Künstliche Intelligenz verändert nicht nur, wie schnell Angriffe ausgeführt werden können. Sie verändert, welche Komponenten überhaupt als Teil der Angriffsfläche betrachtet werden müssen.
Neue Interfaces, neue Annahmen
Ein klassisches Eingabefeld hat eine vergleichsweise klar definierte Aufgabe. Ein LLM-Interface interpretiert dagegen natürliche Sprache, kombiniert Kontext aus mehreren Quellen und kann Aktionen in nachgelagerten Systemen auslösen. Prompt Injection ist deshalb weniger ein isolierter Modellfehler als ein Architekturproblem: Nicht vertrauenswürdige Inhalte treffen auf Systeme mit zu weitreichenden Fähigkeiten.
Kontext ist eine Sicherheitsgrenze
RAG-Pipelines, Agenten und Copilots verarbeiten Daten mit unterschiedlichen Schutzbedarfen. Werden Herkunft, Berechtigungen und Mandantengrenzen beim Retrieval nicht konsequent berücksichtigt, kann das Modell Informationen sichtbar machen, die der anfragende Benutzer nie hätte abrufen dürfen.
Eine belastbare Architektur trennt daher mindestens:
- die Identität des Benutzers,
- die Berechtigung auf Quelldaten,
- die Fähigkeiten angebundener Werkzeuge,
- und die Vertrauenswürdigkeit des aktuellen Kontexts.
Security muss vor dem Modell beginnen
Das Modell allein kann diese Grenzen nicht garantieren. Klassische Kontrollen wie Least Privilege, explizite Autorisierung, Eingabevalidierung, Logging und sichere Defaults bleiben entscheidend. AI Security ist damit kein Ersatz für Application Security — sie erweitert deren Sichtfeld.