Forschende der University of South Florida, Rutgers University und der University of Liverpool haben in einer Studie eine Angriffsmethode auf Large Language Models (LLMs) untersucht, bei der bösartige Anweisungen nicht direkt im sichtbaren Text stehen. Stattdessen manipulieren Angreifer die Zuordnung zwischen Zeichen und deren Darstellung in einer Schriftart. Für menschliche Leser erscheint ein Dokument harmlos, während ein KI-System beim Auslesen oder Interpretieren des Inhalts andere Informationen verarbeitet.

Die Technik ist damit kein völlig neues Angriffsfeld losgelöst von bekannten Risiken, sondern eine spezielle Form der indirekten Prompt Injection: Der Angriff steckt in externen Inhalten wie PDF-Dateien oder Webseiten und wird erst dann wirksam, wenn ein LLM diese Inhalte verarbeitet. Besonders kritisch wird dies bei KI-Assistenten mit Tool-Zugriff, etwa über das Model Context Protocol (MCP) (Fachartikel IT-Administrator 10/2025: KI-Sprache - Model Context Protocol). In solchen Szenarien kann ein versteckter Prompt nicht nur Antworten beeinflussen, sondern auch unerwünschte Aktionen auslösen.

Angriffe über Schriftarten statt über sichtbaren Text

Prompt-Injection-Angriffe gehören inzwischen zu den zentralen Risiken beim Einsatz von LLMs. Klassische Varianten verstecken Anweisungen etwa in Webseiten, HTML-Kommentaren, Dokumenten oder scheinbar harmlosen Textpassagen. Ziel ist es, das Modell dazu zu bringen, nicht mehr nur der eigentlichen Nutzeranweisung zu folgen, sondern eingebettete Fremdanweisungen aus untrusted Content auszuführen.

Die untersuchte Font-Methode geht einen Schritt weiter. Sie verändert nicht nur den Textinhalt, sondern nutzt manipulierte Schriftarten, um die Darstellung für Menschen von dem zu entkoppeln, was ein System beim Auslesen des Dokuments verarbeitet. Ein PDF kann etwa wie eine technische Dokumentation wirken, während im maschinenlesbaren Inhalt versteckte Anweisungen liegen.

Die Forschenden bezeichnen diese Technik als Malicious Font Injection. Der Angriff nutzt manipulierte Code-to-Glyph-Mappings: Zeichen werden für Menschen anders dargestellt, als sie im Hintergrund codiert sind. Genau diese Diskrepanz kann LLMs verwirren, wenn sie externe Ressourcen analysieren.

PDFs als besonders geeignetes Angriffsziel

In der Studie wurden verschiedene Szenarien mit manipulierten externen Inhalten untersucht. PDF-Dateien erwiesen sich dabei als besonders relevantes Medium. Das liegt vor allem daran, dass PDFs häufig in Unternehmen zirkulieren, regelmäßig von KI-Assistenten zusammengefasst werden und durch eingebettete Schriften sowie komplexe Layoutstrukturen zusätzliche Angriffsfläche bieten.

Die genannten Erfolgsquoten der Studie sollten jedoch als experimentelle Werte unter bestimmten Testbedingungen verstanden werden. Sie zeigen, dass solche Angriffe praktisch umsetzbar sind, liefern aber keine allgemeingültige Erfolgswahrscheinlichkeit für jede KI-Plattform, jedes Modell und jede Dokumentenart.

Für Unternehmen ist die Aussage dennoch deutlich: Wer KI-Systeme externe PDFs analysieren lässt, behandelt diese Inhalte sicherheitstechnisch nicht mehr nur als statische Dokumente. Sie können Teil einer aktiven Angriffskette gegen KI-gestützte Prozesse werden.

Leistungsfähige Modelle sind nicht automatisch sicherer

Ein auffälliger Befund der Untersuchung ist, dass leistungsfähigere Modelle nicht zwingend robuster gegen versteckte Anweisungen sind. Je besser ein Modell komplexe Zusammenhänge aus externen Inhalten erschließt, desto eher kann es auch geschickt versteckte oder indirekte Anweisungen verarbeiten.

Das ist ein Zielkonflikt moderner KI-Systeme: Genau die Fähigkeit, strukturierte Dokumente, Webseiten und eingebettete Informationen zuverlässig zu interpretieren, kann bei manipulierten Quellen zum Risiko werden. Die reine Modellleistung ersetzt daher keine Sicherheitsarchitektur.

Für den praktischen Einsatz bedeutet das: Unternehmen sollten nicht davon ausgehen, dass neuere oder größere Modelle solche Angriffe automatisch erkennen. Entscheidend sind vielmehr Kontexttrennung, Inhaltsvalidierung, restriktive Tool-Berechtigungen und zusätzliche Kontrollen auf Ausführungsebene.

MCP erweitert die Angriffsfläche

Besonders kritisch wird die Situation bei KI-Agenten mit Werkzeugzugriff. Das Model Context Protocol soll es LLMs ermöglichen, externe Dienste wie E-Mail-Systeme, Kalender, Datenbanken, Dateisysteme oder Cloud-Anwendungen anzubinden. Damit wächst der Nutzen solcher Assistenten, aber auch die mögliche Schadwirkung eines erfolgreichen Prompt-Injection-Angriffs.

In einem untersuchten Szenario nutzten die Forschenden eine Gmail-Anbindung über MCP. Nachdem ein Nutzer dem Modell Zugriff gewährt hatte, konnte der Agent E-Mails versenden. Ein präpariertes Dokument mit versteckten Anweisungen brachte das Modell anschließend dazu, zuvor im Chat genannte Informationen per E-Mail weiterzugeben.

Das verdeutlicht den Unterschied zwischen einem einfachen Chatbot und einem Agenten: Ein manipulierter Prompt erzeugt nicht nur eine falsche Antwort, sondern kann über angebundene Werkzeuge reale Aktionen anstoßen. Je weitreichender die Berechtigungen eines Agenten sind, desto größer ist das Risiko.

Datenabfluss hängt stark vom Kontext ab

Die Studie zeigt, dass sich die Erfolgsquote solcher Angriffe nach Art der Daten, Prompt-Design und Sicherheitsmechanismen der Plattform unterscheidet. Weniger sensible Informationen wie Namen oder allgemeine Profildaten ließen sich in den Experimenten häufiger übertragen als hochsensible Daten.

Bei besonders geschützten Informationen griffen Sicherheitsmechanismen der getesteten Systeme öfter ein. Dennoch gelang es den Forschenden in einzelnen Szenarien, auch stärker geschützte Daten über indirekte Anweisungen abfließen zu lassen. Besonders problematisch waren dabei Anweisungen, die nicht offen nach sensiblen Daten fragten, sondern als scheinbar legitime Archivierungs-, Backup- oder Weiterleitungsaufgabe formuliert waren.

Für die Praxis ist weniger die konkrete Prozentzahl entscheidend als das Prinzip: Sobald ein KI-Agent externe Inhalte liest und zugleich Zugriff auf Kommunikations- oder Unternehmenssysteme besitzt, kann eine indirekte Prompt Injection zur Datenabflusskette werden.

Klassische Sicherheitswerkzeuge greifen nur begrenzt

Ein weiterer wichtiger Befund betrifft klassische Schutzmechanismen. Die Forschenden testeten präparierte Schriftarten gegen 60 verbreitete Antivirenlösungen. In diesem Testszenario erkannte keines der geprüften Produkte die manipulierten Fonts als Bedrohung.

Das sollte nicht als pauschale Aussage verstanden werden, dass Sicherheitsprodukte grundsätzlich ungeeignet sind. Es zeigt aber eine relevante Lücke: Viele klassische Schutzsysteme sind auf bekannte Malware, ausführbaren Code, Makros oder verdächtiges Verhalten ausgelegt. Manipulierte Schriftarten, die vor allem ein KI-System täuschen sollen, passen nur bedingt in diese Erkennungslogik.

Für Unternehmen entsteht damit eine neue Prüffrage: Externe Inhalte müssen nicht nur auf Malware, sondern auch auf KI-spezifische Manipulationen hin betrachtet werden. Dazu gehören versteckte Texte, abweichende Text-/Darstellungsebenen, ungewöhnliche Font-Mappings und nicht vertrauenswürdige eingebettete Ressourcen.

Abwehr: Prompt-Filter reichen nicht aus

Neuere Forschung zu Prompt-Injection-Abwehr zeigt, dass Gegenmaßnahmen auf mehreren Ebenen ansetzen müssen. Textbasierte Filter können Eingaben prüfen oder umschreiben. Modellnahe Ansätze versuchen, das Modell besser auf schädliche Instruktionen auszurichten oder Auffälligkeiten während der Inferenz zu erkennen. Für Agenten mit Tool-Zugriff sind jedoch vor allem Maßnahmen auf Ausführungsebene relevant.

Dazu gehören:

• Trennung von vertrauenswürdigen Anweisungen und untrusted Content,

• klare Unterscheidung zwischen Kontroll- und Datenebene,

• granulare Berechtigungen für Tools,

• Freigaben für riskante Aktionen,

• Protokollierung und Überwachung von Tool-Aufrufen,

• Einschränkung erlaubter Datenflüsse,

• Isolation von Planung und Ausführung,

• Richtlinien für externe Inhalte, Uploads und Dokumentenanalysen.

Gerade bei MCP-Tools ist entscheidend, dass ein externer Inhalt nicht allein ausreichen darf, um privilegierte Aktionen auszulösen. Ein Dokument sollte beispielsweise keine E-Mail-Weiterleitung, Datenbankabfrage oder Dateiübertragung anstoßen können, wenn diese Aktion nicht eindeutig zum ursprünglichen Nutzerauftrag passt.

Schutzkonzepte bleiben ein Kompromiss

Die Forschung zeigt zugleich, dass es bislang keine einfache Universallösung gibt. Viele Abwehrmechanismen stehen vor einem Zielkonflikt zwischen Sicherheit, Nutzbarkeit und Latenz. Strenge Filter oder Isolation können Angriffe reduzieren, blockieren aber mitunter auch legitime Arbeitsabläufe. Leichtere Textfilter sind einfacher zu integrieren, bieten aber oft weniger Schutz gegen kontextabhängige oder gut getarnte Angriffe.

Besonders schwierig sind Szenarien, in denen ein Agent bewusst externe Informationen berücksichtigen soll. Genau dort verschwimmt die Grenze zwischen harmloser Anweisung im Dokument und bösartiger Manipulation. Wenn ein Nutzer etwa sagt: „Lies die Datei und befolge die enthaltenen Schritte“, muss das System unterscheiden können, welche Schritte zur legitimen Aufgabe gehören und welche Rechte sie überschreiten.

Für Unternehmen bedeutet das: KI-Sicherheit lässt sich nicht allein an das Modell delegieren. Sie muss als Architekturfrage behandelt werden – ähnlich wie Identity & Access Management, E-Mail-Security oder Endpoint-Schutz.

Praktische Konsequenzen für IT-Abteilungen

Für den produktiven Einsatz von KI-Assistenten und Agenten ergeben sich mehrere Handlungsfelder:

• PDF- und Webanalysen durch KI-Systeme sollten als potenzielles Sicherheitsrisiko betrachtet werden.

• Externe Dokumente sollten vor der Verarbeitung möglichst normalisiert oder in sichere Zwischenformate überführt werden.

• MCP-Tools und andere Agenten-Integrationen benötigen minimale und klar dokumentierte Berechtigungen.

• Schreibende Aktionen wie E-Mail-Versand, Dateiablage oder API-Aufrufe sollten zusätzliche Bestätigungsschritte verlangen.

• KI-Agenten sollten keine uneingeschränkten Zugriffe auf Postfächer, Dateisysteme, Ticketsysteme oder Unternehmensdaten erhalten.

• Uploads aus externen Quellen sollten ähnlich kritisch behandelt werden wie Makros oder aktive Inhalte.

• Tool-Aufrufe, Datenflüsse und verdächtige Weiterleitungen sollten protokolliert und auswertbar sein.

• Sicherheitsrichtlinien sollten Prompt Injection, MCP-Werkzeuge und KI-Agenten explizit berücksichtigen.

Bedeutung für KI-Sicherheit im Unternehmen

Manipulierte Schriftarten zeigen exemplarisch, wie sich die Sicherheitslage durch KI-Agenten verändert. Während klassische IT-Sicherheit ausführbaren Code, Skripte, Makros und bekannte Malware-Muster überwacht, können künftig auch scheinbar passive Inhalte wie Dokumente, Webseiten oder Schriftarten zur Angriffsplattform werden.

Die zentrale Lehre lautet daher: Externe Inhalte dürfen in KI-Systemen nicht automatisch als bloße Daten gelten. Sobald ein LLM diese Inhalte interpretiert, können sie faktisch Anweisungscharakter bekommen. Genau diese Vermischung von Daten und Instruktionen macht indirekte Prompt Injection so gefährlich.

Mit der zunehmenden Integration von KI-Agenten in E-Mail, Collaboration-Plattformen, Cloud-Dienste und Unternehmensanwendungen wächst die Bedeutung von Prompt-Injection-Schutz, Inhaltsvalidierung, Berechtigungskonzepten und Ausführungskontrollen. Malicious Fonts sind dabei ein konkretes Beispiel – das grundsätzliche Problem ist jedoch deutlich breiter.