Bei einer indirekten Prompt Injection steckt die untergeschobene Anweisung in einem Inhalt, den das Modell im Auftrag verarbeitet: in einer Webseite, einem PDF, einer E-Mail, einem Ticket. Aus der Eingabe des Nutzers stammt sie gerade nicht. Der Nutzer hat nichts falsch gemacht und merkt auch nichts.
- Indirekte Prompt Injection (Indirect Prompt Injection)
Ein Angriff, bei dem die untergeschobene Anweisung in einem Inhalt steckt, den das Modell verarbeitet.
Beispiel: „Der Vorfall war eine indirekte Prompt Injection: Die Anweisung stand im Impressum der abgerufenen Seite und ließ den Agenten seine Notizen verschicken.“Abgrenzung zur direkten Prompt Injection: Dort tippt jemand die Anweisung selbst. Hier kommt sie über den Umweg des Materials, und zwar von jemandem, der mit dem Gespräch nichts zu tun hat.
Warum sie die gefährlichere Spielart ist: Sie trifft genau die Systeme, die nützlich sind. Ein Modell, das nichts abruft, lässt sich so nicht angreifen; eines, das recherchiert, Postfächer liest oder Tickets bearbeitet, dagegen schon.
Wie der Weg verläuft
Über eine Quelle, der niemand misstraut.
Die Beschreibung bei OWASP nennt den Fall ausdrücklich: Eine indirekte Prompt Injection liegt vor, wenn ein Sprachmodell Eingaben aus externen Quellen annimmt, etwa von Webseiten oder aus Dateien. Die Anweisung reist also mit dem Material, das der Nutzer verarbeiten lassen wollte.
Warum Vertrauen hier verkehrt herum liegt
Weil der Ersteller des Inhalts nicht der Auftraggeber ist. Wer eine Webseite abrufen lässt, vertraut dem Modell und dem eigenen Auftrag. Der Text auf dieser Seite stammt aber von einem Dritten, der eigene Absichten haben kann. Jeder abgerufene Inhalt ist deshalb Material und niemals Anweisung.
Was dagegen hilft
Dieselbe Antwort wie bei jeder Prompt Injection, nur dringlicher: Rechte begrenzen und Schritte mit Außenwirkung freigeben lassen. Dazu kommt eine Gewohnheit, die sich leicht einüben lässt: Was aus einem abgerufenen Inhalt stammt, wird als Zitat behandelt und nicht als Auftrag, auch wenn es wie einer klingt.
Auf der Bauseite gehört dieselbe Haltung in den System-Prompt. Eine ausdrückliche Vorgabe, dass abgerufene Inhalte Daten sind und niemals Anweisungen, verhindert nicht jeden Angriff, verschiebt aber die Schwelle spürbar.