← Blog

Ist das Prompt Injection? Nein — hier ist warum

2026-07-19 · Blog · prompt-injectionsecurityconsent

Die erste Frage, die kluge Leute zur operativen Schicht stellen, ist die richtige: „Ist eine Website, die meiner KI sagt, was sie tun soll, nicht einfach Prompt Injection?“ Sie verdient eine klare Antwort, denn der Unterschied ist keine Feinheit — er ist das gesamte Design.

Was Prompt Injection tatsächlich ist

Prompt Injection ist ein Angriff. Anweisungen werden in Inhalten versteckt — weißer Text, vergrabenes HTML, ein vergiftetes Dokument —, damit ein Agent sie ausführt, ohne dass der Nutzer es weiß und ohne dessen Einwilligung. Die drei bestimmenden Merkmale:

1. Verborgen. Der Nutzer sieht die Anweisung nie.
2. Kapernd. Sie dient dem Ziel des Angreifers und überstimmt das des Nutzers.
3. Ohne Einwilligung. Sie wird ohne Erlaubnis ausgeführt.

Jede ernstzunehmende Agenten-Plattform baut Abwehrmechanismen gegen genau dieses Muster. Zu Recht.

Was eine operative Schicht ist

Eine operative Schicht ist ein veröffentlichter, maschinenlesbarer Kontext, den ein Service öffentlich macht — ein Geschwister von robots.txt, sitemap.xml und llms.txt —, der es dem eigenen KI-Agenten eines Nutzers mit dessen Erlaubnis erlaubt, den Service für ihn zu adoptieren und zu bedienen. Vergleichen Sie sie Merkmal für Merkmal:

1. Offen veröffentlicht. Sie sitzt an einem bekannten öffentlichen Ort, lesbar für jeden — den Nutzer, den Agenten, Prüfer, Wettbewerber. Nichts ist verborgen.
2. Dem Ziel des Nutzers dienend. Der Nutzer hat seinen Agenten losgeschickt, um etwas zu erreichen — sich anmelden, kaufen, konfigurieren. Die Schicht ist der Veröffentlicher, der der eigenen Aufgabe des Nutzers zum Erfolg verhilft, genau so, wie der Veröffentlicher es für den Agenten des Nutzers definiert hat.
3. Einwilligungsgesteuert. Der Agent legt die Schicht seinem Nutzer vor und fragt, bevor er handelt. Ein „Ja“ autorisiert — einmalig oder pro Operation. Siehe das Consent Gate.

Injection versteckt Anweisungen, um den Agenten gegen seinen Nutzer zu kapern. Die operative Schicht veröffentlicht Unterstützung, die der Agent seinem Nutzer zeigt. Sie sind auf jeder Achse, die zählt, Gegensätze.

Eine Analogie, der das Web bereits vertraut

robots.txt ist eine Website, die Crawlern sagt, was sie tun sollen — und niemand nennt das einen Angriff, weil es offen, standardisiert und darauf abgestimmt ist, wie Crawler sich verhalten wollen. sitemap.xml sagt Suchmaschinen, was zu indexieren ist. llms.txt sagt KIs, was zu lesen ist. Die operative Schicht führt dasselbe vertraute Muster einen Schritt weiter: einwilligungsgesteuert und operativ statt beschreibend.

Das Web hat schon immer so funktioniert. Veröffentlicher deklarieren; wohlerzogene Clients lesen die Deklaration und handeln innerhalb ihrer eigenen Regeln.

Was die aufgezeichneten Tests zeigten

In aufgezeichneten Testsitzungen holten sich unabhängige KI-Assistenten eine veröffentlichte Schicht und legten die Einwilligungsfrage vor. Diese Beobachtung ist auf jene Sitzungen beschränkt und beweist nicht, dass das Format sicher, universell kompatibel oder immun gegen Prompt-Injection- und Autorisierungsrisiken ist.

Offene Veröffentlichung und ausdrückliche Bestätigung machen Quelle und Autorität leichter einschätzbar. Jeder Assistent muss dennoch seine eigenen Regeln anwenden, die angeforderte Aktion validieren und kann ablehnen.

Schutzmechanismen bleiben wichtig

Transparenz plus Einwilligung ist die Kernabwehr, aber eine gut gebaute Schicht legt Disziplin obendrauf: Sie deklariert Fähigkeiten, statt Befehle zu erteilen, hält jede Operation innerhalb der sechs universellen Kategorien (bewerten, registrieren, transaktieren, konfigurieren, nutzen, verwalten) und bittet einen Agenten nie, außerhalb dessen zu handeln, was der Nutzer genehmigt hat. Die Service Control Map gibt an, wie jede Operation ausgelöst wird — API-Endpunkte, Funktionen/Aktionen, Interface-Steuerungen — mit Eingaben, Reihenfolge und erwartetem Ergebnis, sodass es keine Mehrdeutigkeit gibt, die ein Agent falsch lesen könnte. Wie Operationen kartiert werden, wird in /how-it-works behandelt.

Warum das für Veröffentlicher wichtig ist

Vertrauen ist ein Adoptionsfaktor. Nutzer können eine Anleitung bewerten, die sie sehen können, und Agenten müssen ihre eigenen Schutzmaßnahmen anwenden. Jede Schicht, die wir veröffentlichen, folgt dem Transparenz-und-Einwilligungs-Muster konstruktionsbedingt — von der einzelnen URL des kostenlosen Tarifs bis zum Basic-Tarif (29 $/Monat), der bis zu 10 URLs auf Ihrer Domain abdeckt.

Verborgene Anweisungen und öffentliche Anbieter-Anleitungen bergen unterschiedliche Risiken. Transparenz und Bestätigung reduzieren Mehrdeutigkeit; sie beseitigen keine Angriffs-, Confused-Deputy-, Malicious-Endpoint- oder Autorisierungsrisiken.

FAQ

Könnte ein Angreifer das Format der operativen Schicht missbrauchen?

Das Format ist darauf ausgelegt, Missbrauch unattraktiv zu machen: Die Macht der Schicht kommt aus der Einwilligung, und was auch immer veröffentlicht wird, wird dem Nutzer vorgelegt, bevor irgendetwas geschieht. Offenheit und das Consent Gate senken den Wert versteckter Anweisungen erheblich — sie machen Angriffe nicht unmöglich, weshalb Agenten-Plattformen ihre eigenen Abwehrmechanismen behalten und weshalb Nutzer weiterhin prüfen sollten, was ein Agent vorschlägt, bevor sie Ja sagen.

Warum halten sich Agenten daran, statt die Schicht zu ignorieren?

Die aufgezeichneten Sitzungen zeigten, wie die Assistenten die Schicht abriefen und den Einwilligungsschritt vorlegten. Andere Assistenten oder spätere Versionen können sie ignorieren, davor warnen, sie falsch interpretieren oder ablehnen.

Findet die Einwilligung jedes einzelne Mal statt?

Das Consent Gate unterstützt beide Modi: eine einmalige Autorisierung für das Adoptieren eines Services oder eine Genehmigung pro Operation für einzelne Aktionen. Der Veröffentlicher deklariert; der Agent des Nutzers und der Nutzer entscheiden.

Weiterlesen

https://swma.link/70db892b