Prompt-Injection-Angriff bleibt Top-LLM-Bedrohung

Prompt-Injection, bei der bösartige Anweisungen in von großen Sprachmodellen verarbeiteten Inhalten versteckt werden, hat seit drei Jahren ununterbrochen den ersten Platz der OWASP Top 10 für LLM-Anwendungen inne. Obwohl eine Analyse realer Vorfälle die Angriffsmethode auf Platz 12 einstuft, betonen Experten ihre anhaltende Ernsthaftigkeit.

Kyriakos „Rock“ Lambros und Steve Wilson, die das Projekt OWASP Top 10 for LLM Applications leiten, veröffentlichten im August eine vorläufige Analyse. Die Studie verglich Expertenurteile mit 6.639 gekennzeichneten realen Sicherheitsvorfällen. Die Analyse ergab keine statistisch signifikante Übereinstimmung zwischen den Einschätzungen von Experten und den öffentlichen Vorfallaufzeichnungen.

Der Angriff ist schwer zu erkennen, da er normale Funktionen des Modells nutzt, wie das Lesen von Logdateien oder das Abrufen von Dokumenten. Ein Angreifer kann das Modell dazu bringen, Befehle auszuführen, die es normalerweise legitim ausführen würde, ohne dass Systemfehler sichtbar werden oder von Sicherheitsscannern protokolliert werden.

Experten zufolge sind die effektivsten Abwehrmaßnahmen kontinuierliche Systemtests und die Begrenzung des Zugriffs des Modells. Steve Wilson, Chief AI and Product Officer bei Exabeam, betont die Bedeutung externer Autorisierungsgateways zur Einschränkung der Modellaktionen. Interne Anweisungen an das Modell allein reichen nicht aus; externe, durchsetzbare Sicherheitsregeln sind erforderlich.

Während eine geringe Anzahl gemeldeter Vorfälle auf wirksame Sicherheitsabwehren hindeuten kann, kann sie ebenso gut auf unzureichende Systemuntersuchungen zurückzuführen sein. Ein CrowdStrike-Bericht zeigte, dass Angreifer im Jahr 2025 Prompt-Injection gegen über 90 Organisationen einsetzten. Experten raten dazu, Systeme so zu konzipieren, dass Prompt-Injection als gegeben angenommen wird, und die Möglichkeiten eines Angreifers im Falle eines Angriffs zu begrenzen.