Thought Leadership
Proofpoint beobachtet im Untergrund wachsendes Interesse an Indirect Prompt Injection. Tools dafür werden bereits ab rund 150 US-Dollar im Monat zum Kauf angeboten.
Sicherheitsforscher von Proofpoint gehen davon aus, dass eine Welle neuer Angriffe mit Indirect Prompt Injection, kurz IDPI, bevorstehen könnte. Bislang ist das Ausmaß gezielter Attacken auf KI-basierte Anwendungen hinter den Erwartungen vieler IT-Sicherheitsverantwortlicher zurückgeblieben. Proofpoint vermutet, dass Cyberkriminelle derzeit keinen ausreichenden Anreiz haben, ihre etablierten Methoden zu ändern, solange klassische Angriffe auf Personen weiterhin gut funktionieren.
Jüngste Beobachtungen in kriminellen Untergrundforen deuten laut Proofpoint jedoch darauf hin, dass sich dies bald ändern könnte. IDPI gilt zwar als gut erforschter potenzieller Angriffsvektor, konkrete Methoden für den praktischen Einsatz galten bislang aber weitgehend als hypothetisch. Anfang 2026 hatte Unit 42 bereits ein Beispiel aus der Praxis dokumentiert, bei dem Prompts im HTML-Code einer Betrugsseite versteckt waren, um KI-gestützte Systeme zur Anzeigenprüfung zur Freigabe bösartiger Werbeinhalte zu bewegen.
Fertige Werkzeuge werden im Untergrund verkauft
Proofpoint hat mehrere Tools und Frameworks identifiziert, die derzeit weiterentwickelt und in Untergrundforen zum Kauf angeboten werden. Die Abonnements beginnen bei etwa 150 US-Dollar im Monat. Auch wenn sich die Angebote laut Proofpoint noch im Versuchsstadium befinden, handelt es sich nicht um rein hypothetische Konzepte, weshalb Unternehmen sich auf eine Konfrontation mit diesen Techniken vorbereiten sollten.
Proofpoint beschreibt vier Kategorien von Angeboten. Ein IDPI-E-Mail-Generator versteckt Prompts als für Menschen nicht sichtbaren, aber maschinenlesbaren Text, etwa durch Text in Hintergrundfarbe innerhalb von Nachrichten und Dokumenten. Ein IDPI-PDF-Generator bettet Anweisungen an Scan-Agenten in E-Mail-Anhänge wie PDF- oder DOCX-Dateien ein, beispielsweise die Aufforderung, alle XLSX-Dateien an eine bestimmte Adresse zu senden. Ein IDPI-Kalendereinladungsgenerator platziert einen bösartigen Prompt im Nachrichtentext einer Kalendereinladung, getarnt als Tagesordnung, der ausgeführt wird, sobald ein KI-Agent die Einladung zusammenfasst. Ein IDPI-Webseitengenerator schließlich soll Befehle in dynamisch geladene Werbeanzeigen einbetten, die ein KI-Agent beim Scannen einer Webseite verarbeitet.
Experten rechnen mit zunehmender Verbreitung von Prompt Injection
Prompt Injection zählt bereits seit längerem zu den meistdiskutierten Themen unter Sicherheitsfachleuten, wenn es um mögliche Angriffe auf generative KI- und agentische Anwendungen geht. Die bisherige Berichterstattung stützte sich dabei überwiegend auf Forschungsarbeiten und Spekulationen über mögliche Vorgehensweisen von Angreifern statt auf beobachtete Angriffe.
Unter Experten gilt es laut Proofpoint als weitgehend ausgemacht, dass sich dies nur eine Frage der Zeit ist. Proofpoint beobachtet eine Zunahme der Aktivitäten rund um diesen Angriffsvektor im Untergrund und rät Sicherheitsverantwortlichen daher, sich nicht in Sicherheit zu wiegen.
(Proofpoint/red)
