Injection-Payload

Programme erwarten von Nutzern Eingaben: einen Namen, eine Suchanfrage, eine Frage an einen Chatbot. Manche Angreifer schreiben in dieses Feld aber keinen normalen Inhalt, sondern etwas, das das Programm als Anweisung missversteht. Genau dieses eingeschmuggelte Textstück heißt Injection-Payload. „Payload“ bedeutet wörtlich Nutzlast, also die Fracht des Angriffs. Der Rest des Angriffs ist nur die Verpackung, die dafür sorgt, dass die Fracht an der richtigen Stelle landet. Wirkung entfaltet immer erst der Payload selbst.

Warum ein Satz Text eine Datenbank leeren kann

Computer trennen Daten und Befehle nicht so klar, wie man erwarten würde. Beides ist am Ende Text, der von einem Programm gelesen wird. Wenn ein Programm Nutzertext ungeprüft in einen Befehl einbaut, kann der Nutzer diesen Befehl mitschreiben. Der Angreifer braucht dafür keinen Zugang zum Server und keine Passwörter.

Die Folgen sind entsprechend groß. Über solche Angriffe wurden Kundendatenbanken kompletter Onlineshops kopiert, Passwörter ausgelesen und Webseiten verändert. Injection zählt seit Jahren zu den am häufigsten genannten Sicherheitsrisiken für Webanwendungen. Der Aufwand für den Angreifer ist gering, der Schaden für den Betreiber oft enorm.

Mit KI-Assistenten ist ein neues Feld dazugekommen. Ein Sprachmodell unterscheidet ebenfalls nicht sicher zwischen den Anweisungen seines Betreibers und dem Text, den es verarbeiten soll. Ein Payload in einer E-Mail oder auf einer Webseite kann deshalb einen Assistenten dazu bringen, seine eigenen Regeln zu ignorieren.

Wie so ein Textstück gebaut ist

Ein klassischer Payload beginnt damit, aus dem erlaubten Bereich auszubrechen. Bei einer Datenbankabfrage geschieht das mit einem Anführungszeichen, weil dieses Zeichen dort das Ende eines Textwerts markiert. Danach folgt der Teil, der etwas tun soll, etwa das Auslesen einer anderen Tabelle. Zum Schluss steht oft ein Kommentarzeichen, das den ursprünglichen Rest des Befehls unschädlich macht. Der Aufbau ist also immer derselbe: ausbrechen, anweisen, aufräumen.

Man kann sich das wie einen gefälschten Zettel in einer Poststelle vorstellen. Der Bote soll nur Briefe transportieren, liest aber jeden Zettel als Auftrag. Wer geschickt formuliert, lässt sich Pakete an eine fremde Adresse schicken. Das Problem liegt nicht am Papier, sondern daran, dass der Bote Inhalt und Auftrag verwechselt.

Bei Prompt Injection gegen KI-Modelle besteht der Payload aus normaler Sprache. Typisch sind Formulierungen wie „Ignoriere alle vorherigen Anweisungen“, gefolgt von einem neuen Auftrag. Solche Payloads können auch versteckt sein, etwa als weiße Schrift auf weißem Grund in einem Dokument. Der Mensch sieht nichts, das Modell liest den Text trotzdem.

Von Sicherheitsmeldungen bis zum Chatbot im Browser

In Nachrichten über Datenlecks tauchen Injection-Payloads regelmäßig auf, meist unter Stichworten wie SQL-Injection oder Cross-Site-Scripting. Sicherheitsforscher veröffentlichen ganze Sammlungen solcher Textstücke, damit Entwickler ihre Software damit testen können. Das ist erlaubt und sinnvoll, solange man nur eigene Systeme prüft. Wer fremde Seiten damit angreift, macht sich strafbar.

Im Alltag begegnet man dem Thema vor allem indirekt. Wenn ein Anmeldeformular bestimmte Zeichen ablehnt, steckt oft ein Schutz gegen solche Angriffe dahinter. Der eigentlich saubere Weg ist ein anderer: Die Anwendung übergibt Nutzereingaben getrennt vom Befehl, sodass sie nie als Anweisung gelesen werden können. Bei Datenbanken heißt diese Technik Prepared Statements.

Bei KI-Produkten ist das Problem noch ungelöst. KI-Assistenten, die Webseiten lesen oder E-Mails beantworten, gelten deshalb als angreifbar. Ein häufiger Irrtum ist, ein Filter für verbotene Wörter genüge. Payloads lassen sich umformulieren, übersetzen oder in Bildern verstecken, weshalb Anbieter zusätzlich die Rechte des Assistenten begrenzen.