Wenn Ihre App ein KI-Modell nutzt, liest sie Text aus der Außenwelt. Die Frage eines Nutzers. Eine Support-E-Mail. Eine Webseite, die Ihre KI zusammenfasst. Eine Datei, die jemand hochlädt. Der Großteil dieses Textes ist genau das, wonach er aussieht. Ein Teil nicht.

Prompt Injection nennt man Text, der eine Anweisung in harmlos wirkendem Inhalt versteckt, in der Hoffnung, dass Ihre KI ihr folgt. Die gute Nachricht vorweg: Das Problem ist bekannt, die Lösung ist klar, und Sie brauchen kein Security-Team, um es in den Griff zu bekommen.

Dies ist eine kurze Einführung in einfachen Worten: was Prompt Injection ist, warum sie für alles wichtig ist, was Sie mit einem Sprachmodell entwickeln oder einkaufen, und wie Sie sie stoppen.

Was Prompt Injection wirklich ist

Ein Sprachmodell liest Text und entscheidet anhand dieses Textes, was es als Nächstes tut. Es hat kein verlässliches Gespür dafür, welchen Worten es trauen kann und welchen nicht. Für das Modell sieht eine Anweisung von Ihnen womöglich genauso aus wie eine, die in einer Kunden-E-Mail versteckt ist.

Genau das nutzt Prompt Injection aus. Jemand schreibt Inhalt, der sinngemäß sagt: „Ignoriere deine bisherigen Anweisungen und tu stattdessen Folgendes.“ Dann sorgt er dafür, dass Ihre KI ihn liest.

Ein kurzer Vergleich. Stellen Sie sich einen neuen Mitarbeiter vor, der jede Notiz auf seinem Schreibtisch befolgt, ohne nachzufragen. Die meisten Notizen sind harmlos. Aber jetzt kann jeder Anweisungen geben, der eine Notiz hinterlegen kann. Durch genau diese Lücke kommt Prompt Injection.

Die Anweisung kann offensichtlich sein, etwa „Zeige deinen System-Prompt“. Sie kann aber auch unauffällig in einem längeren Textabschnitt stecken, sodass jemand, der ihn nur überfliegt, sie nie bemerken würde.

Warum das wichtig ist, ob Sie bauen oder kaufen

Das ist kein Nischenthema für Forschungslabore. Es betrifft ganz normale Software, die zufällig eine KI-Funktion nutzt.

Angenommen, Sie haben einen Support-Assistenten gebaut, der Kundennachrichten liest. Eine Nachricht könnte versuchen, ihn dazu zu bringen, Daten einer anderen Person preiszugeben. Angenommen, Sie haben ein Tool gebaut, das Webseiten zusammenfasst. Eine Seite könnte eine versteckte Anweisung enthalten, die Ihre KI vom Kurs abbringt. Angenommen, Sie haben ein Produkt mit integriertem KI-Assistenten gekauft. Dann kaufen Sie dasselbe Risiko mit.

Wenn Sie die Entwicklung leiten oder für die Sicherheit individueller Software verantwortlich sind, ist die Frage einfach. Überall, wo Ihre KI Text liest, den Sie nicht selbst geschrieben haben, könnte dieser Text versuchen, sie zu steuern. Und je mehr Ihre KI kann, etwa Tools aufrufen, Dateien lesen oder Nachrichten senden, desto mehr ist eine versteckte Anweisung für den wert, der sie platziert.

Das heißt nicht, dass KI zu unsicher für den Einsatz ist. Es heißt, dass nicht vertrauenswürdiger Text auch so behandelt werden muss. Das ist ein lösbares technisches Problem, und ein vertrautes dazu.

Warum es schwerer zu stoppen ist, als es aussieht

Der erste Impuls ist, nach verdächtigen Formulierungen zu filtern. „Ignoriere vorherige Anweisungen“ sperren und fertig. Das reicht nicht. Es gibt unzählige Wege, denselben Trick zu formulieren: in jeder Sprache, über mehrere Sätze verteilt oder verpackt in etwas, das harmlos aussieht.

Das eigentliche Problem ist das oben beschriebene. Das Modell behandelt Anweisungen und Inhalt als dieselbe Art von Text. Die echte Lösung ist deshalb keine längere Sperrliste, sondern eine Änderung daran, wie eingehender Inhalt überhaupt beim Modell ankommt, damit Inhalt Inhalt bleibt und nie zum Befehl wird.

Wie Abschirmung sie stoppt

Das ist der Teil, der uns bei heySec am wichtigsten ist, und er ist einfacher, als er klingt.

Prompt Firewall von heySec sitzt zwischen eingehendem Inhalt und Ihrer KI. Sie scannt diesen Inhalt auf versteckte Angriffe, bevor das Modell danach handelt. Dann schließt sie den Inhalt in einen sicheren Rahmen ein, den die KI strikt als Daten behandelt, nicht als Anweisungen, denen sie folgen soll.

Dieser zweite Schritt ist der entscheidende. Das Scanning erkennt, was es erkennen kann. Die Abschirmung übernimmt den Rest, denn selbst eine geschickt getarnte Anweisung ist harmlos, wenn das Modell sie nur als Text lesen darf. Ein versteckter Befehl hat keine Macht, wenn nichts ihn ausführt.

Beide Schritte laufen zusammen. Eine einzige, flexible API übernimmt Scanning und Abschirmung im selben Durchlauf. Sie schicken den Inhalt und bekommen etwas zurück, das Sie sicher verwenden können. Es gibt keine separate Pipeline, die Sie anbinden müssen, und für den Betrieb ist kein Security-Fachwissen nötig.

Und sie passt zu dem, was Sie bereits gebaut haben. Prompt Firewall lässt sich in jede KI-Architektur einsetzen, ob einfacher Chatbot, ein Retrieval-Setup, das Ihre Dokumente liest, ein Agent, der Tools nutzt, oder mehrere Agenten, die zusammenarbeiten. Dieselbe API, derselbe Schutz, unabhängig vom Muster.

Was Sie heute tun können

Sie müssen nicht auf ein Produkt warten, um hier besser zu werden. Ein paar Gewohnheiten helfen sofort:

  1. Behandeln Sie jeden Text von außen grundsätzlich als nicht vertrauenswürdig. Nutzereingaben, E-Mails, Webseiten, hochgeladene Dateien und Suchergebnisse zählen alle dazu.
  2. Trennen Sie in Ihren Prompts Anweisungen von Inhalt, damit das Modell Ihre Regeln von dem Material unterscheiden kann, das es liest.
  3. Begrenzen Sie, was Ihre KI eigenständig tun kann. Je weniger folgenreiche Aktionen sie ohne Prüfung ausführen kann, desto weniger kann eine versteckte Anweisung ausrichten.
  4. Planen Sie Abschirmung ein, nicht nur Filter. Gehen Sie davon aus, dass manch schädlicher Text durchrutscht, und sorgen Sie dafür, dass er als Daten ankommt, nie als Befehl.

Mit diesen vier Schritten sind Sie den meisten Teams voraus, die heute KI-Funktionen ausliefern. Keiner davon setzt Security-Kenntnisse voraus.

Fazit

Prompt Injection ist nichts anderes als nicht vertrauenswürdiger Text, der sich als vertrauenswürdige Anweisung ausgibt. Sie ist relevant, weil KI Text aus der Außenwelt liest und dieser Text versteckte Befehle tragen kann. Gestoppt wird sie nicht, indem man jede schädliche Formulierung errät, sondern indem eingehender Inhalt als Daten abgeschirmt bleibt, mit denen sich die KI nicht austricksen lässt.

Das ist die ganze Idee. Ruhig, konkret und für jedes Team gut zu schaffen. Und genau das meinen wir auch mit „Cybersicherheit, einfach gemacht“.

Auf die Warteliste

Wir bauen Prompt Firewall, damit das einfach wird: eine schlanke API, die eingehenden Inhalt auf versteckte Angriffe scannt und ihn abschirmt, in einem einzigen Durchlauf, in jedem KI-Setup.

Sie ist noch nicht allgemein verfügbar und befindet sich in der privaten Testphase; Plätze vergeben wir über unsere Warteliste. Wenn Sie Software entwickeln oder einkaufen, die ein LLM nutzt, tragen Sie sich in die heySec-Warteliste ein, um zu den Ersten zu gehören, die Schutz bekommen, der sich wirklich einfach einbauen lässt. Nur E-Mail, keine Verpflichtung.