Heise hat ein Interview veröffentlicht, in dem Google erklärt, wie es seine KI-Agenten vor Prompt-Injection schützt.
Prompt-Injection – versteckte Anweisungen im Material, das ein Agent liest – gilt als das schwerste Sicherheitsproblem im Agenten-Stack, weil das Modell Daten und Befehle zuverlässig nicht unterscheiden kann. Ein Agent, der Mails liest, Dateien durchsucht oder Tools aufruft, führt eine eingeschleusste Zeile genauso aus wie eine echte Aufgabe.
Bemerkenswert am Interview ist, dass Google Verteidigungen für tatsächlich ausgelieferte Agenten beschreibt, nicht eine Forschungs-Wunschliste. Der Schwerpunkt liegt auf Schichten statt auf einem einzelnen Filter: vertrauenswürdige Anweisungen von unvertraulichem Inhalt trennen, den Tool-Zugriff eines Agenten auf das Nötigste begrenzen, Ausgaben prüfen, bevor sie nach außen wirken, und kritische Schritte menschlich absegnen zu lassen.
Der Kontext: Agentensicherheit ist von der Theorie in die Beschaffung gewechselt. Wer Agenten einsetzt, die Mails lesen, Datenbanken abfragen oder Geld ausgeben, will vor der Unterschrift eine Antwort auf Injection. Ein vollständigen technischen Fix gibt es nicht – offen bleibt, welchen Schaden eine eingeschleusste Anweisung maximal anrichten kann. Googles Einordnung, wo die eigenen Grenzen liegen, ist damit brauchbares Material für alle, die Agentensysteme bauen, betreiben oder einkaufen.
