Coding-Agenten lesen ständig Texte, die nicht von Ihnen stammen: Issues, Kommentare in Pull Requests, Dokumentation aus dem Netz, README-Dateien von Abhängigkeiten, Antworten von MCP-Servern. Jeder dieser Texte kann Anweisungen enthalten, die den Agenten zu Handlungen verleiten sollen, die Sie nie beauftragt haben. Diese Angriffsform heißt Prompt Injection und gilt als eines der zentralen Sicherheitsprobleme agentischer Systeme. Vollständig lösen lässt sie sich bislang nicht – aber wirksam eindämmen. Dieser Artikel zeigt wie.
Wie ein Angriff abläuft
Bei der indirekten Prompt Injection platziert ein Angreifer Anweisungen in Inhalten, die der Agent später verarbeitet. Ein Beispiel: In einem öffentlichen Issue steht, versteckt in einem HTML-Kommentar, die Aufforderung, Umgebungsvariablen auszulesen und in einem Kommentar zu veröffentlichen. Ein Agent, der das Issue bearbeiten soll, liest diesen Text mit und behandelt ihn im ungünstigen Fall wie eine legitime Anweisung.
Gefährlich wird das durch die Kombination dreier Eigenschaften: Der Agent liest nicht vertrauenswürdige Inhalte, hat Zugriff auf sensible Daten und kann nach außen kommunizieren. Fehlt eines dieser drei Elemente, sinkt das Risiko deutlich. Genau hier setzen die wirksamsten Gegenmaßnahmen an.
Anders als bei klassischen Sicherheitslücken gibt es keinen Patch, der das Problem endgültig behebt. Sprachmodelle unterscheiden grundsätzlich nicht zuverlässig zwischen Daten und Anweisungen, weil beides als Text im selben Kontext steht. Sicherheit entsteht deshalb durch Architektur, nicht durch eine einzelne Einstellung.
Typische Einfallstore in der Entwicklung
Besonders exponiert sind Agenten in CI-Pipelines, die auf Issues oder Kommentare in öffentlichen Repositories reagieren. Dazu kommen Webseiten, die der Agent für Recherchen abruft, Dokumentation und Beispielcode von Drittanbietern, Abhängigkeiten mit präparierten Dateien sowie MCP-Server, deren Werkzeugbeschreibungen oder Antworten manipuliert sein können.
Auch scheinbar harmlose Quellen zählen dazu: Testdaten, Logdateien mit Benutzereingaben oder Datenbankinhalte. Überall, wo Text von Dritten in den Kontext gelangt, kann eine Anweisung versteckt sein. Die Anweisungen sind oft geschickt formuliert, etwa als scheinbar offizielle Hinweise für KI-Assistenten oder in Form unsichtbarer Unicode-Zeichen.
Ein besonderes Risiko sind MCP-Server aus unbekannten Quellen. Ihre Werkzeugbeschreibungen werden bei jeder Anfrage in den Kontext geladen und können Anweisungen enthalten, ohne dass Sie es bemerken.
Gegenmaßnahmen, die wirken
Die wichtigste Regel lautet: Verlassen Sie sich nicht darauf, dass das Modell Angriffe erkennt. Moderne Modelle sind zwar gegen viele Muster trainiert, aber keine Erkennung ist lückenlos. Wirksamer ist es, die Folgen eines erfolgreichen Angriffs zu begrenzen.
- Unterbrechen Sie die gefährliche Kombination: Ein Agent, der Fremdinhalte liest, sollte keinen Zugriff auf Secrets und keinen freien Netzwerkzugang haben.
- Begrenzen Sie ausgehende Verbindungen per Allowlist, damit keine Daten an fremde Ziele gesendet werden können.
- Geben Sie dem Agenten nur die Rechte, die er für die konkrete Aufgabe braucht, etwa Lesezugriff auf Issues statt Schreibrechte auf alle Repositories.
- Lassen Sie Aktionen mit Außenwirkung wie Kommentare, Pushes oder Deployments von Menschen bestätigen.
- Starten Sie CI-Workflows mit Agenten nur durch vertrauenswürdige Personen, nicht durch beliebige Kommentare.
- Installieren Sie MCP-Server nur aus geprüften Quellen und kontrollieren Sie Updates.
Organisatorische Maßnahmen
Technik allein genügt nicht. Ihr Team sollte wissen, wie Prompt Injection aussieht, und Ergebnisse von Agenten kritisch prüfen, vor allem wenn der Agent ungewöhnliche Befehle ausführen möchte, nicht angefragte Dateien liest oder plötzlich auf externe Adressen zugreifen will. Solche Abweichungen sind ein Warnsignal.
Protokollieren Sie Tool-Aufrufe in automatisierten Abläufen, um Vorfälle nachvollziehen zu können. Hooks in Claude Code eignen sich gut, um verdächtige Befehle zu blockieren und zu loggen. Behandeln Sie Prompt Injection außerdem als festen Bestandteil Ihrer Sicherheitsreviews und Bedrohungsmodelle, genau wie klassische Schwachstellen.
Prävention als Teil der Agenten-Strategie
Prompt Injection lässt sich nicht wegkonfigurieren, aber mit klaren Architekturentscheidungen beherrschen. Die AI Code Engineers von neooutput bewerten Ihre Agenten-Setups, insbesondere in CI und mit MCP-Servern, und schulen Ihr Team im sicheren Umgang. Starten Sie mit einem kostenlosen 15-Minuten-Erstgespräch.
Häufige Fragen
Können Modelle Prompt Injection nicht selbst erkennen?
Moderne Modelle erkennen viele Angriffe, aber nicht alle. Da Angreifer ihre Techniken ständig anpassen, sollte die Sicherheit nicht allein vom Modell abhängen. Begrenzen Sie zusätzlich Rechte, Datenzugriff und Netzwerk.
Sind private Repositories sicher?
Sie sind weniger exponiert, aber nicht immun. Auch dort gelangen Fremdinhalte über Abhängigkeiten, Webrecherchen oder MCP-Server in den Kontext. Die gleichen Schutzprinzipien gelten daher auch intern.
Was tun bei einem Verdacht?
Stoppen Sie die Sitzung, prüfen Sie die ausgeführten Befehle und Netzwerkzugriffe und widerrufen Sie vorsorglich betroffene Tokens. Suchen Sie anschließend die Quelle der manipulierten Inhalte und entfernen Sie sie.