auslösen. In Tests hinderte eine einzige Zeichenfolge Claude Opus 4.8 jedes Mal am Administratorzugriff.
Prompt Injection ist gewöhnlich der Bösewicht in Geschichten über KI-Sicherheit. Versteckter Text in einem Dokument, einer Webseite oder E-Mail wird unbemerkt zur Anweisung, der die KI folgt. Forscher des Sicherheitsunternehmens Tracebit haben denselben Trick nun umgedreht, mit überraschend starken Ergebnissen.
Der Aufbau nutzt etwas, das Verteidiger bereits einsetzen: Canaries, also Köder. Das sind falsche Cloud-Ressourcen wie ein ungenutzter Speicher-Bucket oder erfundene Anmeldedaten, die kein legitimer Nutzer berühren müsste. Liest jemand sie, ist ein Eindringling im System. Tracebit versteckte zusätzlich ein kurzes Textstück im Köder und nennt es Kontextbombe. Wenn ein angreifender Agent herumschnüffelt und das falsche Geheimnis liest, gelangt der Text in seinen Kontext, sein Arbeitsgedächtnis für die nächste Entscheidung. Er ist so formuliert, dass die eigenen Sicherheitsregeln des Modells auslösen und es stoppt.
Die Zahlen sind auffällig. Tracebit baute eine nachgeahmte Unternehmens-Cloud mit zehn Zugangswegen und führte 152 Versuche mit Claude Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro und Kimi K2.6 durch. In der sauberen Umgebung erreichten Agenten in 91 Prozent mindestens ein Ziel. Mit einer Kontextbombe sank das auf 15 Prozent. Opus 4.8 erreichte in 93 Prozent der sauberen Läufe vollen Administratorzugriff und scheiterte mit Bombe jedes Mal. Gemini erzielte in 60 Prozent vollen Zugriff samt dauerhaftem Fuß in der Tür und scheiterte ebenfalls. Weil jede ausgelöste Bombe zugleich ein gelesener Canary ist, erhält der Verteidiger sofort Alarm.
Interessant ist der Inhalt der Zeichenfolgen. Die Forscher vermieden wirklich Abscheuliches und Cybersicherheitsthemen. Westliche Modelle stoppten zuverlässig bei sensiblen biologischen Themen, chinesische Modelle über chinesische Anbieter bei politisch sensiblen Themen in China auf Chinesisch. Die Verteidigung richtet also das Sicherheitstraining eines Modells gegen es selbst und ist nur so dauerhaft wie dieses Training. Tracebit sagt offen, „abliterierte“ Modelle ohne Schutzmechanismen nicht getestet zu haben; ob es gegen sie funktioniert, ist offen.
Auch der Kontext zählt. Das britische National Cyber Security Centre warnte Ende 2025, Prompt Injection lasse sich womöglich nie wie ältere Web-Schwachstellen beheben, weil Sprachmodelle keine harte Grenze zwischen Daten und Anweisungen ziehen. Tracebits Antwort besteht darin, diese Tatsache nicht mehr zu bekämpfen, sondern zu nutzen.
Was das für dich bedeutet: Heute gibt es nichts zu installieren; die Technik richtet sich an Infrastrukturbetreiber, nicht Einzelpersonen. Aber sie dreht den Blickwinkel nützlich um: Wenn Angreifer automatisierte Agenten auf Systeme richten, wird deren Überredbarkeit zum Verteidigungsmittel. Bleib realistisch: Das bremst Angreifer und löst Alarm aus. Es ist ein Stolperdraht, keine Mauer.
Quellen
Ein manipulierter Link genügte, um einen KI-Agenten als Spion zu bauen
Zenity Labs zeigte, wie ein einziger manipulierter ChatGPT-Link in einem Unternehmen einen autonomen Agenten erstellen konnte. Er nutzte die Rechte eines Mitarbeiters und prüfte alle fünf Minuten das Postfach des Angreifers auf neue Befehle. OpenAI hat den Fehler behoben.
