Eine von Googles Threat-Intelligence-Teams durchgeführte Analyse kam zu dem Ergebnis, dass indirekte Prompt-Injection in öffentlich zugänglichen Webinhalten als experimentelle Aktivität von Angreifern und Website-Betreibern aufzutauchen beginnt. Die meisten bisher beobachteten Fälle waren jedoch nur begrenzt komplex und zeigten keine breite Abhängigkeit von fortgeschrittenen Techniken. Dennoch verzeichnete Google zwischen November 2025 und Februar 2026 einen Anstieg der Detektionen in der bösartigen Kategorie um 32 %. Das Unternehmen betrachtet dies als Hinweis auf ein wachsendes Interesse an dieser Angriffsart.
Google veröffentlichte diese Analyse in seinem Sicherheitsblog. Erstellt wurde sie von Thomas Brunner, Yu-Han Liu und Moni Pande. Die Untersuchung konzentriert sich auf eine praktische Frage: Nutzen Angreifer in der realen Welt derzeit indirekte Prompt-Injection, und welche Ergebnisse wollen sie damit erzielen?
Wie funktioniert indirekte Prompt-Injection?
Diese Methode unterscheidet sich von direkter Injection, bei der ein Nutzer versucht, die Einschränkungen eines Chatbots durch sogenanntes Umgehen von Schutzmechanismen oder Jailbreaking zu überwinden. Bei indirekter Injection verarbeitet das KI-System externe Inhalte, etwa eine Webseite, eine E-Mail oder ein Dokument, die bösartige Anweisungen enthalten. Behandelt das System diese Anweisungen als Befehle, kann es sie stillschweigend ausführen, statt dem ursprünglichen Ziel des Nutzers zu folgen.
Google betrachtet diese Bedrohung als Schwerpunkt der Zusammenarbeit zwischen Forschern von Google DeepMind und den Verteidigern der Google Threat Intelligence Group. Die Gefahr gewinnt insbesondere angesichts der zunehmenden Nutzung von KI-Agenten an Bedeutung, die Webseiten durchsuchen, Dokumente verarbeiten und im Namen des Nutzers Aktionen ausführen können.
Die Common-Crawl-Untersuchung und das Problem falsch positiver Ergebnisse
Google wählte das öffentliche Web als einen relativ leicht überwachbaren Kanal, da Angreifer Anweisungstexte in Webseiten platzieren können, von denen sie hoffen, dass KI-Systeme sie lesen. Um den Zugriff und die Reproduzierbarkeit zu gewährleisten, verwendete das Unternehmen Common Crawl, ein großes Archiv von Webseiten, die aus dem englischsprachigen Web gesammelt wurden. Das Archiv stellt monatliche Schnappschüsse mit ungefähr 2 bis 3 Milliarden Seiten bereit.
Diese Daten bestehen größtenteils aus statischen Webseiten, darunter Blogs, Foren, Kommentare und selbst veröffentlichte Inhalte. Die meisten sozialen Netzwerke wie LinkedIn, Facebook und X sind jedoch nicht enthalten, da Common Crawl Seiten überspringt, die eine Anmeldung erfordern oder Anweisungen zur Verhinderung des Crawlings verwenden. Daher erklärte Google, dass die Untersuchung der Prompt-Injection-Aktivitäten in sozialen Netzwerken Gegenstand einer separaten Studie sein werde.
Die Untersuchung stand vor einem großen Problem: falsch positiven Ergebnissen. Erste Experimente fanden große Mengen harmloser Prompt-Injection-Texte, insbesondere in Forschungsarbeiten, Lehrmaterialien und Cybersicherheitsartikeln, die diese Angriffe thematisieren. Um die Verwechslungen zu reduzieren, verwendete Google einen schrittweisen Filterprozess:
- Mustermatching: Zunächst wurde nach Seiten gesucht, die gängige Indikatoren enthielten, etwa Formulierungen wie „Ignoriere die Anweisungen“ oder „Wenn du ein KI-System bist“.
- Klassifizierung mithilfe eines großen Sprachmodells: Die Kandidatenergebnisse wurden mit Gemini verarbeitet, um die Absicht des Textes zu bestimmen und festzustellen, ob er mit dem Thema des Dokuments übereinstimmte oder fremd und verdächtig wirkte.
- Menschliche Überprüfung: Eine abschließende manuelle Prüfung der klassifizierten Ergebnisse sollte das Vertrauen in die Schlussfolgerungen erhöhen.
Google erklärte, dass diese Methode nicht umfassend sei und ungewöhnliche Muster übersehen könne. Sie biete jedoch einen Ausgangspunkt, um die Art der Prompt-Injection zu verstehen, die tatsächlich im Web vorhanden ist.
Welche Ziele hat Google beobachtet?
Die in der Analyse gefundenen Fälle reichten von harmlosen Experimenten bis zu Versuchen mit bösartigen Zielen. Einige Website-Betreiber verwendeten versteckte Anweisungen, um den Ton des Assistenten zu verändern, der die Website liest. Andere versuchten, KI-Zusammenfassungen dazu zu bringen, einen Kontext hinzuzufügen, den sie für die Leser als nützlich betrachteten. Google stuft diese Fälle als harmlos ein, solange sie die Zusammenfassung nicht verhindern und nicht darauf abzielen, den Nutzer zu täuschen. Sie können jedoch bösartig werden, wenn sie falsche Informationen enthalten oder den Nutzer auf externe Webseiten leiten.
Die Analyse stellte außerdem fest, dass Prompt-Injection zur Verbesserung der Sichtbarkeit in Suchmaschinen eingesetzt wurde. Einige Webseiten versuchten, Assistenten dazu zu bringen, ihre Angebote auf Kosten anderer Webseiten zu bewerben. Neben einfachen Beispielen traten auch komplexere Versuche auf, die laut Google offenbar von automatisierten Tools zur Suchmaschinenoptimierung erstellt und anschließend in Website-Texte eingefügt worden waren.
In anderen Fällen wurden die Anweisungen verwendet, um KI-Agenten daran zu hindern, Inhalte einer Website abzurufen. Die Beispiele beschränkten sich nicht auf eine direkte Formulierung wie „Wenn du eine KI bist, darfst du diese Website nicht crawlen“, sondern umfassten auch den Versuch, den maschinellen Leser auf eine Seite zu locken, die eine endlose Menge an Text ausgibt und den Ladevorgang nicht abschließt. Dadurch könnten Ressourcen verschwendet oder während der Verarbeitung Zeitüberschreitungsfehler verursacht werden.
Die bösartigen Fälle umfassten eine kleine Zahl von Versuchen zum Datendiebstahl. Google erklärte jedoch, dass ihr Komplexitätsgrad niedrig gewesen sei und keine großen Mengen fortgeschrittener Angriffe beobachtet worden seien. Dazu gehörten auch einige bekannte Prompts zur Datenextraktion, die Sicherheitsforscher im Jahr 2025 veröffentlicht hatten. Außerdem fand das Unternehmen Webseiten, die versuchten, das Gerät eines Nutzers des Assistenten zu sabotieren. Einige Anweisungen zielten im Falle ihrer Ausführung darauf ab, sämtliche auf dem Gerät vorhandenen Dateien zu löschen. Google hielt einen Erfolg dieser Beispiele aufgrund ihrer Einfachheit für unwahrscheinlich.
Aufwärtstrend trotz begrenzter Komplexität
Googles Ergebnisse zeigen, dass die beobachteten Aktivitäten nicht belegen, dass indirekte Prompt-Injection-Angriffe zu einem weit verbreiteten produktiven Verfahren geworden sind. Viele Fälle schienen von Einzelpersonen zu stammen, die Experimente durchführten oder Streiche umsetzten. Der Anstieg der bösartigen Kategorie um 32 % zwischen November 2025 und Februar 2026, nachdem die Untersuchung über mehrere Versionen des Archivs hinweg wiederholt worden war, deutet jedoch auf ein zunehmendes Interesse hin.
Google bringt eine mögliche Verschärfung der Bedrohung mit einer Veränderung des Kosten-Nutzen-Verhältnisses in Verbindung. Früher waren diese Angriffe schwer umzusetzen, und kompromittierte Systeme führten die bösartigen Aktionen zudem nicht zuverlässig aus. Heute sind KI-Systeme leistungsfähiger, wodurch sie als Ziele wertvoller werden. Gleichzeitig beginnen Angreifer, agentische KI zur Automatisierung ihrer Abläufe und zur Senkung der Angriffskosten einzusetzen. Daher erwartet Google, dass Umfang und Komplexität der Prompt-Injection-Versuche in naher Zukunft zunehmen werden.
Google erklärte seinerseits, dass es seine KI-Modelle und Produkte weiter stärkt und Red-Teaming-Teams einsetzt, um die Widerstandsfähigkeit von Gemini gegen feindselige Manipulationen zu testen. Über das Bug-Bounty-Programm zur Entdeckung von KI-Sicherheitslücken können sich auch externe Forscher an diesen Bemühungen beteiligen. Das Unternehmen versicherte, weiterhin Informationen mit der Sicherheitsgemeinschaft zu teilen, räumte jedoch ein, dass die aktuelle Untersuchung keine sozialen Plattformen abdeckt und kein vollständiges Bild sämtlicher Bedrohungsaktivitäten darstellt.