Gespeicherte Prompt Injection
Bei der gespeicherten Prompt Injection liegt der Payload dauerhaft in einem Datenspeicher und wirkt bei jedem erneuten Abruf. Das Muster entspricht dem Stored Cross-Site-Scripting: Ein einmaliges Einschleusen trifft alle späteren Nutzer.
Der Begriff gehört zum Themenfeld Prompt Injection und LLM-Sicherheit. Das vollständige Nachschlagewerk mit 82 Einträgen steht im Glossar. Unmittelbar benachbart sind Indirekte Prompt Injection, Vektordatenbank, Kontextvergiftung.
Bezug zu Prompt Injection
Der Payload überlebt Sitzungen, Neustarts und Modellwechsel, weil er nicht im Prompt liegt, sondern im Datenbestand. Betroffen sind vor allem Systeme mit Gedächtnis — Chat-Memory, Notizspeicher, CRM-Felder, Vektorindizes. Die Bereinigung ist entsprechend aufwendig: Den Kontext zu leeren genügt nicht, der Speicher selbst muss geprüft werden. Praktisch heißt das, Inhalte bereits beim Schreiben zu prüfen und ihre Herkunft festzuhalten — sonst bleibt nach einem Fund unklar, wie viele Datensätze noch betroffen sind.
Beispiel
Ein Text in einem CRM-Feld weist den Assistenten an, bei jeder Zusammenfassung dieses Datensatzes eine bestimmte Telefonnummer als Kontakt auszugeben.
Wo der Begriff auftaucht
- Indirekte Prompt Injection — Die Anweisung stammt nicht vom Nutzer, sondern aus Inhalten, die das System selbst lädt — Webseiten, Dokumente, E-Mails. Der Angreifer muss nie mit…
- Gespeicherte Prompt Injection — Die Anweisung wird dauerhaft in einem Datenspeicher abgelegt — Vektordatenbank, Wissensbasis, Profilfeld — und wirkt bei jedem künftigen Abruf…
- RAG-Vergiftung — Präparierte Dokumente werden so gestaltet, dass sie für bestimmte Nutzerfragen sicher in die Top-Treffer der Vektorsuche gelangen und dort ihre…
Verwandte Begriffe
- Indirekte Prompt Injection — Bei der indirekten Prompt Injection stammt die Anweisung aus Inhalten, die das System selbst abruft — Webseiten, Dokumenten…
- Vektordatenbank — Eine Vektordatenbank speichert Texte als numerische Einbettungen und findet inhaltlich ähnliche Passagen über Abstandsmaße. Ohne…
- Kontextvergiftung — Bei der Kontextvergiftung wird der Gesprächs- oder Datenkontext schrittweise mit Inhalten angereichert, die spätere Antworten in…
Quellen
- Gespeicherte Prompt Injection — Beleg: https://genai.owasp.org/llmrisk/llm01-prompt-injection/