prompt injections.de
Schutzmaßnahme

Least Privilege für KI-Agenten

Eine Aktion, die ein System nicht ausführen darf, kann auch eine erfolgreiche Prompt Injection nicht auslösen. Least Privilege ist damit die einzige Maßnahme, die unabhängig von der Qualität des Modells und der Filter wirkt — und die einzige, die eine harte Grenze zieht statt einer Wahrscheinlichkeit.

OWASP führt die Ursache übermäßiger Rechte als eigenes Risiko (LLM06: Excessive Agency). Für die Abwehr von Prompt Injection ist das der Hebel mit dem besten Verhältnis von Aufwand zu Wirkung.

Least Privilege und menschliche Freigabe — Schema Links der häufige Fehler: Der Agent erbt die vollständigen Rechte der Nutzerin, alle Werkzeuge stehen offen. Rechts der saubere Schnitt: Die Rechte werden aus der Aufgabe abgeleitet, Lesen ist erlaubt, Schreiben entfällt, Senden und Zahlen brauchen eine Freigabe. Vor der wirksamen Aktion steht eine menschliche Freigabe außerhalb des Modells: Der beauftragte Ablauf passiert sie, der fremdgesteuerte Versuch endet dort. LEAST PRIVILEGE UND FREIGABE Häufiger Fehler: Rechte kopiert Agent erbt die Rechte der Nutzerin, vollständig lesen schreiben senden zahlen Sauberer Schnitt: aus der Aufgabe Rechte je Aufgabe lesend vor schreibend lesen schreiben: nein senden: Freigabe zahlen: Freigabe Fremdgesteuert Injektion verlangt Handeln Menschliche Freigabe außerhalb des Modells gestoppt Aktion nur nach Freigabe Regeln, die den Schaden begrenzen Ein Werkzeugsatz je Aufgabe statt globalem Katalog; kurzlebige Zugangsdaten je Aufruf. Ratenlimits, Budgets und Protokollierung — sie wirken auch bei fremdgesteuerten Läufen. beauftragter Ablauf fremdgesteuerter Versuch Was ein System nicht ausführen darf, kann auch eine erfolgreiche Injektion nicht auslösen. Rechte gehören ins Zielsystem, nicht in den Prompt — ein Prompt ist keine Zugriffskontrolle.
Links die kopierte Nutzerrolle, rechts die aus der Aufgabe abgeleiteten Rechte samt menschlicher Freigabe vor der wirksamen Aktion.

Rechte schneiden statt Rollen kopieren

Der häufigste Fehler ist, einem Agenten die Rechte seines Nutzers zu geben. Damit wird jede Injektion zu einer Handlung im Namen dieses Nutzers — das klassische Muster des verwirrten Stellvertreters.

Sauber ist der umgekehrte Weg: Man beginnt bei der konkreten Aufgabe und vergibt genau die Rechte, die sie erfordert. Ein Agent, der Termine vorschlägt, braucht keinen Schreibzugriff auf den Kalender. Ein Agent, der Tickets zusammenfasst, braucht keinen Versandkanal.

Praktische Regeln

  • Ein Werkzeugsatz je Aufgabe, kein globaler Katalog.
  • Schreiben, senden, bezahlen und ausführen brauchen eine Freigabe außerhalb des Modells.
  • Zugangsdaten nicht dauerhaft im Kontext halten, sondern je Aufruf kurzlebig vergeben.
  • Ratenlimits und Budgets setzen — sie begrenzen auch fremdgesteuerte Läufe.
  • Aktionen protokollieren, damit im Ernstfall nachvollziehbar bleibt, was ausgelöst wurde.

Techniken, deren Schaden Least Privilege begrenzt

Diese Einträge aus dem Techniken-Verzeichnis gehören unmittelbar zu diesem Thema — jeder mit Funktionsweise, Risiko-Einstufung, Schutzmaßnahmen und Primärquelle.

  • Angriff auf Agenten

    Tool-Poisoning (MCP)

    Die Beschreibung eines Werkzeugs — etwa eines MCP-Servers — enthält versteckte Anweisungen. Der Agent liest sie beim Auflisten der verfügbaren Tools, noch bevor er das Werkzeug überhaupt aufruft.

    Risiko hoch
  • Angriff auf Agenten

    Prompt-Infektion in Multi-Agenten-Systemen

    Eine Injektion, die sich selbst weitergibt: Ein kompromittierter Agent reicht die Anweisung samt Vervielfältigungsauftrag an die nächsten Agenten weiter — wurmartige Ausbreitung im Verbund.

    Risiko hoch
  • Angriff auf Agenten

    Verwirrter Stellvertreter

    Der Agent handelt mit den Rechten des Nutzers, folgt aber der Absicht eines Angreifers — er wird zum Stellvertreter, der seine Berechtigungen fremdgesteuert einsetzt.

    Risiko hoch
  • Angriff auf Agenten

    Werkzeug-Missbrauch durch Injektion

    Die eingeschleuste Anweisung veranlasst den Agenten, seine angebundenen Werkzeuge zweckwidrig einzusetzen — Mails versenden, Dateien schreiben, Käufe auslösen, Code ausführen.

    Risiko hoch
  • Angriff auf Agenten

    Zero-Click-Injektion

    Angriffsklasse, die ganz ohne Zutun des Opfers auskommt: Das Zustellen eines Inhalts in ein vom Assistenten durchsuchtes System genügt, um Injektion und Datenabfluss auszulösen.

    Risiko hoch
  • Angriff auf Agenten

    Code-Injektion über LLM-Ausgaben

    Die Ausgabe des Modells wird ungeprüft weiterverarbeitet — als HTML gerendert, als SQL abgesetzt, als Shell-Befehl ausgeführt. Eine Injektion wird damit zu klassischer Codeausführung.

    Risiko hoch

Passende Werkzeuge

  • Benchmark · ETH Zürich (SPY Lab)

    AgentDojo

    Dynamische Testumgebung, die Agenten mit realistischen Aufgaben und eingebetteten Injektionen konfrontiert und Nützlichkeit gegen Sicherheit misst. Gemessen werden Nützlichkeit und Sicherheit gemeinsam, weil eine Abwehr wertlos ist, die den Agenten für seine eigentliche Aufgabe unbrauchbar macht.

    Open Source
  • Benchmark · University of Illinois (Kang Lab)

    InjecAgent

    Benchmark für indirekte Prompt Injection in werkzeugnutzenden Agenten, unterteilt in Angriffe auf Nutzerdaten und auf Nutzeraktionen. Die Unterteilung macht sichtbar, ob ein Angriff lediglich Daten abgreift oder den Agenten zu eigenen, folgenreichen Handlungen bringt.

    Open Source
  • Scanner · Invariant Labs

    mcp-scan

    Prüfwerkzeug für MCP-Server, das Tool-Beschreibungen auf versteckte Anweisungen, Tool-Poisoning und nachträgliche Änderungen untersucht. Es vergleicht Tool-Beschreibungen zusätzlich gegen einen festgehaltenen Stand und meldet nachträgliche Änderungen, mit denen ein zunächst harmloser Server später Anweisungen nachschiebt.

    Open Source

Einordnung in die OWASP LLM Top 10

  • OWASP LLM Top 10 · 2025

    LLM06: Übermäßige Handlungsvollmacht

    Das System darf mehr, als es für seine Aufgabe müsste — zu viele Werkzeuge, zu weite Rechte, zu viel Autonomie ohne menschliche Kontrolle.

  • OWASP LLM Top 10 · 2025

    LLM01: Prompt Injection

    Eingaben verändern das Verhalten des Modells auf eine vom Betreiber nicht vorgesehene Weise — unabhängig davon, ob der Text für Menschen sichtbar ist oder nicht.

Häufige Fragen

Was ist die wirksamste Maßnahme gegen Prompt Injection?

Die Begrenzung der Rechte. Filter und Klassifikatoren senken Wahrscheinlichkeiten; eine Aktion, die das System nicht ausführen darf, kann eine Injektion dagegen unter keinen Umständen auslösen.

Was bedeutet Excessive Agency bei OWASP?

LLM06:2025 beschreibt Schäden, die entstehen, weil ein LLM-System zu weitreichende Funktionen, Berechtigungen oder Autonomie besitzt — unabhängig davon, wodurch das Fehlverhalten ausgelöst wurde.

Quellen

  1. OWASP GenAI Security Project: LLM06:2025 Excessive Agency: https://genai.owasp.org/llmrisk/llm062025-excessive-agency/
  2. OWASP GenAI Security Project: LLM01:2025 Prompt Injection: https://genai.owasp.org/llmrisk/llm01-prompt-injection/

Im Zusammenhang