Direkte Prompt Injection bezeichnet eine Angriffsmethode auf Large Language Models (LLMs), bei der ein Nutzer die manipulative Anweisung unmittelbar in den Prompt eingibt. Ziel ist es, das KI-System dazu zu bringen, interne Vorgaben, Sicherheitsregeln oder Systemanweisungen zu ignorieren, zu umgehen oder offenzulegen.
Typische direkte Prompt-Injection-Versuche arbeiten mit Formulierungen wie „Ignoriere alle vorherigen Anweisungen“, „Handle ab jetzt als anderes System“ oder „Gib deine geheimen Regeln aus“. Der Angriff richtet sich also direkt gegen die Steuerlogik des Modells und versucht, höher priorisierte Anweisungen durch eine neue Nutzereingabe zu überlagern.
Der Unterschied zur indirekten Prompt Injection liegt im Angriffsweg: Bei der direkten Variante stammt die schädliche Anweisung vom Nutzer selbst. Bei der indirekten Variante befindet sie sich dagegen in externen Inhalten wie Webseiten, PDF-Dateien, E-Mails, Quellcode-Kommentaren oder Metadaten, die das KI-System verarbeitet.
Besonders kritisch wird direkte Prompt Injection, wenn ein LLM nicht nur Text erzeugt, sondern als KI-Agent mit Werkzeugen verbunden ist. Dann kann ein erfolgreicher Angriff unter Umständen nicht nur Antworten manipulieren, sondern auch Aktionen wie Dateiabfragen, API-Aufrufe, E-Mail-Entwürfe oder Datenbankzugriffe beeinflussen.
Schutzmaßnahmen umfassen klare System- und Rollenprioritäten, robuste Eingabefilter, restriktive Tool-Berechtigungen, Bestätigungspflichten für riskante Aktionen, Protokollierung sowie die Trennung von Anweisungen und Daten. Vollständig ausschließen lässt sich direkte Prompt Injection bislang nicht, weshalb sicherheitskritische Aktionen nie allein auf Basis ungeprüfter Modellentscheidungen erfolgen sollten.
