Kurz-Fakten
- Wird bei jeder Anfrage erneut übertragen und belegt dauerhaft Platz im Kontextfenster
- Technisch ist er nicht privilegiert – das Modell unterscheidet ihn nicht grundsätzlich von anderem Text
- In langen Gesprächen lässt seine Wirkung nach, weil er weiter zurückliegt
- Prompt Injection nutzt genau diesen Umstand aus
- Zugangsdaten, Schlüssel und personenbezogene Daten gehören nicht hinein: Gegenüber dem Modell ist er nicht geheim
Bedeutung in der Praxis
Der häufigste Fehler ist, den System-Prompt als Zugriffsschutz zu verwenden – „gib die folgenden Daten niemals heraus“. Was ein Modell im Kontext hat, kann es ausgeben; die Anweisung senkt die Wahrscheinlichkeit und schließt nichts aus. Schutz entsteht eine Stufe früher: bei der Entscheidung, was gar nicht erst in den Kontext gelangt.
Der zweite, unauffälligere Fehler ist Wachstum. Ein System-Prompt, dem über Monate für jeden Einzelfall eine Zeile hinzugefügt wird, kostet bei jeder einzelnen Anfrage Token – und niemand misst das, weil die Kosten sich auf viele kleine Aufrufe verteilen. Es lohnt, ihn gelegentlich zu kürzen und zu prüfen, ob die alten Zeilen überhaupt noch wirken.