Pathway Card
Indirekte Prompt-Injection in Agentenketten
Wie wandert indirekte Prompt-Injection durch eine Kette von KI-Agenten, und was ändert sich, wenn die Kette Kontrollpunkte bekommt?
Eine Pathway Card zeigt, wo eine Praxis steht, wohin sie kommen kann, was sich dabei nicht ändert, und die Schritte von einem zum anderen. Der Weg von vorher zu nachher
Die kurze Antwort
Indirekte Prompt-Injection ist Inhalt, den ein KI-Agent als Daten liest — eine E-Mail, ein Ticket, eine Webseite, ein PDF, einen Code-Kommentar —, aber als Anweisung befolgt. In einer Kette ohne Kontrollpunkte wird eingeschleuster Text in Zusammenfassungen, Tickets oder gemeinsamem Speicher weitergetragen, verliert seine Herkunft und kann mit den Rechten jedes Agenten wirken, den er erreicht. Kontrollpunkte pro Schritt — eigene Identität, eingeengte Delegation, Herkunftskennzeichnung, begrenzte Schreibzugriffe und Bestätigung vor folgenreichen Aktionen — begrenzen, was der eingeschleuste Text bewirken kann; sie verhindern nicht, dass das Modell ihm folgt.
Für: Engineering, technische Redaktion, V&V- und Qualitätsteams, die agentische Workflows spezifizieren
Das Wichtigste
- Indirekte Prompt-Injection kommt über gelesene Inhalte, nicht über die Nutzereingabe.
- Modelle trennen Daten und Anweisungen nicht zuverlässig von sich aus; daran hat sich nichts geändert.
- Ohne Kontrollpunkte ist der Wirkungsradius die Summe der Rechte entlang der Kette.
- Mit Kontrollpunkten schrumpft er auf die Rechte eines Schritts, und Versuche, diesen Bereich zu verlassen, werden sichtbar.
- Mehrere Maßnahmen gibt es im Oktober 2026 nur als Entwurf oder Forschung; dokumentiert wird ihre Reife, kein Versprechen.
Vorher und nachher
Vorher
Kette ohne Kontrollpunkte
BezugsdatumVor Dezember 2026
- Agenten teilen sich einen Service-Account oder geben ihre vollständigen Tokens weiter.
- Zusammenfassungen, Tickets und Speichereinträge tragen keine Herkunft; eingeschleuster Text kommt als interner Kontext an.
- Jeder Schritt kann in Speicher und Tickets schreiben.
- Zustandsändernde und nach außen gerichtete Aktionen laufen ohne Bestätigung.
- Wirkungsradius: die Summe der Rechte entlang der Kette.
Nachher
Kette mit Kontrollpunkten
BezugsdatumAb Dezember 2026
Anwendbares RechtDie Regeln hinter dem Nachher, Gesetz und Bedeutung nebeneinander. Zu den Details unter dem Vergleich.2. Dezember 2026 · KI-Verordnung, geändert durch den Digital Omnibus on AI (Verordnung (EU) 2026/1744)9. Dezember 2026 · Produkthaftungsrichtlinie (Richtlinie (EU) 2024/2853)- Jeder Agent handelt unter eigener Identität; jede Übergabe hat gleiche oder engere Rechte als der Schritt davor.
- Inhalte von außen sind mit ihrer Herkunft gekennzeichnet, und die Kennzeichnung übersteht die Übergabe.
- Schreibzugriffe auf Speicher und Tickets sind auf benannte Speicher begrenzt und werden geprüft.
- Zustandsändernde und nach außen gerichtete Aktionen warten auf eine Bestätigung, die die tatsächliche Wirkung zeigt.
- Wirkungsradius: die Rechte eines Schritts; Versuche, außerhalb davon zu handeln, erscheinen in den Protokollen.
Im Vergleich
Jede Zeile nennt, wie weit die Maßnahme zum Prüfdatum ist.
| Aspekt | Vorher | Nachher | Reife |
|---|---|---|---|
| Identität | Agenten teilen sich einen Service-Account oder geben ihre vollständigen Tokens weiter. | Eine Identität pro Agent, verknüpft mit der Person, die die Aufgabe delegiert hat. | Baustein verfügbar OAuth 2.1 und OpenID Connect gibt es; agentenspezifische Identität (AIP, OIDC-A, HDP) steht in einzelnen IETF-Drafts und Vorschlägen. |
| Delegation | Das vollständige Token wandert durch die Kette. | Jede Übergabe hat gleiche oder engere Rechte als der Schritt davor. | Baustein verfügbar Token Exchange (RFC 8693) und Capability-Tokens gibt es; durchgesetzte, prüfbare Delegationsketten sind Entwürfe. |
| Herkunft von Inhalten | Geht bei der Übergabe verloren; eingeschleuster Text kommt als interner Kontext an. | Als extern gekennzeichnet und über Zusammenfassungen, Speicher und Werkzeugargumente erhalten. | Forschung Herkunftsverfolgung pro Argument ist Forschung; einige Plattformen bieten Teile davon. |
| Speicher und Tickets | Jeder Schritt schreibt überall hin. | Schreibzugriffe auf benannte Speicher begrenzt und geprüft. | Produktabhängig Hängt von der Agentenplattform und ihrer Konfiguration ab. |
| Folgenreiche Aktionen | Laufen ohne Bestätigung. | Bestätigt von einer Person, die die tatsächliche Wirkung sieht. | Baustein verfügbar Eine Entwurfsentscheidung, die jede Kette heute umsetzen kann. |
| Menschlicher Anker | Keine nachvollziehbare Verbindung von einer Aktion zu einer Person. | Jede Delegation bis zu der Person nachvollziehbar, die sie begonnen hat. | Entwurf oder Vorschlag Human-anchored Delegation ist ein Vorschlag (z. B. HAID, Kommentare zu einem Konzeptpapier des NIST NCCoE), kein Standard. |
Anwendbares Recht
Zwei EU-Regeln machen die Kontrollpunkte auf der Nachher-Seite auch zu einer Rechtsfrage.
2. Dezember 2026KI-Verordnung, geändert durch den Digital Omnibus on AI (Verordnung (EU) 2026/1744)Details zeigen
Das Gesetz
KI-Verordnung, geändert durch den Digital Omnibus on AI (Verordnung (EU) 2026/1744)
Ab diesem Tag erfasst die Kennzeichnungspflicht nach Artikel 50 Absatz 2 auch generative Systeme, die schon vor dem 2. August 2026 auf dem Markt waren (siehe Transparenzpflichten), und zwei neue verbotene Praktiken greifen: KI, die nicht einvernehmliche intime Bilder oder Darstellungen sexuellen Kindesmissbrauchs erzeugt. Warum der Omnibus hier gilt: Er ist eine Änderungsverordnung, ändert also die KI-Verordnung selbst und gilt unmittelbar, ohne Umsetzung in nationales Recht; seine Fristen sind Fristen der KI-Verordnung.
Was es hier bedeutet
Agentenketten, die Text, Bilder oder Audio erzeugen oder umformen, sind generative Systeme in diesem Sinn, und eine eingeschleuste Anweisung kann steuern, was sie erzeugen.
9. Dezember 2026Produkthaftungsrichtlinie (Richtlinie (EU) 2024/2853)Details zeigen
Das Gesetz
Produkthaftungsrichtlinie (Richtlinie (EU) 2024/2853)
Sie gilt für Produkte, die nach diesem Tag in Verkehr gebracht werden. Software, auch KI-Systeme, ist ein Produkt, und fehlende Cybersicherheit oder ein unsicheres Update können einen Produktfehler begründen.
Was es hier bedeutet
Eine Agentenkette, die sich über die gelesenen Inhalte kapern lässt, wird Teil der Produkthaftungskette.
Ob eine Pflicht für eine bestimmte Kette gilt, ist eine Rechtsfrage; die Kontrollpunkte verringern das Risiko, sie begründen keine Konformität.
Der Weg von vorher zu nachher
Jeder Schritt nennt, wer ihn geht und welchen Nachweis er hinterlässt.
Die Kette erfassen
Jeden Schritt der Kette mit seinen Eingaben auflisten, mit der Vertrauensstufe jeder Quelle, der Identität und den Rechten, die er nutzt, und jeder Stelle, an der nicht vertrauenswürdiger Inhalt in einen anderen Schritt übergeht.- Wer
- Architektur, technische Redaktion
- Nachweis
- Übergangsliste der Kette
Jedem Agenten eine eigene Identität geben
Gemeinsame Service-Accounts durch eine Identität pro Agent ersetzen und sie mit Zweck und Konfiguration des Agenten festhalten (siehe die Card Der Agent Master Record als Dokumentationsobjekt).- Wer
- Plattform-Team
- Nachweis
- Agent Master Record pro Agent
Die Rechte bei jeder Übergabe einengen
Jedem Schritt nur die Rechte geben, die seine Aufgabe braucht, nach dem Prinzip der minimalen Rechte; kein Schritt gibt mehr weiter, als er selbst hat, und kein Schritt schreibt, wo er nur lesen muss.- Wer
- Security, Plattform-Team
- Nachweis
- Berechtigungstabelle pro Schritt
Die Herkunft von Inhalten über Übergaben erhalten
Festlegen, welche Inhalte als extern gelten (E-Mail, Web, Tickets, Dokumente, Ausgaben anderer Agenten) und wie ihre Herkunftskennzeichnung mit Zusammenfassungen, Speichereinträgen und Werkzeugargumenten mitwandert.- Wer
- Entwicklung
- Nachweis
- Herkunftsregel und Übergabeformat
Speicher und Tickets begrenzen
Die Speicher benennen, in die jeder Schritt schreiben darf, und prüfen, was geschrieben wird; externer Inhalt wird ohne Prüfung nie zur Anweisung für einen späteren Schritt.- Wer
- Entwicklung
- Nachweis
- Liste der beschreibbaren Speicher pro Schritt
Folgenreiche Aktionen absichern
Vor jede zustandsändernde oder nach außen gerichtete Aktion eine Bestätigung setzen, die der Person zeigt, was tatsächlich passiert (siehe die Card Kontrollpunkte für KI-Agenten).- Wer
- Product Owner
- Nachweis
- Liste der Bestätigungsschritte
Die vier Injection-Familien testen
Direkte Injection, Injection über abgerufene Dokumente, Injection in Werkzeugargumente und Injection, die auf einen nachgelagerten Agenten zielt, in einer isolierten Testumgebung durchspielen und die Resistenz getrennt von der Aufgabenerfüllung bewerten.- Wer
- V&V-Team
- Nachweis
- Testplan und Ergebnisse pro Modellversion und Konfiguration
Bereichsverletzungen protokollieren und überwachen
Jeden Werkzeugaufruf mit der genutzten Identität und Delegation protokollieren und bei Versuchen alarmieren, außerhalb des Bereichs eines Schritts zu handeln (siehe die Card Erklärbarkeit und Nachvollziehbarkeit von Aktionen).- Wer
- Betrieb
- Nachweis
- Protokolle, Alarmregeln, Incident-Weg
Das Restrisiko dokumentieren
Festhalten, was die Maßnahmen nicht abdecken, den Status jedes Befunds (kontrolliertes Experiment, beobachteter Vorfall oder theoretisches Risiko) und das nächste Prüfdatum.- Wer
- Technische Redaktion, Qualität
- Nachweis
- Restrisiko-Aussage mit Prüfdatum
Grenzen und Restrisiko
Kein Kontrollpunkt macht eine Kette immun gegen Prompt-Injection. Der Weg verringert die Folgen und macht Versuche erkennbar; er ersetzt nicht die Security-Risikobeurteilung des Produkts, und wer ihm folgt, erfüllt damit kein Gesetz und keine Norm. Die Reife jeder Maßnahme ist zum Prüfdatum angegeben.
Der Zusammenhang
Wie die Anweisung hineinkommt
Der Prompt, den ein Modell tatsächlich sieht, entsteht zur Laufzeit aus Systemanweisung, Nutzeranfrage, Werkzeugergebnissen und abgerufenen Dokumenten. Text aus jeder dieser Quellen kann als Anweisung formuliert sein, und Modelle besitzen kein verlässliches internes Merkmal, das „zu verarbeitenden Inhalt“ von „zu befolgendem Befehl“ trennt. Deshalb heißt der Angriff indirekt: Niemand tippt ihn in den Chat, er wartet in einem Postfach, einer Wiki-Seite, einer Produktbewertung oder einer Repository-Datei, bis ein Agent ihn liest.
Warum Ketten ihn verstärken
Ein KI-Agent arbeitet selten allein. Er schreibt eine Zusammenfassung, die ein zweiter Agent liest, ergänzt einen gemeinsamen Speicher oder legt ein Ticket an, das ein Workflow-Bot verarbeitet. Übersteht eingeschleuster Text diese Übergabe, behandelt der empfangende Agent ihn als internen Kontext statt als nicht vertrauenswürdigen Web- oder E-Mail-Inhalt, und seine Herkunft geht unterwegs meist verloren. Weil die Ausführung mit den Zugangsdaten des empfangenden Agenten geschieht, ist der Wirkungsradius einer unkontrollierten Kette die Summe der Rechte entlang der Kette.
Was Kontrollpunkte ändern – und was nicht
Kontrollpunkte verlagern die Abwehr vom Modell in die Architektur: Jeder Agent handelt unter eigener Identität, jede Übergabe engt die weitergegebenen Rechte ein, Inhalte behalten eine Kennzeichnung ihrer Herkunft, Schreibzugriffe auf Speicher sind begrenzt, und folgenreiche Aktionen warten auf eine Person, die sieht, was passieren wird. Die Normungsarbeit zu Agentenidentität und Delegation bewegt sich – OAuth Token Exchange gibt es, agentenspezifische Identität und prüfbare Delegationsketten stehen in einzelnen IETF-Drafts und Vorschlägen –, aber nichts davon ist verpflichtend, und nichts davon beansprucht, Injection zu verhindern. Es begrenzt die Folgen und macht Versuche sichtbar. Im Oktober 2026 steht Prompt-Injection weiterhin an erster Stelle der OWASP-Liste für LLM-Anwendungen.
Testen und dokumentieren
Injection-Resistenz gehört als eigene Szenariofamilie in den Evaluationsplan, durchgespielt in einer Testumgebung, die von Produktionsnetzen und Zugangsdaten getrennt ist, mit festgehaltener Modellversion, Systemanweisung, Werkzeugkonfiguration und Datenquellen. Die Resistenz wird getrennt von der Aufgabenerfüllung berichtet – eine hohe Erfolgsquote sagt nichts über die Anfälligkeit –, und der Status jedes Befunds bleibt sichtbar: kontrolliertes Experiment, beobachteter Vorfall oder theoretisches Risiko.
Fragen, die sich daran anschließen
- Ist indirekte Prompt-Injection ein Modellfehler oder ein Architekturproblem?
- Beides, abgemildert wird sie aber vor allem in der Architektur. Im Oktober 2026 unterscheidet kein Modell zuverlässig zwischen Daten und Anweisungen; begrenzte Rechte, erhaltene Herkunft und Bestätigungsschritte tragen daher den größten Teil der Risikominderung.
- Hat Agentenidentität das Problem gelöst?
- Nein. Agentenidentität und begrenzte Delegation verkleinern den Schaden, den ein gekaperter Agent anrichten kann, und machen die Kette prüfbar. Die meisten agentenspezifischen Standards sind noch einzelne Drafts oder Vorschläge, und keiner verhindert, dass ein Modell eingeschleustem Text folgt.
- Löst ein menschlicher Freigabeschritt das Problem?
- Er hilft bei folgenreichen Aktionen, wenn der Mensch sieht, was tatsächlich passieren wird. Er hilft nicht gegen stillen Datenabfluss innerhalb der Rechte eines Schritts oder gegen Schritte, die ohne Prüfung laufen.
- Wie dokumentieren wir, wie exponiert eine Kette ist?
- Für jeden Schritt die Eingaben, die Vertrauensstufe jeder Quelle, die genutzte Identität und Rechte sowie die Stellen auflisten, an denen nicht vertrauenswürdiger Inhalt in einen anderen Schritt übergeht. Diese Übergangsliste ist der erste Schritt des Wegs und das, was Prüfende brauchen.
Quellen
- OWASP Top 10 for LLM Applications 2025 — OWASP Gen AI Security Project, 5. Oktober 2026
- LLM01:2025 Prompt Injection — OWASP Gen AI Security Project, 8. Oktober 2026
- OWASP GenAI Security Project Releases Top 10 Risks and Mitigations for Agentic AI Security — OWASP Gen AI Security Project, 9. Dezember 2025
- Technical Blog: Strengthening AI Agent Hijacking Evaluations — NIST, 17. Januar 2025
- Prompt Injection Remains Unsolved, OWASP Researcher Warns — Infosecurity Magazine, 8. Juni 2026
- Agent Identity Protocol (AIP): Decentralized Identity and Delegation for AI Agents (Internet-Draft) — IETF, 10. Juni 2026
- RFC 8693: OAuth 2.0 Token Exchange — IETF, Januar 2020
- Delegation Without Trust: An Empirical Gap Analysis of Identity, Authorization, and Runtime Governance in Multi-Agent LLM Systems — arXiv, 31. August 2026
- The Provenance Tax: Understanding the Impact of LLM Watermarking on AI Agent Behavior — Lasso Security, September 2026
- How Claude’s text watermarking works — Anthropic, 14. August 2026
Prüfprotokoll und Änderungen
Jede Context Card wird vor der Veröffentlichung und bei jeder Änderung erneut anhand ihrer Quellen geprüft; das Datum unter der Autorenzeile ist die letzte Prüfung. Korrekturen (etwas war falsch) und Ergänzungen (etwas fehlte) stehen unten mit Datum und Uhrzeit (deutsche Zeit). Tippfehler, Formatierung und Link-Korrekturen werden nicht aufgeführt.
Geprüft
Korrekturen und Ergänzungen
Jede Korrektur und Ergänzung dieser Card mit Datum und Uhrzeit (deutsche Zeit).
Ergänzung
Ergänzung: „Was sich nicht ändert“ hält jetzt fest, dass die Kennzeichnung von KI-Ausgaben nach Artikel 50 Absatz 2 eine Kette nicht sicherer macht und dass ein Wasserzeichen in der Token-Auswahl selbst Ablehnungen und Tool-Aufrufe unter Injection verändern kann (Untersuchung vom September 2026).
Ergänzung
Rechtliche Daten bei Vorher und Nachher ergänzt: Das Vorher beschreibt die Lage vor Dezember 2026; das Nachher nennt den 2. Dezember 2026 (KI-Verordnung, geändert durch den Digital Omnibus on AI: Kennzeichnungspflicht für bereits vermarktete generative Systeme, zwei neue verbotene Praktiken) und den 9. Dezember 2026 (Produkthaftungsrichtlinie: Software, auch KI-Systeme, ist ein Produkt).
Ergänzung
Die Card ist jetzt eine Pathway Card: Sie zeigt eine Kette ohne und mit Kontrollpunkten nebeneinander, was sich nicht ändert, die Reife jeder Maßnahme im Oktober 2026 (Baustein, produktabhängig, Entwurf, Forschung) und einen Weg in neun Schritten von einem zum anderen. Neue Quellen zu Entwürfen für Agentenidentität und Delegation und zum Stand der Prompt-Injection.