Die Analyse stützt sich auf einen Teil des Common-Crawl-Korpus von Oktober 2025 mit der ID CC-MAIN-2025-43. Die Forscher filterten die Daten zunächst mit 3.963 verschiedenen Prompt-Injection-Indikatoren und validierten die Treffer anschließend manuell. Die Datenerhebung dauerte etwa vier Wochen auf 50 parallelen Workern. Die Studie bezeichnet sich selbst als eine der ersten groß angelegten empirischen Analysen indirekter Prompt-Injections in Webseiten und HTTP-Antworten. Darüber berichten Arxiv und aws.amazon.com.

Common Crawl lieferte mit 12.075 die Mehrheit der bestätigten Instanzen, mit durchschnittlich 42 Injektionen pro betroffener Domain. Die Verteilung über Hosts ist ungleich: Ein kleiner Teil der Hosts vereint eine unverhältnismäßig große Zahl von Instanzen, mit maximal 2.180 pro Host. Auf Seitenebene bleiben die Injektionen dagegen meist isoliert: 83 Prozent der Seiten enthielten nur eine einzige Injektionsinstanz. Die Forscher fanden zudem eine hohe Konzentration bei den Vorlagen: 54 Prompt-Vorlagen entfallen auf 95 Prozent aller Fälle. Die häufigste Vorlage allein erscheint in 3.504 Injektionen auf 2.722 Seiten. Dem steht ein langer Schwanz gegenüber: 144 Vorlagen erschienen nur ein einziges Mal.

Trotz dieser Vielfalt liegt den meisten Fällen laut Studie ein gemeinsamer Mechanismus zugrunde: 99 Prozent der Injektionen versuchen, die Aufgabe direkt zu überschreiben, oft verstärkt durch Jailbreak-Sprache (43 Prozent). Die Injektionen richten sich gegen Systeme wie Crawler, Suchpipelines, Kundensupport-Agenten und Einstellungs-Workflows. Die Studie ordnet die Ziele in die Kategorien Reputationsmanipulation, Datenschutz und KI-Bot-Erkennung ein. Ein zentraler Befund: Die meisten Anweisungen zielen auf Maschinen statt auf Menschen, etwa 70 Prozent erscheinen in nicht gerendertem HTML wie Headern, Kommentaren oder Metadaten.

Um das praktische Risiko einzuschätzen, führten die Forscher 5.200 kontrollierte Experimente mit 13 Modellen und vier Webseiten-Darstellungen durch. Die Befolgung der eingebetteten Anweisungen war begrenzt, aber nicht vernachlässigbar und erreichte bei kleineren Modellen mit Klartext-Eingaben bis zu 8 Prozent. Strukturierte Darstellungen senken die Befolgungsrate, weil sie strukturelle Hinweise erhalten.

Der AWS Security Blog erklärt, dass eine indirekte Prompt-Injection auftritt, wenn ein LLM Eingaben aus externen Quellen wie Webseiten oder Dateien akzeptiert. Die Inhalte können Daten enthalten, die bei der Interpretation durch das Modell dessen Verhalten auf unbeabsichtigte oder unerwartete Weise verändern. AWS unterscheidet zwei Hauptarten: direkte und indirekte Prompt-Injections. Bei einer direkten Variante fügen Angreifer ausdrücklich Befehle ein, die die ursprüngliche Programmierung des Modells außer Kraft setzen sollen, oft mit Direktiven wie „Ignore previous instructions“.

AWS beschreibt als Beispiel ein Szenario, in dem ein Nutzer ein Dokument mit dem Titel „Employee Handbook Supplement“ in das Dokumentenmanagementsystem eines Unternehmens hochlädt. Das Dokument enthält am Ende versteckten Text in weißer Schrift auf weißem Hintergrund, der das Modell anweist, in einen Debug-Modus zu wechseln und Datenschutzanweisungen zu ignorieren. Ruft ein Mitarbeiter später den HR-Chatbot ab, verarbeitet dieser das Dokument als Teil seiner Wissensbasis, was möglicherweise zur Offenlegung vertraulicher Gehaltsinformationen führt. AWS zufolge erfordert der Schutz vor Prompt-Injections einen mehrschichtigen Ansatz aus technischen Kontrollen, sorgfältigem Systemdesign und fortlaufender Wachsamkeit. Zu den empfohlenen Maßnahmen zählen Content-Moderation, sicheres Prompt-Engineering, Zugriffskontrolle sowie fortlaufende Überwachung und Tests.

Prompt-Templates können das Risiko mindern, ähnlich wie parametrisierte Abfragen SQL-Injections in Webanwendungen mindern, indem sie Prompts mit festgelegten Slots für Benutzervariablen strukturieren. System-Prompts können das Verhalten von Modellen einschränken, doch AWS weist darauf hin, dass sie keine absolute Kontrolle bieten und das Modell gelegentlich von den Anweisungen abweichen kann. Das OWASP Top 10 für Large-Language-Model-Anwendungen führt Prompt-Injections als eines der größten Risiken für KI-gestützte Systeme.