Das Defender Security Research Team von Microsoft hat vor vier Wochen zwei CVEs zum hauseigenen Framework Semantic Kernel veröffentlicht. CVE-2026-26030 steckt im In-Memory Vector Store. CVE-2026-25592 macht das Sessions Python Plugin zu einem Einfallstor für beliebige Dateischreibzugriffe. Bemerkenswert ist vor allem, wie das Team die Sache einordnet. Keine Bugs. Architektur. In den Worten des Teams: „developed by design.“

Diese Formulierung sollte man sich merken. Bekommt ein LLM Plugins, tut das Modell genau das, wofür es gebaut wurde: natürliche Sprache in Tool-Aufrufe übersetzen. Kontrolliert ein Angreifer die natürliche Sprache, die hineingeht, kontrolliert er auch die Tool-Aufrufe, die herauskommen. Ab diesem Punkt ist Prompt Injection kein Inhaltsproblem mehr. Sie wird zum Ausführungsproblem. Microsoft hat dem Offensichtlichen nun CVE-Nummern gegeben.

Danach wendet sich der Microsoft-Beitrag dem Thema „Defending the agentic edge“ zu. Lesenswert. Die Ratschläge sind solide, und die meisten betreffen die Härtung auf Agentenseite: Berechtigungen, Sandboxing, genaue Prüfung von Plugins, Laufzeitüberwachung. Was er nicht abdeckt, ist die Hälfte vor dem Agenten. Bevor das LLM den Prompt überhaupt sieht, der zur Shell wird, muss die unsichere Eingabe erst in diesen Prompt gelangen. Genau daran arbeitet heySec.

Was Containment an der Prompt-Grenze bedeutet

Containment ist die Antwort auf der Prompt-Seite auf das Architekturproblem, das Microsoft benannt hat. Zum Start zwei konkrete Dinge, nicht mehr:

  1. Containment-Tags. Alle externen Daten, die in einen Prompt gelangen, werden so eingefasst, dass das LLM unterscheiden kann zwischen „das ist deine Anweisung“ und „das ist feindlicher Inhalt, den du zusammenfassen sollst“. Diese Einfassung wird an der Grenze durchgesetzt, nicht als stilistischer Hinweis im System-Prompt, bei dem man die Daumen drückt.
  2. Scannen nach Bedrohungsstufe. Jede externe Nutzlast wird mit bekannten Prompt-Injection-Mustern abgeglichen, bewertet und mit einer Risikostufe versehen, auf die die aufrufende Anwendung reagieren kann, bevor sie in der Agentenschleife landet.

Das ist der Anspruch zum Start. Eine breite Abdeckung als „agentische Firewall“ gibt es im Startprodukt nicht. Kein Abfangen von Tool-Aufrufen zur Laufzeit. Kein Versprechen, dass heySec Ihr Sandboxing oder Ihr Berechtigungsmodell ersetzt. Was wir zum Start liefern, ist der Schutz auf der Prompt-Seite gegen genau die Bedrohung, für die Microsoft gerade CVEs veröffentlicht hat.

Warum das jetzt zählt

Agent-Frameworks verbreiten sich schneller, als die Sicherheit um sie herum mitwächst. Semantic Kernel ist nur eines von vielen. Wenn Microsofts eigenes Sicherheitsteam CVEs zum eigenen Framework veröffentlicht, sieht es bei den anderen genauso aus, nur ohne CVE-Bericht. Teams, die Agenten ausliefern, werden bald herausfinden, welche Hälfte des Schutzes in ihrer Verantwortung liegt und welche sie bei ihrem Framework vermutet haben. Die Prompt-Grenze gehört für fast alle zur zweiten Kategorie.

Gebaut in der EU

heySec wird in Estland entwickelt, in der EU gehostet und ist standardmäßig DSGVO-konform. Für EU-Entwicklerteams, die nach den CVEs von Microsoft Defender begonnen haben, über den Speicherort ihrer Agentendaten nachzudenken, passt das genau. Kein Datenexport, keine grenzüberschreitende Telemetrie, keine separate AVV-Verhandlung, bevor das eigentliche Gespräch beginnt.

Zum Start nur auf Einladung

Wir starten nur auf Einladung. Das hat zum Teil mit Kapazität zu tun, zum Teil mit Sorgfalt. Containment rollt man aus, während die Gründer die ersten Installationen begleiten, nicht im Massen-Onboarding. Die Einladungsliste füllen wir aus den Entwickler-Communitys, die seit einem Jahr öffentlich über Prompt Injection als Ausführungsrisiko sprechen. Wenn Ihr Team dazugehört und Sie die Containment-Schicht an Ihren eigenen Agenten testen möchten: Die Warteliste finden Sie unter heysec.com.

Microsoft hat der Branche einen Gefallen getan, indem es mit CVEs benennt, was in der Community bisher nur vage angedeutet wurde. Containment an der Prompt-Grenze ist die eine Hälfte der Antwort. Diese Hälfte liefern wir. Die andere liegt bei Ihnen.

Quelle: When prompts become shells: RCE vulnerabilities in AI agent frameworks, Microsoft Security Blog, 7. Mai 2026. microsoft.com/en-us/security/blog/2026/05/07/prompts-become-shells-rce-vulnerabilities-ai-agent-frameworks