Prompt-Injection in freier Wildbahn

Ein Tracker für öffentlich gemeldete Prompt-Injection-Techniken aus ungefähr den letzten zwei Jahren, gepflegt von Rachel James (cybershujin).

Jede Technik wird in die drei Elemente einer Prompt-Injection unterteilt:

1. Übertragungsmethode — wie die injizierten Anweisungen das Modell erreichen (ein Tool-Call-Ergebnis, eine externe Website, eine MCP-Verbindung, ein Dokument, eine E-Mail, ein Bild usw.).
2. Kodierung — die auf die Payload angewandte Verschleierung, falls vorhanden (Base64, Leetspeak, unsichtbare Unicode-Tag-Zeichen, Homoglyphen, …). Leer, wenn die Payload Klartext ist oder der Bericht nichts dazu sagt.
3. Ausbreitungsverhalten — ob die Injection darauf ausgelegt ist, sich zu verbreiten oder zu persistieren (an jeden ausgeliefert, der sich mit einem vergifteten MCP-Server verbindet, im Langzeit-/Projektgedächtnis eines Agenten persistiert, entlang einer Kette von Tool-Calls mitgeführt, dazu gebracht, eine E-Mail mit weiteren Anweisungen zu versenden, …). Leer, wenn keine Ausbreitung vorliegt.

Jeder Eintrag erfasst außerdem die Modelle, gegen die sie nachweislich funktioniert (falls vorhanden), einen Link zur meldenen Quelle und — sofern bekannt — die Angriffsquelle (der Forscher, das Red Team oder der Akteur in freier Wildbahn, von dem sie stammt).

Live-Dashboard: https://cybershujin.github.io/Prompt-Injection-in-the-Wild/

---

Umfang & Methodik

• Im Umfang: Techniken zum Injizieren adversarieller Anweisungen in ein LLM oder einen LLM-gestützten Agenten, die öffentlich gemeldet wurden — von Sicherheitsforschern, Red Teams, Herstellern oder als in freier Wildbahn beobachtete Aktivität. Sowohl direkte als auch indirekte (datengetragene) Prompt-Injection sind enthalten.
• Außerhalb des Umfangs: generische Jailbreak-Wortlisten ohne Übertragungs-/Ausbreitungsmechanismus, reine Beschwerden über Modellausrichtung und Marketing ohne technische Substanz.
• Niemals geraten. Jede nicht leere Zelle stammt aus einer expliziten Aussage in der zitierten Quelle. Wenn ein Bericht die Kodierung, das Ausbreitungsverhalten, die bestätigten Modelle oder die Angriffsquelle nicht angibt, bleibt diese Zelle leer — eine leere Zelle bedeutet „nicht angegeben“, niemals ein abgeleitetes „keine“.
• Prüfung. Jeder Eintrag ist als Confirmed oder Not fully vetted markiert. „Not fully vetted“ kennzeichnet einen Eintrag, dessen Quelle vage, unbestätigt oder dessen Mechanismus unklar ist — er wird sichtbar gemacht statt verworfen, damit ein Prüfer ihn beurteilen kann.
• Evidenzklasse — in freier Wildbahn vs. Forschung. Jeder Eintrag ist getaggt als In-the-wild (beobachteter realer Missbrauch oder ein echter Produktionsvorfall), Research / red-team (eine Demonstration / verantwortungsvolle Offenlegung eines Sicherheitsforschers oder Red Teams — eine echte, funktionierende Technik, aber nicht als von einem Angreifer missbraucht beobachtet), Vendor advisory oder Unclear. Dies ist eine von der Prüfung getrennte Achse: Eine Technik kann Confirmed (verifiziert und funktionierend) sein und dennoch nur im Labor demonstriert worden sein. Beachten Sie: Echte bösartige Prompt-Injection in freier Wildbahn wird öffentlich noch selten dokumentiert, daher sind die große Mehrheit der Einträge hier Research-/Red-Team-Offenlegungen — zum Zeitpunkt der anfänglichen Nacherfassung waren 29 von 32 Research/Red-Team und nur 3 in freier Wildbahn. Verwenden Sie den Evidence-Filter im Dashboard, um die realen Fälle zu isolieren.
• Aktualisierungen. Neue Berichte werden monatlich erfasst (Perplexity sonar-deep-research, breites Netz) und als Draft-Pull-Request zur Prüfung durch die Maintainer vorgeschlagen. Nichts wird automatisch gemergt. Siehe den verwandten Tracker Threat-Actors-use-of-Artifical-Intelligence für denselben Workflow, angewandt auf die KI-Nutzung durch Bedrohungsakteure.

Wie die Daten aufgebaut sind

Die Daten liegen ausschließlich in der untenstehenden Tabelle (diese Datei ist die einzige Quelle der Wahrheit). Ein deterministischer, abhängigkeitsfreier Generator (tools/build_exports.py) kompiliert sie bei jedem Commit in:

• index.html — das interaktive Dashboard (bereitgestellt über GitHub Pages),
• tracker.json — normalisierte maschinenlesbare Daten,
• stix/prompt-injection-stix2.1.json — ein STIX-2.1-Bundle (jede Technik als attack-pattern, getaggt mit ihrer MITRE-ATLAS-ID und einem Not fully vetted → Low-Confidence-Mapping).

Bearbeiten Sie diese drei Dateien nicht manuell; bearbeiten Sie die Tabelle und lassen Sie CI sie neu erstellen.

---

Techniken