Prompt-Injection in freier Wildbahn

Ein Tracker für öffentlich gemeldete Prompt-Injection-Techniken aus ungefähr den letzten zwei Jahren, gepflegt von Rachel James (cybershujin).

Jede Technik wird in die drei Elemente einer Prompt-Injection unterteilt:

Übertragungsmethode — wie die injizierten Anweisungen das Modell erreichen (ein Tool-Call-Ergebnis, eine externe Website, eine MCP-Verbindung, ein Dokument, eine E-Mail, ein Bild usw.).
Kodierung — die auf die Payload angewandte Verschleierung, falls vorhanden (Base64, Leetspeak, unsichtbare Unicode-Tag-Zeichen, Homoglyphen, …). Leer, wenn die Payload Klartext ist oder der Bericht nichts dazu sagt.
Ausbreitungsverhalten — ob die Injection darauf ausgelegt ist, sich zu verbreiten oder zu persistieren (an jeden ausgeliefert, der sich mit einem vergifteten MCP-Server verbindet, im Langzeit-/Projektgedächtnis eines Agenten persistiert, entlang einer Kette von Tool-Calls mitgeführt, dazu gebracht, eine E-Mail mit weiteren Anweisungen zu versenden, …). Leer, wenn keine Ausbreitung vorliegt.

Jeder Eintrag erfasst außerdem die Modelle, gegen die sie nachweislich funktioniert (falls vorhanden), einen Link zur meldenen Quelle und — sofern bekannt — die Angriffsquelle (der Forscher, das Red Team oder der Akteur in freier Wildbahn, von dem sie stammt).

Live-Dashboard: https://cybershujin.github.io/Prompt-Injection-in-the-Wild/

Umfang & Methodik

Im Umfang: Techniken zum Injizieren adversarieller Anweisungen in ein LLM oder einen LLM-gestützten Agenten, die öffentlich gemeldet wurden — von Sicherheitsforschern, Red Teams, Herstellern oder als in freier Wildbahn beobachtete Aktivität. Sowohl direkte als auch indirekte (datengetragene) Prompt-Injection sind enthalten.

Beliebteste

Prompt-Injection-in-the-Wild

Wie die Daten aufgebaut sind

Techniken

Anhang A — Übermittlungsmethoden (kontrolliertes Vokabular)

Anhang B — Kodierungen (kontrolliertes Vokabular)

Anhang C — Ausbreitungsverhalten (kontrolliertes Vokabular)

Anhang D — MITRE-ATLAS-Crosswalk