Unternehmen setzen Large Language Models inzwischen in Support, Analyse, Entwicklung und internen Automatisierungen ein. Parallel dazu nutzen Angreifer immer häufiger eine Schwäche aus, die sich aus der Arbeitsweise dieser Systeme ergibt: Sie können Anweisungen nicht zuverlässig von Daten trennen.
Mehrere aktuelle Berichte und Sicherheitsvorfälle zeigen laut der Vorlage, dass Prompt Injection zu den wichtigsten Angriffsformen gegen LLM-basierte Systeme gehört. Betroffen sind inzwischen nicht nur Chatbots, sondern auch Agenten, RAG-Pipelines, Modell-Router und Speicherfunktionen.
Die Angriffe sind kein theoretisches Problem mehr. Beispiele aus dem Jahr 2024 und 2025 zeigen, dass sich darüber Daten abziehen, Befehle auslösen und geschäftliche Abläufe beeinflussen lassen.
Prompt Injection trifft die Schwachstellen moderner KI-Systeme
Nach der Einordnung in der Vorlage bleibt Prompt Injection auch 2025 und 2026 einer der am häufigsten demonstrierten Angriffswege gegen LLMs. Die OWASP LLM Top 10 führt Prompt Injection unter LLM01 und bewertet die Technik zum zweiten Mal in Folge als kritischste LLM-spezifische Schwachstelle. Hintergrund ist, dass Sprachmodelle Anweisungen und Inhalte nicht immer sauber voneinander unterscheiden können.
CrowdStrike beschrieb im Global Threat Report 2026, der auf Erkenntnissen zu mehr als 280 beobachteten Angreifern basiert, wie Bedrohungsakteure 2025 bei über 90 Organisationen manipulierte Prompts in legitime GenAI-Tools einspeisten. Ziel war es demnach, Befehle zu erzeugen, mit denen Zugangsdaten und Kryptowährungen gestohlen wurden. Das Unternehmen brachte die Entwicklung mit dem Satz auf den Punkt: „Prompts are the new malware.“ Laut Bericht stieg die Zahl KI-gestützter Angriffe insgesamt im Jahresvergleich um 89 Prozent.
Auch konkrete Vorfälle unterstreichen das Risiko. Forschende von PromptArmor veröffentlichten im August 2024 eine Schwachstelle in Slack AI. Über einen bösartigen Prompt in einem öffentlichen Kanal oder in einem hochgeladenen Dokument ließ sich demnach auf Inhalte aus privaten Slack-Kanälen zugreifen, obwohl dafür eigentlich keine Berechtigung bestand. Dazu zählten laut der Beschreibung auch API-Schlüssel, die in privaten Entwicklerkanälen geteilt worden waren.
Im Juni 2025 meldeten Forschende von Aim Security mit EchoLeak einen weiteren Fall: CVE-2025-32711, mit CVSS-Wert 9,3, war laut Vorlage der erste dokumentierte Zero-Click-Prompt-Injection-Exploit gegen ein produktives KI-System. Ziel war Microsoft 365 Copilot. Ein einzelnes präpariertes E-Mail-Nachrichtenobjekt reichte aus, um Copilot interne Dateien auslesen und deren Inhalte an einen vom Angreifer kontrollierten Server senden zu lassen. Beide Schwachstellen wurden nach Angaben der Vorlage gepatcht.
Wie sich die Angriffe weiterentwickeln
Prompt Injection beschränkt sich längst nicht mehr auf einfache Manipulationen einzelner Eingaben. Laut Vorlage zielen die Angriffe inzwischen auch auf Multi-Agent-Architekturen, Retrieval-Augmented Generation (RAG), Modell-Router und Langzeitgedächtnis-Funktionen. Damit wächst die Angriffsfläche dort, wo Unternehmen KI-Systeme in operative Prozesse einbauen.
Ein zentrales Problem ist das Vertrauen, das viele Anwendungen in Modell-Ausgaben legen. Unternehmen setzen LLMs ein, um Anweisungen zu verarbeiten, Informationen zusammenzufassen und Workflows auszulösen. Genau dabei fällt es den Modellen schwer zu erkennen, was eigentliche Instruktion, was Daten, was Kontext und was Metadaten ist. Diese Unschärfe schafft Angriffsraum für direkte und indirekte Manipulation.
Die wichtigsten Angriffsformen
In der Vorlage werden mehrere Varianten moderner Prompt Injection beschrieben:
- Bei Cross-Model Prompt Injection manipulieren Angreifer die Ausgabe eines Modells so, dass nachgelagerte Systeme die schädlichen Inhalte weiterverarbeiten.
- Bei RAG Supply Chain Poisoning platzieren Angreifer bösartige Inhalte in Dokumentationen, Blogbeiträgen oder GitHub-READMEs, um sie später über RAG-Pipelines in Unternehmenssysteme einzuschleusen.
- Beim Agent Hijacking können KI-Agenten durch einen einzelnen schädlichen Hinweis dazu gebracht werden, E-Mails zu senden, Cloud-Infrastruktur zu verändern, Code auszuführen oder interne Systeme anders zu bedienen als vorgesehen.
- Context Overflow Attacken nutzen sehr große Kontextfenster, um schädliche Anweisungen in Dokumente einzubetten und vorhandene Instruktionen zu verdrängen.
- Memory Poisoning setzt auf Langzeitgedächtnis-Funktionen, um den Zustand eines Systems dauerhaft zu verändern.
- Model-Router-Manipulation versucht, ein System dazu zu bringen, das schwächere oder am wenigsten geschützte Modell auszuwählen.
Folgen für Unternehmen
Nach Darstellung der Vorlage betrifft Prompt Injection heute eine ganze Reihe geschäftskritischer Bereiche. Dazu zählen Kunden-Chatbots, interne Copilots für Entwicklung oder Sicherheit, Automatisierungen in Ticketing-, Cloud- oder HR-Prozessen sowie Daten-Governance in RAG-Pipelines und Wissensdatenbanken.
Die Risiken reichen inzwischen weit über fehlerhafte Antworten eines Modells hinaus. Angreifer können unberechtigte Aktionen auslösen, sensible Daten abziehen, Workflows beschädigen, Analysen verfälschen, Geschäftslogik verändern oder Multi-Agenten-Systeme kompromittieren. Damit hat sich die Angriffsdimension deutlich erweitert.
Was Unternehmen laut Vorlage tun sollten
Als Gegenmaßnahmen nennt die Vorlage mehrere organisatorische und technische Schritte. Unternehmen sollen zunächst die Berechtigungen der Modelle begrenzen und nicht nur definieren, was ein System tun soll, sondern auch, was es nicht tun darf. Externe Inhalte und RAG-Quellen gelten dabei als potenziell feindlich und sollten entsprechend getrennt behandelt werden.
Zusätzlich empfiehlt die Vorlage eine engere Kontrolle von Tool-Aufrufen und bei besonders folgenreichen Aktionen eine Freigabe durch Menschen. Ebenso wichtig sei es, die Herkunft von Inhalten zu prüfen, damit RAG-Pipelines keine vergifteten externen Quellen übernehmen. Modell-Router müssten gegen Manipulationsversuche abgesichert werden, damit Angreifer nicht gezielt auf schwächere Modelle umleiten können.
Als grundlegende Konsequenz beschreibt die Vorlage einen Perspektivwechsel: LLMs sollten als nicht vertrauenswürdige Komponenten behandelt werden, nicht als autonome Entscheidungseinheiten. Genau diese Annahme bilde die Basis moderner KI-Sicherheit.
Einordnung: Die vorliegenden Beispiele zeigen, dass Prompt Injection für Enterprise-KI kein Randthema mehr ist. Je stärker Unternehmen Agenten, RAG und automatisierte Modellketten einsetzen, desto wichtiger werden Eingabeprüfungen, Rechtebegrenzungen und Kontrolle über nachgelagerte Aktionen.
