Bei Prompt-Injection-Angriffen unterscheiden Sicherheitsexperten zwischen zwei Varianten: direkte und indirekte Injektionen. Während direkte Injektionen wie klassische “Jailbreaks” funktionieren – der Nutzer interagiert direkt mit der KI, um ihre Sicherheitsvorkehrungen zu umgehen – operieren indirekte Injektionen im Verborgenen. Hier platzieren Angreifer manipulierte Anweisungen auf Websites, in E-Mails oder in Entwickler-Ressourcen, damit die KI diese beim Verarbeiten von Inhalten unwissentlich ausführt.
Google-Forscher analysierten Millionen von Website-Snapshots aus dem Common Crawl und setzten dabei Gemini sowie manuelle Überprüfungen ein, um bekannte Injektionsmuster zu identifizieren. Das Ergebnis: Die meisten entdeckten Prompt-Injektionen waren harmlos – Pranks, die KI-Assistenten dazu bringen, sich wie Vogelbabys zu verhalten, oder Versuche von Website-Betreibern, Crawler abzuschrecken. Andere dienten SEO-Manipulationen, indem sie KI-Systeme anwiesen, bestimmte Unternehmen zu loben.
Doch es gab auch ernsthafte Bedrohungen. Google identifizierte zwei Kategorien böswilliger Angriffe: Datenexfiltration und Zerstörung. Bei Exfiltrationsversuchen enthielten Websites Prompts, die KI-Systemen befehlen, sensible Daten wie IP-Adressen oder Anmeldeinformationen zu sammeln und an attacker-kontrollierte E-Mail-Adressen zu senden. Destruktive Angriffe zielen darauf ab, KI-Systeme zum Löschen von Dateien zu veranlassen.
Was Google beruhigt: Bislang fehlte es den Angriffen an Sophistikation. “Wir beobachteten keine signifikanten Mengen fortgeschrittener Angriffe,” heißt es im Bericht. Dies deutet darauf hin, dass Cyberkriminelle akademische Forschung noch nicht in großem Maßstab kommerzialisiert haben.
Doch genau hier liegt das Problem: Der 32-Prozent-Anstieg in nur vier Monaten signalisiert einen reifenden Markt. Google warnt ausdrücklich, dass Umfang und Komplexität dieser Angriffe in naher Zukunft deutlich zunehmen werden. Für deutsche Unternehmen und Behörden, die KI-Tools nutzen, ist dies ein Signal, die Sicherheit dieser Systeme ernster zu nehmen – durch Monitoring, Validierung von Trainingsdaten und strikte Kontrolle der Datenquellen, die KI-Modelle verarbeiten.