Prompt Injection: Die unterschätzte Bedrohung für Agentic AI
Prompt Injection-Attacken dominieren weiterhin die Sicherheitsprobleme von Agentic-AI-Systemen in der Produktion. Das zeigt die aktuelle OWASP GenAI Security Project: State of Agentic AI Security and Governance. Das Problem ist nicht neu, aber mit der zunehmenden Verbreitung autonomer AI-Agenten wird es zur kritischen Infrastruktur-Frage.
Der PyPI-Vorfall zeigt die Realität
Ein konkretes Beispiel illustriert die Dringlichkeit: Im März 2026 befand sich ein Backdoor auf PyPI für drei Stunden online. In diesem kurzen Zeitfenster wurden fast 47.000 Downloads durchgeführt. Das Ziel: LiteLLM, ein kritisches Language-Model-Gateway, das als Backbone für CrewAI, DSPy, Microsoft GraphRAG und Dutzende weiterer AI-Agent-Frameworks fungiert.
Wer während dieses Fensters ein Update durchführte, holte sich unwissentlich hackerbot-claw – einen autonomen Attack-Bot – ins System. Die Implikationen sind erheblich: Ein kompromittiertes Gateway bedeutet potenziell Zugriff auf alle abhängigen Systeme.
Warum Prompt Injection so gefährlich ist
Bei Agentic AI ist Prompt Injection besonders kritisch, weil die Agenten eigenständig Entscheidungen treffen und Aktionen ausführen. Ein Angreifer kann durch geschickt formulierte Eingaben den Intent des Agenten manipulieren – ohne dabei den Code zu verändern. Der Agent führt Befehle aus, die ihm durch verdrehte Prompts injiziert wurden.
Das macht Prompt Injection schwer zu erkennen und noch schwerer zu verhindern. Es braucht keine Exploit-Techniken wie SQL-Injection – nur Textverarbeitung und ein gutes Verständnis für Prompt-Verarbeitung.
Governance ist nicht optional
Der OWASP-Report unterstreicht: Sicherheit bei Agentic AI ist ein Governance-Problem, nicht nur ein technisches. Es genügt nicht, einzelne Modelle abzusichern. Ganze Supply Chains – von der Entwicklung über Dependencies bis zur Deployment-Pipeline – müssen betrachtet werden.
Unternehmen, die Agentic AI produktiv einsetzen, sollten:
- Input-Validierung ernst nehmen – Prompts müssen gefiltert und normalisiert werden
- Abhängigkeiten monitoren – Backdoors in kritischen Paketen erfordern schnelle Detection
- Least-Privilege-Prinzipien implementieren – Agenten sollten nur auf notwendige Ressourcen zugreifen
- Audit Logging für alle Agent-Aktionen etablieren
Die PyPI-Backdoor war nur drei Stunden aktiv – und zog dennoch Tausende Systeme in Mitleidenschaft. Mit automatisierten, autonomen Agenten sind die Konsequenzen kompromittierter Systeme potenziell um ein Vielfaches höher.