Prompt Injection: Warum externe Inhalte keine Befehle sein dürfen

Der Anlass

OpenAI hat am 25. September 2026 einen Forschungsbericht über selbstverbreitende Prompt-Injection-Muster veröffentlicht. Der Bericht beschreibt ein Verhalten in simulierten Werkzeugaufrufen während Training und Auswertung. Laut Veröffentlichung wurde außerhalb dieser Simulationen keine Auswirkung beobachtet. Es handelt sich somit nicht um die Meldung eines nachgewiesenen realen Angriffs auf Skrabi oder seine Nutzer.

Prompt Injection bedeutet vereinfacht: Ein System erhält Daten, die sich als Anweisung ausgeben. Das kann etwa ein Text in einer fremden Webseite sein, der den ursprünglichen Arbeitsauftrag umzulenken versucht.

Warum Website-Betreiber darauf achten sollten

Eine Hilfeassistenz liest möglicherweise Dokumentation, ein Recherchewerkzeug besucht externe Seiten und ein Automationsagent verarbeitet Nachrichten. In allen drei Fällen muss zwischen dem Auftrag des Nutzers und dem Inhalt einer Quelle unterschieden werden.

Für ein kleines Projekt lässt sich diese Grenze verständlich formulieren: Eine Produktbeschreibung darf Informationen liefern, aber keine Berechtigung zum Export von Kundendaten erteilen.

Praktischer Prüfauftrag

• Welche externen Texte kann der Assistent lesen?
• Welche Werkzeuge darf er anschließend ausführen?
• Sind schreibende Aktionen enger begrenzt als reine Abfragen?
• Bleiben Zugangsdaten außerhalb der Modellantworten?

Die redaktionelle Schlussfolgerung lautet: Sicherheitsgrenzen gehören in die Anwendung und ihre Berechtigungen. Ein freundlicher Hinweis im Prompt allein ersetzt diese Grenzen nicht. Besonders bei automatischen Veröffentlichungen sollte der letzte Schritt klar an einen autorisierten Auftrag gebunden bleiben.