Sicherheit · Mail ist kein Befehl
Eine Mail ist kein Befehl, auch bei Prompt Injection
Was passiert, wenn eine eingehende Mail den Agenten absichtlich in die Irre führen soll? Etwa eine Nachricht, die dem Agenten vorschreibt, was er als Nächstes tun soll?
So funktioniert es
Alles, was in einer eingehenden Mail steht, ist für das System schlicht Information. Nicht mehr. Klingt etwas wie eine Anweisung, ändert das nichts daran: Der Agent liest den Text, arbeitet damit, aber er folgt ihm nicht als Befehl.
Das Sicherheitskritische sitzt in festen Schaltern im Programm, etwa dem Sende-Schalter, nicht im Text, den das Sprachmodell zu Gesicht bekommt. Auf Deutsch: Regeln, die zählen, stehen im Code, nicht im Prompt. Eine präparierte Mail kann diese Schalter nicht erreichen, weil sie gar keinen Weg dorthin hat.
Dasselbe gilt für Recherche-Werkzeuge, die der Agent nach außen einsetzt. Auch dort ist eingezäunt, wohin Anfragen gehen dürfen. Ein manipulierter Link in einer Mail kann das Werkzeug nicht auf interne oder versteckte Adressen umlenken.
Das Prinzip dahinter ist alt und bewährt: Daten und Befehle werden getrennt. Was aus einer unbekannten Quelle kommt, bekommt keine Befehlsgewalt, egal wie es formuliert ist.
Was heute schon läuft
- Versucht eine eingehende Mail, den Agenten umzuprogrammieren oder seine Regeln zu überschreiben, ist das Postfach so gebaut, dass es dem nicht folgt. Sie wird wie jede andere Mail behandelt: gelesen, eingeordnet, weiterbearbeitet oder als Entwurf vorgelegt.
- Recherche-Werkzeuge sind eingezäunt. Externe Abfragen können nicht auf interne Adressen oder versteckte Dienste umgelenkt werden.
Kurz gesagt
Eine Mail ist Post, kein Schlüsselbund. Sie kann den Agenten informieren, aber nicht steuern. Wer Ihnen eine präparierte Nachricht schickt, kommt damit nicht weiter. Wie Ihr Postfach insgesamt abgesichert ist, beschreibt die Sicherheits-Übersicht.