Kurz-Fakten
- Grundursache ist, dass Anweisung und Daten im selben Textstrom stehen
- Indirekte Injection wirkt über abgerufene Inhalte, ohne Zutun des Nutzers
- Filterlisten helfen begrenzt – der Angriff lässt sich beliebig umformulieren
- Die wirksamste Gegenmaßnahme ist, dem Modell keine folgenreichen Rechte zu geben
Bedeutung in der Praxis
Gefährlich wird der Angriff erst durch Handlungsfähigkeit. Ein Modell, das nur Text erzeugt, kann durch eingeschleuste Anweisungen höchstens Unsinn schreiben. Ein Modell, das E-Mails versenden, Dateien lesen oder Datensätze ändern darf, kann durch eine präparierte Webseite zum Werkzeug werden.
Für den Aufbau eigener Anwendungen folgt daraus eine schlichte Regel: Was ein Modell aus fremden Inhalten liest, sind Daten, keine Befehle. Jede folgenreiche Handlung braucht eine Bestätigung durch einen Menschen.