Ein KI-Agent öffnet eine Webseite, liest eine E-Mail oder durchsucht ein GitHub-Repository, und irgendwo in diesem Text steckt ein Befehl, den niemand autorisiert hat. Genau das ist Prompt Injection, und 2026 ist daraus kein theoretisches Problem mehr geworden, sondern eine der am besten dokumentierten Schwachstellen im gesamten KI-Betrieb. Drei aktuelle Forschungsarbeiten liefern inzwischen harte Zahlen dazu, wie anfällig die derzeit meistgenutzten Sprachmodelle wirklich sind: GPT-5.6 von OpenAI, Claude Opus 5 und Sonnet 5 von Anthropic sowie Googles Gemini-4-Argon-Generation. Die Ergebnisse reichen von einer Angriffserfolgsquote von 0,3 Prozent bei kleineren Modellen bis zu erschreckenden 58 Prozent bei realistischen, adaptiven Angriffen gegen GPT-4o und GPT-5 mini.

Dieser Vergleich stützt sich auf drei unabhängige Benchmark-Studien aus den vergangenen Monaten: BrowseSafe-Bench mit 14.719 annotierten Beispielen für Browser-Agenten, AutoDojo mit dynamisch generierten Angriffen gegen mehrere Modellfamilien und LLMail-Inject mit 208.095 Testfällen gegen E-Mail-Agenten. Wer heute einen KI-Agenten mit Zugriff auf externe Inhalte baut, sei es ein Browser-Bot, ein Coding-Assistent oder ein E-Mail-Automat, muss wissen, welches Modell welchem Angriffstyp wie gut standhält. Genau diese Datenlage liefert dieser Artikel, inklusive Preisvergleich, Praxisbeispielen und einem klaren Migrationsleitfaden für sicherere Architekturen.

Was ist Prompt Injection? Direkte und indirekte Angriffe erklärt

Prompt Injection bezeichnet eine Angriffstechnik, bei der ein Täter einem Sprachmodell über manipulierte Eingaben Anweisungen unterschiebt, die der ursprüngliche Systemauftrag nicht vorsieht. Der Entwickler und KI-Forscher Simon Willison prägte den Begriff bereits 2022, und seine fortlaufend aktualisierte Sammlung von Fallbeispielen gilt in der Branche nach wie vor als zentrale Referenz für neue Angriffsmuster. Grundsätzlich unterscheidet man zwei Varianten: Bei der direkten Prompt Injection gibt der Angreifer die manipulative Eingabe selbst in den Chat ein, etwa um ein Sicherheitsfilter zu umgehen. Bei der indirekten Prompt Injection, die für Agenten-Systeme deutlich gefährlicher ist, versteckt der Angreifer die Anweisung in einer dritten Datenquelle, die das Modell später verarbeitet: eine Webseite, eine E-Mail, ein Dokument oder ein Code-Kommentar.

Der Unterschied zu einem klassischen Jailbreak liegt im Ziel. Ein Jailbreak versucht, das Modell selbst dazu zu bringen, gegen seine eigenen Sicherheitsrichtlinien zu verstoßen. Eine Prompt Injection missbraucht dagegen das Vertrauen, das ein Agent in externe Daten setzt, um ihn zu einer Handlung zu bewegen, die der eigentliche Nutzer nie angefordert hat. Ein ausführlicher Leitfaden des Sicherheitsanbieters Sysdig beschreibt diesen Unterschied als entscheidend für die Risikobewertung von Unternehmen, weil indirekte Angriffe oft nicht von menschlichen Prüfern bemerkt werden, bevor ein Agent bereits gehandelt hat. Genau hier entsteht das Kernproblem: Je mehr Autonomie ein KI-System bekommt, also je mehr es selbstständig E-Mails verschickt, Code committet oder Käufe tätigt, desto größer wird die Angriffsfläche für diese Technik.

Die Forschung unterscheidet mittlerweile auch nach Sichtbarkeit des Angriffs. Hidden Injection versteckt die bösartige Anweisung in Metadaten, unsichtbarem Text oder HTML-Kommentaren, die ein Mensch beim Betrachten der Seite nie sehen würde. Visible-Content-Manipulation dagegen verändert sichtbaren Text so, dass er für einen Menschen plausibel wirkt, aber das Modell zu einer ungewollten Handlung verleitet. Genau diese zweite Kategorie erwies sich in aktuellen Tests als deutlich gefährlicher, dazu gleich mehr im Abschnitt zu BrowseSafe-Bench.

Die Testkandidaten: GPT-5.6, Claude Opus 5, Sonnet 5 und Gemini 4 Argon

Für diesen Vergleich stehen die aktuell verfügbaren Flaggschiff-Modelle der drei großen Anbieter im Zentrum. OpenAI brachte GPT-5.6 am 9. Juli 2026 heraus und bietet es in drei Leistungsstufen an: Sol als leistungsstärkste Variante, Terra als Mittelklasse-Option und Luna als günstigste Stufe für einfache Aufgaben. Laut OpenAI wurde GPT-5.6 mit einem internen Verfahren namens GPT-Red adversarial trainiert, speziell um die Widerstandsfähigkeit gegen Prompt Injection zu verbessern.

Anthropic zog mit zwei neuen Modellen nach: Claude Sonnet 5 erschien am 30. Juni 2026, Claude Opus 5 folgte am 24. Juli 2026. Beide verfügen über ein Kontextfenster von einer Million Token. Anthropic berichtete in einer eigenen Auswertung im sogenannten Auto-Modus, dass die neue Modellgeneration alle 720 getesteten Angriffsversuche abwehrte. Wichtig für die Einordnung: Diese Zahl stammt aus einer herstellereigenen Testreihe mit einem anderen Angriffskatalog als die unabhängigen Studien BrowseSafe-Bench, AutoDojo und LLMail-Inject, die Modelle anderer Generationen untersuchten. Ein direkter Eins-zu-eins-Vergleich der Prozentzahlen ist deshalb nicht seriös möglich, beide Datensätze werden in diesem Artikel getrennt ausgewiesen.

Google komplettiert das Trio mit der Gemini-4-Argon-Linie, dem aktuellen Flaggschiff-Modell mit einem Kontextfenster von 1.048.576 Token. Ältere Modelle wie Gemini 2.5 Flash bleiben zwar über die API weiterhin erreichbar, Google empfiehlt für neue Projekte aber ausdrücklich die aktuelle Generation. Das ist bei diesem Vergleich relevant, weil die unabhängigen akademischen Studien zum Zeitpunkt ihrer Veröffentlichung noch Gemini 2.5 Flash getestet haben, nicht die neuere Argon-Generation. Dieser Artikel macht diesen Unterschied an jeder Stelle transparent, statt Ergebnisse unterschiedlicher Modellgenerationen zu vermischen.

Neben den drei Großmodellen spielen zwei spezialisierte Schutzsysteme eine wachsende Rolle: PromptGuard-2 von Meta, ein offener Klassifikator in den Größen 22 Millionen und 86 Millionen Parameter, sowie gpt-oss-safeguard von OpenAI mit 20 beziehungsweise 120 Milliarden Parametern. Beide sind keine Alternativen zu den großen Modellen, sondern Zusatzschichten, die verdächtige Eingaben erkennen sollen, bevor sie das Hauptmodell überhaupt erreichen.

Technische Daten im Vergleich

Die folgende Tabelle fasst die wichtigsten technischen Eckdaten der aktuellen Flaggschiff-Modelle zusammen, ergänzt um die Angaben zu Prompt-Injection-relevanten Eigenschaften.

MerkmalGPT-5.6 (Sol)Claude Opus 5Claude Sonnet 5Gemini 4 Argon
HerstellerOpenAIAnthropicAnthropicGoogle
Marktstart9. Juli 202624. Juli 202630. Juni 2026Herbst 2026
Kontextfenstervom Hersteller nicht offiziell beziffert1.000.000 Token1.000.000 Token1.048.576 Token
Preis Input je 1 Mio. Token5 $5 $2 $2 $ (bis 30.11.2026)
Preis Output je 1 Mio. Token30 $25 $10 $10 $ (bis 30.11.2026)
Günstigere ModellstufenTerra, Lunakeine separate Stufekeine separate StufeFlash-Reihe parallel verfügbar
Herstellerangabe zu Injection-TrainingGPT-Red adversariales Training720 von 720 Angriffen im Auto-Modus abgewehrt (Herstellertest)gleiche Modellfamilie wie Opus 5keine öffentliche Injection-Kennzahl für Argon
In unabhängigen Studien getestetes GeschwistermodellGPT-4o-mini, GPT-4o, GPT-5 mininicht in AutoDojo/LLMail-Inject enthaltennicht in AutoDojo/LLMail-Inject enthaltenGemini 2.5 Flash (Vorgängergeneration)
Angriffserfolg AutoDojo, statisch → dynamisch2,6 % → 6,4 % (GPT-4o-mini)n. v.n. v.3,9 % → 9,0 % (2.5 Flash)
Kompatible externe Schutzklassifikatorengpt-oss-safeguardPromptGuard-2PromptGuard-2PromptGuard-2
Agenten- und Tool-Nutzungjajajaja
Multimodale Eingabejajajaja

Auffällig ist die Lücke in der Zeile zum Kontextfenster: Während Anthropic und Google exakte Zahlen veröffentlichen, nennt OpenAI für GPT-5.6 keinen einheitlichen Wert, sondern unterscheidet zwischen Kurz- und Langkontext-Tarifen. Für Unternehmen, die Agenten mit großen Dokumentenmengen füttern, ist diese Unschärfe bei der Budgetplanung relevant, weil sich die Kosten pro Anfrage dadurch schwerer vorhersagen lassen als bei der Konkurrenz.

BrowseSafe-Bench: Die größte Studie zu Prompt Injection bei Browser-Agenten

Die bisher umfangreichste unabhängige Untersuchung zu diesem Thema stammt aus der BrowseSafe-Studie, die speziell Browser-Agenten unter die Lupe nimmt, also KI-Systeme, die eigenständig Webseiten besuchen, Formulare ausfüllen oder Informationen zusammenfassen. Das Forschungsteam baute dafür einen Datensatz mit 14.719 annotierten Beispielen auf und testete damit mehr als 20 offene und geschlossene Modelle, darunter GPT-5 und Claude Sonnet 4.5 sowie die beiden spezialisierten Klassifikatoren PromptGuard-2 und gpt-oss-safeguard.

Drei Ergebnisse stechen heraus. Erstens senkten realistische Ablenkungselemente, also Text, der absichtlich harmlos wirkt, die Erkennungsgenauigkeit der Modelle um rund 10 Prozentpunkte. Zweitens, und das ist die wichtigste praktische Erkenntnis der Studie, umging sichtbare Inhaltsmanipulation die Erkennung fast doppelt so häufig wie versteckte Injection. Angreifer müssen ihre Anweisung also nicht länger in unsichtbarem Code verstecken, ein geschickt formulierter, für Menschen plausibel aussehender Satz auf einer Webseite reicht oft schon aus, um einen Agenten zu täuschen. Drittens erwiesen sich mehrsprachige Angriffe als die mit Abstand schwierigste Kategorie für sämtliche getesteten Modelle, unabhängig vom Hersteller.

Bemerkenswert ist zudem, dass allgemeine Reasoning-Modelle in dieser Studie besser abschnitten als spezialisierte Sicherheitsklassifikatoren, wenn man sie einzeln betrachtet. Ein auf echten Angriffsdaten feinabgestimmtes Modell übertraf am Ende sogar sämtliche getesteten Frontier-Modelle. Die größte Herausforderung für alle Systeme blieb laut den Forschern die Neuheit der Angriffsstrategie: Bekannte Angriffsmuster erkannten die Modelle zuverlässig, komplett neue Taktiken dagegen deutlich schlechter. Am Ende kombinierte das Team mehrere Erkennungsschichten zu einer mehrstufigen Verteidigung, die einen F1-Score von bis zu 0,904 erreichte, und das bei einer Latenz von unter einer Sekunde, was für den praktischen Einsatz in Produktivsystemen entscheidend ist.

AutoDojo: Dynamische Angriffe gegen GPT-4o-mini, Gemini 2.5 Flash und Claude Haiku 4.5

Während BrowseSafe-Bench einen statischen Datensatz verwendet, geht die AutoDojo-Studie einen anderen Weg: Sie generiert Angriffe dynamisch und passt sie automatisiert an das Zielmodell an, ähnlich wie ein echter Angreifer es tun würde, der seine Taktik laufend verfeinert. Getestet wurden unter anderem GPT-4o-mini, Gemini 2.5 Flash und Claude Haiku 4.5, drei kleinere, aber in der Praxis sehr verbreitete Modelle aus den jeweiligen Modellfamilien.

Die Zahlen zeigen ein klares Muster: Bei GPT-4o-mini stieg die Erfolgsquote der Angriffe von 2,6 Prozent unter statischen Bedingungen auf 6,4 Prozent unter dynamischen Angriffen, mehr als eine Verdopplung. Bei Gemini 2.5 Flash fiel der Anstieg noch deutlicher aus, von 3,9 auf 9,0 Prozent. Claude Haiku 4.5 schnitt in absoluten Zahlen am besten ab, mit einem Anstieg von 0,3 auf 1,5 Prozent, blieb damit aber nicht gänzlich immun, auch hier verfünffachte sich die Erfolgsquote relativ gesehen unter dynamischen Bedingungen.

Die zentrale Lehre aus AutoDojo lautet deshalb nicht, dass eines dieser drei Modelle sicher ist und die anderen nicht, sondern dass sämtliche getesteten Systeme unter realistischen, sich anpassenden Angriffsbedingungen deutlich schlechter abschneiden als unter den einfacheren, statischen Testbedingungen klassischer Benchmarks. Für IT-Teams bedeutet das: Ein Modell, das in einem internen Sicherheitstest mit festen Beispielsätzen gut abschneidet, kann gegenüber einem Angreifer, der seine Eingaben iterativ anpasst, trotzdem verwundbar bleiben. Statische Tests allein reichen für eine seriöse Risikoeinschätzung nicht aus.

LLMail-Inject: 208.095 Testfälle entlarven Schwächen bei GPT-4o und GPT-5 mini

Die dritte große Datenquelle für diesen Vergleich ist LLMail-Inject, eine Studie mit 208.095 Testfällen, die gezielt E-Mail-Agenten unter die Lupe nimmt, also KI-Systeme, die Postfächer zusammenfassen, Antworten entwerfen oder automatisch Anhänge verarbeiten. Das Ergebnis, dokumentiert in einer Auswertung auf dem Substack-Kanal State AI, ist eines der ernüchterndsten in diesem gesamten Themenfeld: Realistische, adaptive Angriffe besiegten GPT-4o und GPT-5 mini in 47 bis 58 Prozent der Fälle.

Besonders brisant ist der Vergleich zu konventionellen Benchmark-Suiten: Dort lag die Fehlerquote bei denselben Modellen unter 5 Prozent. Diese Diskrepanz von unter 5 Prozent auf bis zu 58 Prozent zeigt, wie stark klassische, statische Prüfverfahren die tatsächliche Gefährdungslage unterschätzen können, sobald ein Angreifer seine Taktik realistisch an das Zielsystem anpasst, statt immer dieselben bekannten Textbausteine zu verwenden. Für Unternehmen, die E-Mail-Automatisierung mit KI-Agenten planen, ist das ein deutliches Warnsignal: Ein Modell allein, egal wie gut es in einer Produktpräsentation abschneidet, bietet ohne zusätzliche Schutzschicht keinen verlässlichen Schutz gegen gezielte E-Mail-basierte Angriffe.

Die Studie unterstreicht damit einen Punkt, den auch die WorkOS-Analyse zur Governance von KI-Agenten betont: Das Risiko hängt stärker von der Angriffsfläche ab, also davon, welche Werkzeuge und Berechtigungen ein Agent besitzt, als vom konkreten Basismodell. Ein E-Mail-Agent mit Schreibzugriff auf das Postfach und die Fähigkeit, eigenständig Anhänge herunterzuladen, bleibt riskant, unabhängig davon, ob darunter GPT-4o, Gemini oder Claude läuft, wenn keine zusätzlichen Kontrollen vorhanden sind.

Benchmark-Ergebnisse im Überblick: Drei Studien im Vergleich

Bevor es um Preise und konkrete Empfehlungen geht, lohnt sich ein kompakter Überblick über die drei Studien, auf denen dieser Vergleich beruht. Jede Studie wählt einen anderen Angriffswinkel, einen anderen Datensatzumfang und eine andere Modellauswahl, weshalb sich die Ergebnisse nicht einfach addieren oder gegeneinander aufrechnen lassen. Trotzdem ergibt die Zusammenschau ein konsistentes Bild: Je realistischer und anpassungsfähiger ein Angriff gestaltet ist, desto höher die Erfolgsquote, unabhängig vom Hersteller.

StudieStichprobengrößeUntersuchter AgententypZentrales Ergebnis
BrowseSafe-Bench14.719 annotierte Beispiele, über 20 Modelle getestetBrowser-AgentenMehrschichtige Verteidigung erreicht F1-Score von 0,904 bei unter einer Sekunde Latenz
AutoDojodynamisch generierte Angriffe gegen drei ModellfamilienAllgemeine Chat- und AgentenmodelleErfolgsquote steigt unter dynamischen Bedingungen um das Zwei- bis Fünffache
LLMail-Inject208.095 TestfälleE-Mail-AgentenAdaptive Angriffe erfolgreich in 47 bis 58 Prozent der Fälle gegen GPT-4o und GPT-5 mini

Ein methodischer Unterschied verdient besondere Beachtung: BrowseSafe-Bench und LLMail-Inject arbeiten mit festen, wenn auch großen und sorgfältig kuratierten Datensätzen, während AutoDojo Angriffe während des Tests aktiv generiert und an das jeweilige Zielmodell anpasst. Dieser Unterschied erklärt teilweise, warum die bei AutoDojo gemessenen Erfolgsquoten in absoluten Zahlen niedriger ausfallen als bei LLMail-Inject, nämlich weil unterschiedliche Modellfamilien, Aufgabenstellungen und Angriffsbudgets zum Einsatz kamen. Für die Praxis zählt trotzdem vor allem die relative Verschlechterung gegenüber statischen Tests, und die fällt in allen drei Studien eindeutig aus: Realistischere Angriffsbedingungen bedeuten durchweg höhere Erfolgsquoten.

Preisvergleich: Was kosten GPT-5.6, Claude Opus 5 und Gemini 4 Argon

Sicherheit kostet Geld, und zwar nicht nur in Form von zusätzlichen Schutzschichten, sondern auch beim Basismodell selbst. Die folgende Tabelle zeigt die aktuellen offiziellen Preise je eine Million Token für alle relevanten Modellstufen sowie die beiden externen Schutzklassifikatoren.

Modell/StufeAnbieterInput je 1 Mio. TokenOutput je 1 Mio. TokenBesonderheit
GPT-5.6 SolOpenAI5 $30 $Flaggschiff-Stufe
GPT-5.6 TerraOpenAI2,50 $15 $Mittelklasse-Stufe
GPT-5.6 LunaOpenAI1 $6 $günstigste Stufe
Claude Opus 5Anthropic5 $25 $höchste Reasoning-Stufe
Claude Sonnet 5Anthropic2 $10 $dauerhaft reduzierter Preis
Gemini 4 Argon (bis 30.11.2026)Google2 $10 $Einführungspreis
Gemini 4 Argon (ab 1.12.2026)Google4 $20 $Regulärpreis, Verdopplung
Gemini 2.5 FlashGoogleweiterhin aktiv, Neuzugänge eingeschränktweiterhin aktiv, Neuzugänge eingeschränktVorgängermodell, in Benchmarks getestet
PromptGuard-2 (22M/86M)Metakostenlos (Open Source, Eigenhosting)kostenlos (Open Source, Eigenhosting)leichtgewichtiger Injection-Klassifikator
gpt-oss-safeguard (20B/120B)OpenAIkostenlos (Open Weight, Eigenhosting)kostenlos (Open Weight, Eigenhosting)spezialisierter Safety-Classifier

Preislich fällt sofort auf, dass Claude Sonnet 5 und Gemini 4 Argon bis zum 30. November 2026 praktisch identisch kosten, jeweils 2 Dollar für Input und 10 Dollar für Output je eine Million Token. Ab dem 1. Dezember 2026 verdoppelt Google die Preise für Gemini 4 Argon auf 4 beziehungsweise 20 Dollar, womit das Modell dann teurer wird als Sonnet 5, aber weiterhin günstiger als Opus 5 oder GPT-5.6 Sol bleibt. Für Teams mit knappem Budget sind die externen Schutzklassifikatoren PromptGuard-2 und gpt-oss-safeguard finanziell attraktiv, weil beide offen lizenziert sind und sich selbst hosten lassen, allerdings fallen dafür eigene Infrastrukturkosten an, die in der Tabelle nicht enthalten sind.

Fünf reale Angriffsszenarien: Von E-Mail-Agenten bis GitHub-Workflows

Die akademische Forschung der vergangenen Monate hat mehrere konkrete Angriffsmuster dokumentiert, die in der Praxis bereits auftreten oder in kontrollierten Studien nachgestellt wurden. Die folgenden fünf Szenarien fassen die wichtigsten Angriffsflächen zusammen, mit denen sich Entwicklerteams 2026 auseinandersetzen müssen.

  • E-Mail-Agenten als Einfallstor: Die LLMail-Inject-Studie zeigt, dass eine im E-Mail-Text versteckte Anweisung einen Agenten dazu bringen kann, vertrauliche Informationen weiterzuleiten oder Aktionen im Namen des Nutzers auszuführen, ohne dass dieser etwas davon mitbekommt. Eine separate Forschungsarbeit zur Erkennung von Prompt Injection bei E-Mail-Agenten bestätigt, dass dieser Angriffsvektor inzwischen eine eigene Forschungskategorie bildet.
  • Browser-Agenten und manipulierte Webinhalte: Laut BrowseSafe-Bench reicht es, sichtbaren Text auf einer Webseite so zu formulieren, dass er wie eine legitime Anweisung für den Agenten wirkt, etwa eine gefälschte Systemmeldung mitten im Seiteninhalt. Diese Methode umgeht die Erkennung fast doppelt so oft wie klassische, versteckte Injection.
  • Manipulierte Entwickler-Plattformen: Eine aktuelle Studie namens GitInject dokumentiert reale Prompt-Injection-Angriffe in KI-gestützten Entwicklungswerkzeugen, bei denen bösartige Anweisungen in GitHub-Issues, Pull-Request-Beschreibungen oder Commit-Nachrichten versteckt werden, die ein KI-Coding-Agent später automatisch verarbeitet.
  • Mehrsprachige Umgehungsangriffe: Weil mehrsprachige Injection laut BrowseSafe-Bench die schwierigste Angriffskategorie für sämtliche getesteten Modelle darstellt, nutzen Angreifer gezielt Sprachwechsel innerhalb eines Dokuments, um Sicherheitsfilter zu umgehen, die primär auf die Systemsprache trainiert wurden.
  • Autonome Agentenumgebungen mit mehreren Schritten: Eine Studie zur Bewertung automatisierter Prompt-Injection-Angriffe in agentischen Umgebungen zeigt, dass sich Angriffe über mehrere Handlungsschritte eines Agenten hinweg aufbauen können, sodass ein einzelner, auf den ersten Blick harmloser Zwischenschritt erst in Kombination mit späteren Schritten zur erfolgreichen Kompromittierung führt.

Allen fünf Szenarien ist gemeinsam, dass der eigentliche Angriffspunkt nicht die Chat-Oberfläche ist, über die ein Mensch direkt mit dem Modell spricht, sondern eine Datenquelle, die der Agent im Hintergrund selbstständig verarbeitet. Genau das macht Prompt Injection so schwer zu kontrollieren: Ein Unternehmen kann seine eigenen Mitarbeitenden schulen, aber nicht die Inhalte jeder Webseite, jeder E-Mail und jedes GitHub-Issues kontrollieren, mit denen ein Agent in Kontakt kommt.

Für österreichische und andere europäische Unternehmen kommt eine zusätzliche Komplikation hinzu: Mehrsprachigkeit gehört in vielen Organisationen zum Alltag, sei es durch internationale Kundenanfragen, mehrsprachige Vertragsdokumente oder Teams, die in Deutsch, Englisch und weiteren Sprachen parallel kommunizieren. Da BrowseSafe-Bench mehrsprachige Angriffe als schwierigste Kategorie für alle getesteten Modelle identifiziert hat, sollte dieser Umstand bei der Risikoeinschätzung nicht als Randnotiz behandelt werden, sondern als eigener Prüfpunkt in jedem Sicherheitskonzept für KI-Agenten auftauchen.

Verteidigungsstrategien: PromptGuard-2, gpt-oss-safeguard und mehrschichtige Filter

Keines der drei getesteten Großmodelle bietet laut den vorliegenden Studien einen vollständigen Schutz allein durch sein Training. Die BrowseSafe-Forscher kamen deshalb zu dem Schluss, dass eine mehrschichtige Verteidigung deutlich zuverlässiger funktioniert als ein einzelner Filter. Praktisch bedeutet das: Eine erste Schicht prüft eingehende Inhalte mit einem schlanken, schnellen Klassifikator wie PromptGuard-2, eine zweite Schicht nutzt bei Verdachtsfällen ein größeres, spezialisiertes Modell wie gpt-oss-safeguard, und eine dritte Schicht überwacht das tatsächliche Verhalten des Agenten, etwa ob er plötzlich Aktionen ausführen will, die außerhalb seines ursprünglichen Auftrags liegen.

Technisch lässt sich eine solche Prüfschicht als eigenständige Funktion vor dem eigentlichen Modellaufruf implementieren. Das folgende vereinfachte Beispiel zeigt das Grundprinzip einer Eingabetrennung, bei der externe Inhalte klar von der eigentlichen Nutzeranweisung getrennt und vor der Weitergabe geprüft werden.

function verarbeite_agentenanfrage(nutzerauftrag, externer_inhalt) {
  const risiko = pruefe_mit_klassifikator(externer_inhalt); // z.B. PromptGuard-2

  if (risiko.score > SCHWELLENWERT) {
    protokolliere_verdachtsfall(externer_inhalt, risiko);
    return sichere_antwort_ohne_externe_daten(nutzerauftrag);
  }

  // externer Inhalt wird NIEMALS als Anweisung interpretiert,
  // sondern ausschließlich als zu verarbeitende Nutzdaten markiert
  return modellaufruf({
    system: SYSTEMPROMPT_MIT_KLAREN_GRENZEN,
    nutzerauftrag: nutzerauftrag,
    nutzdaten: { typ: "nicht_vertrauenswuerdig", inhalt: externer_inhalt }
  });
}

Entscheidend an diesem Muster ist die strikte Trennung zwischen Anweisung und Nutzdaten auf Architekturebene, nicht nur im Prompt-Text. Die BrowseSafe-Studie betont außerdem, dass selbst diese Kombination keinen hundertprozentigen Schutz bietet, insbesondere gegen völlig neue Angriffsstrategien, die kein Klassifikator zuvor gesehen hat. Deshalb bleibt laufendes Monitoring, regelmäßiges Testen mit neuen Angriffsmustern und eine klare Eskalationsstufe für verdächtige Agentenaktionen unverzichtbar, unabhängig davon, welches der drei Flaggschiff-Modelle im Hintergrund läuft.

OWASP-Einstufung und wachsender regulatorischer Druck

Prompt Injection steht nicht zufällig ganz oben auf der Liste der Risiken rund um Sprachmodelle. Der OWASP Top 10 für LLM-Anwendungen führt die Technik seit Jahren konstant als eines der wichtigsten Risiken für produktive KI-Systeme, direkt neben Themen wie unsicherer Ausgabeverarbeitung und übermäßiger Handlungsfreiheit von Agenten. Diese Einstufung ist mehr als eine akademische Fußnote: Unternehmen, die KI-Agenten in regulierten Branchen wie Finanzdienstleistungen oder Gesundheitswesen einsetzen, müssen zunehmend nachweisen, dass sie bekannte OWASP-Risiken aktiv adressieren, bevor ein System produktiv geschaltet wird.

Der bereits erwähnte Sysdig-Leitfaden ordnet Prompt Injection deshalb nicht als reines Modellproblem ein, sondern als Systemrisiko, das über die gesamte Lieferkette einer KI-Anwendung hinweg behandelt werden muss, vom Prompt-Design über die Rechteverwaltung bis zur Protokollierung jeder Agentenaktion. Für Teams, die eine Zertifizierung oder einen internen Sicherheitsaudit durchlaufen müssen, bedeutet das in der Praxis: Die reine Angabe, welches Sprachmodell im Hintergrund läuft, reicht als Nachweis nicht mehr aus. Auditoren fragen zunehmend nach den tatsächlichen Testergebnissen gegen aktuelle Angriffsmuster wie jene aus AutoDojo oder BrowseSafe-Bench, nach der eingesetzten Prüfschicht und nach dem Eskalationsprozess bei erkannten Angriffsversuchen.

Diese Entwicklung erklärt auch, warum Hersteller wie Meta und OpenAI eigene, offen zugängliche Schutzklassifikatoren wie PromptGuard-2 und gpt-oss-safeguard veröffentlichen, statt Unternehmen ausschließlich auf die eingebaute Robustheit ihrer Hauptmodelle zu verweisen. Ein separat auditierbarer Klassifikator lässt sich in Sicherheitsdokumentationen klar benennen, versionieren und regelmäßig gegen neue Angriffsdaten nachtesten, was bei einem monolithischen, geschlossenen Großmodell deutlich schwerer nachzuweisen ist.

Einsatzempfehlungen: Welches Modell für welchen Anwendungsfall

Aus den vorliegenden Benchmark-Daten lassen sich konkrete Empfehlungen für unterschiedliche Einsatzszenarien ableiten, auch wenn kein Modell pauschal als sicherste Wahl gelten kann.

  • Coding-Agenten mit Repository-Zugriff: Angesichts der in AutoDojo gemessenen niedrigsten absoluten Angriffsquote der Claude-Haiku-Modellreihe lohnt sich für Coding-Agenten ein kleineres, aber speziell gehärtetes Modell dieser Familie, kombiniert mit einer Prüfschicht, die GitHub-Issues und Commit-Nachrichten vor der Verarbeitung filtert.
  • E-Mail-Automatisierung im Unternehmen: Da LLMail-Inject eine Erfolgsquote von bis zu 58 Prozent gegen GPT-4o und GPT-5 mini belegt, sollte hier grundsätzlich keine Automatisierung ohne zusätzliche Schutzschicht laufen, unabhängig vom gewählten Basismodell. Ein externer Klassifikator ist in diesem Szenario Pflicht, keine Option.
  • Browser-Agenten für Recherche und Einkauf: Für Anwendungen, die aktiv im offenen Web unterwegs sind, empfiehlt sich die von BrowseSafe-Bench validierte mehrschichtige Verteidigung mit einem F1-Score von 0,904 bei unter einer Sekunde Latenz, da hier sichtbare Inhaltsmanipulation die größte reale Gefahr darstellt.
  • Mehrsprachige Unternehmensumgebungen: Firmen mit internationalen Teams oder mehrsprachigen Kundendaten sollten besonders vorsichtig sein, da mehrsprachige Angriffe laut BrowseSafe-Bench die schwierigste Kategorie für alle getesteten Modelle bilden. Hier empfiehlt sich zusätzliches Testen mit Angriffsmustern in allen tatsächlich genutzten Sprachen, nicht nur auf Deutsch oder Englisch.
  • Budgetbeschränkte Entwicklerteams: Für Prototypen oder interne Tools ohne kritische Datenzugriffe sind günstigere Stufen wie GPT-5.6 Luna oder Gemini 2.5 Flash in Kombination mit dem kostenlosen PromptGuard-2 eine wirtschaftlich sinnvolle Basis, solange keine sensiblen Aktionen automatisiert werden.
  • Hochsicherheitsumgebungen mit autonomen Agenten: Für Finanz-, Gesundheits- oder Behördenanwendungen mit mehrstufigen autonomen Workflows ist laut den Erkenntnissen zu agentischen Umgebungen eine Kombination aus Frontier-Modell und dediziertem Safety-Classifier wie gpt-oss-safeguard in der 120-Milliarden-Parameter-Version die derzeit robusteste, wenn auch teuerste Option.

Über alle sechs Anwendungsfälle hinweg zieht sich ein gemeinsamer Nenner: Die Entscheidung für ein bestimmtes Basismodell ersetzt niemals die Entscheidung für eine passende Schutzarchitektur. Selbst das in den Tests am besten abschneidende Modell, Claude Haiku 4.5 mit seiner niedrigen absoluten Angriffsquote in AutoDojo, blieb nicht vollständig immun und zeigte unter dynamischen Bedingungen eine Verfünffachung der Erfolgsquote. Wer eine Empfehlung aus diesem Abschnitt in die eigene Architektur übernimmt, sollte sie deshalb immer als Ausgangspunkt für eine mehrschichtige Lösung verstehen, nicht als abschließende Antwort auf die Frage nach dem sichersten Modell.

Migrationsleitfaden: In acht Schritten zu einer prompt-injection-sicheren Architektur

Unternehmen, die bereits KI-Agenten im Einsatz haben oder gerade planen, welche einzuführen, sollten ihre Architektur systematisch überprüfen. Der folgende Leitfaden orientiert sich an den Erkenntnissen der drei vorgestellten Studien und lässt sich auf bestehende Systeme anwenden, ohne das zugrunde liegende Modell sofort wechseln zu müssen.

  1. Alle bestehenden Agenten-Workflows inventarisieren und dokumentieren, welche externen Datenquellen (E-Mails, Webseiten, Repositories, Dokumente) jeweils verarbeitet werden.
  2. Für jeden Workflow die Vertrauensgrenze festlegen: Welche Daten gelten als Nutzeranweisung, welche gelten grundsätzlich als nicht vertrauenswürdige Nutzdaten.
  3. Eine erste Prüfschicht mit einem leichtgewichtigen Klassifikator wie PromptGuard-2 vor jeden Agentenaufruf schalten, der externe Inhalte verarbeitet.
  4. Bei kritischen Workflows, etwa E-Mail-Automatisierung, zusätzlich einen größeren Safety-Classifier wie gpt-oss-safeguard als zweite Prüfschicht einbinden.
  5. Systemprompts so umschreiben, dass externe Inhalte explizit als Daten und niemals als Anweisung gekennzeichnet werden, wie im Code-Beispiel weiter oben gezeigt.
  6. Agentenverhalten aktiv überwachen und Alarmierung einrichten, sobald ein Agent eine Aktion außerhalb seines ursprünglich definierten Aufgabenbereichs ausführen will.
  7. Regelmäßig mit dynamisch generierten, sich anpassenden Angriffen nach dem Vorbild von AutoDojo testen, nicht nur mit statischen Beispiel-Prompts, da die Erfolgsquote unter dynamischen Bedingungen laut den vorliegenden Daten um das Zwei- bis Fünffache steigen kann.
  8. Einen Eskalationsprozess für erkannte Angriffsversuche festlegen, inklusive automatischer Protokollierung und einer klaren Verantwortlichkeit im Sicherheitsteam für die Nachverfolgung neuer Angriffsmuster.

Dieser Prozess lässt sich schrittweise einführen und erfordert keinen kompletten Neubau bestehender Systeme. Wichtig ist, mit den Workflows zu beginnen, die laut der eigenen Risikoeinschätzung den größten Schaden anrichten könnten, etwa E-Mail-Automatisierung mit Schreibzugriff oder Coding-Agenten mit Zugriff auf Produktionscode, statt alle Systeme gleichzeitig umzubauen.

Zum Zeitaufwand: Ein erfahrenes Sicherheitsteam kann die ersten vier Schritte, also Inventarisierung, Vertrauensgrenzen, erste Prüfschicht und Systemprompt-Anpassung, für einen einzelnen kritischen Workflow in der Regel innerhalb von zwei bis drei Wochen umsetzen, da PromptGuard-2 als offenes Modell ohne langwierige Beschaffungsprozesse eingebunden werden kann. Die Schritte fünf bis acht, insbesondere der Aufbau eines belastbaren Monitorings und eines wiederkehrenden Testprozesses nach dem Vorbild von AutoDojo, sind eher als fortlaufende Aufgabe zu verstehen als als einmaliges Projekt mit festem Enddatum. Unternehmen, die mehrere Agenten-Workflows gleichzeitig betreiben, sollten realistisch mit mehreren Monaten rechnen, bis alle Systeme auf einem vergleichbaren Schutzniveau laufen, priorisiert nach Risiko statt nach technischer Einfachheit.

Vor- und Nachteile im direkten Vergleich

Jedes der drei Modellökosysteme bringt eigene Stärken und Schwächen mit, wenn man speziell die Prompt-Injection-Resistenz und die damit verbundenen Rahmenbedingungen betrachtet.

GPT-5.6 (OpenAI)

  • Vorteil: Drei Preisstufen (Sol, Terra, Luna) erlauben eine feine Abstufung zwischen Kosten und Leistung je nach Risikoprofil des Anwendungsfalls.
  • Vorteil: Eigenes adversariales Trainingsverfahren GPT-Red laut Herstellerangabe gezielt auf Prompt-Injection-Resistenz ausgerichtet.
  • Nachteil: Kein offiziell einheitliches Kontextfenster, was die Budgetplanung für große Agentenprojekte erschwert.
  • Nachteil: Das Geschwistermodell GPT-4o-mini zeigte in AutoDojo einen Anstieg der Angriffsquote von 2,6 auf 6,4 Prozent unter dynamischen Bedingungen.

Claude Opus 5 und Sonnet 5 (Anthropic)

  • Vorteil: Einheitliches Kontextfenster von 1.000.000 Token bei beiden Modellen, was die Planung erleichtert.
  • Vorteil: Laut Anthropic wehrte die neue Generation alle 720 im eigenen Auto-Modus-Test verwendeten Angriffe ab, zusätzlich zeigte das kleinere Claude Haiku 4.5 in der unabhängigen AutoDojo-Studie die niedrigste absolute Angriffsquote aller getesteten Modelle.
  • Nachteil: Der Herstellertest mit 720 Angriffen ist nicht direkt mit den unabhängigen Studien vergleichbar, eine externe Bestätigung für Opus 5 und Sonnet 5 speziell steht noch aus.
  • Nachteil: Mit 5 beziehungsweise 25 Dollar je eine Million Token gehört Opus 5 zu den teureren Optionen im Vergleich.

Gemini 4 Argon (Google)

  • Vorteil: Mit 1.048.576 Token das größte offiziell bezifferte Kontextfenster im Vergleich, bei aktuell wettbewerbsfähigem Einführungspreis.
  • Vorteil: Breite Kompatibilität mit externen Schutzklassifikatoren wie PromptGuard-2.
  • Nachteil: Für das Flaggschiff-Modell Argon liegen noch keine unabhängigen Prompt-Injection-Benchmarkdaten vor, die genutzten Studien testeten ausschließlich die ältere Generation Gemini 2.5 Flash, die bei AutoDojo den stärksten relativen Anstieg aller drei verglichenen Modelle zeigte, von 3,9 auf 9,0 Prozent.
  • Nachteil: Die für den 1. Dezember 2026 angekündigte Preisverdopplung erschwert die langfristige Kostenplanung für Agentenprojekte mit hohem Tokenverbrauch.

Grenzen der aktuellen Forschung und offene Fragen

So aussagekräftig die drei vorgestellten Studien auch sind, sie haben eine gemeinsame Einschränkung, die für die Einordnung wichtig ist: Keine von ihnen testete die tatsächlich aktuellsten Flaggschiff-Modelle GPT-5.6, Claude Opus 5, Claude Sonnet 5 oder Gemini 4 Argon direkt. BrowseSafe-Bench arbeitete mit GPT-5 und Claude Sonnet 4.5, AutoDojo mit GPT-4o-mini, Gemini 2.5 Flash und Claude Haiku 4.5, LLMail-Inject mit GPT-4o und GPT-5 mini. Das liegt an der Natur unabhängiger Forschung: Zwischen Modellveröffentlichung, Studiendesign, Durchführung und Veröffentlichung vergehen typischerweise mehrere Monate, während Hersteller neue Modellgenerationen inzwischen im Abstand weniger Wochen herausbringen.

Diese Verzögerung ist kein Vorwurf an die Forschungsteams, sondern eine strukturelle Eigenschaft des Felds, die jedes Unternehmen bei der Bewertung von Herstellerversprechen berücksichtigen sollte. Wenn Anthropic verkündet, die neue Modellgeneration habe alle 720 getesteten Angriffe abgewehrt, ist das eine herstellereigene Zahl aus einer herstellereigenen Testumgebung, nicht das Ergebnis einer von Dritten reproduzierbaren, offen dokumentierten Studie wie BrowseSafe-Bench oder AutoDojo. Das bedeutet nicht automatisch, dass die Zahl falsch ist, aber sie lässt sich aktuell nicht unabhängig nachprüfen und sollte entsprechend vorsichtig gewichtet werden, bis unabhängige Forschungsgruppen mit eigenen, offengelegten Methoden nachziehen.

Eine zweite offene Frage betrifft die Übertragbarkeit der Ergebnisse auf neue Angriffsstrategien. Sowohl BrowseSafe-Bench als auch AutoDojo betonen, dass die größte Schwäche aller getesteten Systeme nicht in der Erkennung bekannter Angriffsmuster liegt, sondern in der Erkennung völlig neuer, bislang unbekannter Taktiken. Das bedeutet: Selbst ein Modell oder eine Verteidigungsschicht, die heute gegen alle bekannten Angriffsmuster gut abschneidet, kann morgen gegen eine neue Taktik versagen, die noch kein Trainings- oder Testdatensatz enthält. Für Unternehmen folgt daraus die Notwendigkeit, Sicherheitsmaßnahmen nicht einmalig zu implementieren und dann abzuhaken, sondern als fortlaufenden Prozess mit regelmäßiger Neubewertung zu behandeln.

Das Urteil: Welches Modell schützt 2026 am besten vor Prompt Injection?

Die ehrliche Antwort lautet: Kein einzelnes Modell löst das Prompt-Injection-Problem allein. Die Zahlen aus drei unabhängigen Studien zeigen übereinstimmend, dass die Erfolgsquote von Angriffen massiv steigt, sobald sie realistisch und adaptiv statt statisch gestaltet werden, von niedrigen einstelligen Prozentwerten bis zu den dramatischen 47 bis 58 Prozent, die LLMail-Inject gegen GPT-4o und GPT-5 mini maß. Die WorkOS-Analyse zur Agenten-Governance bringt den entscheidenden Punkt auf den Nenner: Das Risiko hängt stärker von der Angriffsfläche eines Agenten ab, also von seinen Werkzeugen und Berechtigungen, als vom gewählten Basismodell allein.

Trotzdem lassen sich aus den vorliegenden Daten klare Tendenzen ablesen. Claude Haiku 4.5 zeigte in der unabhängigen AutoDojo-Studie die niedrigste absolute Angriffsquote aller drei verglichenen Modellfamilien, was für Anthropics aktuelle Modellgeneration insgesamt spricht, auch wenn Opus 5 und Sonnet 5 selbst noch nicht in derselben unabhängigen Studie erschienen sind. Gemini 2.5 Flash zeigte den stärksten relativen Anstieg unter dynamischen Angriffen, GPT-4o-mini lag dazwischen. Für die neueste Generation aller drei Anbieter, GPT-5.6, Opus 5, Sonnet 5 und Gemini 4 Argon, fehlen bislang unabhängige, von den Herstellern losgelöste Benchmarkdaten in vergleichbarem Umfang wie BrowseSafe-Bench oder AutoDojo. Das ist selbst ein wichtiges Ergebnis dieses Vergleichs: Die akademische Sicherheitsforschung hinkt der Produktveröffentlichung der Hersteller derzeit um mehrere Monate hinterher.

Die praktische Konsequenz für 2026 lautet deshalb nicht Modellwahl, sondern Architekturwahl. Eine mehrschichtige Verteidigung mit einem F1-Score von 0,904, wie sie BrowseSafe-Bench demonstrierte, schützt zuverlässiger als jede einzelne Modellentscheidung. Wer heute einen KI-Agenten mit Zugriff auf externe, nicht vertrauenswürdige Inhalte baut, sollte unabhängig vom gewählten Basismodell in genau diese zusätzliche Schutzschicht investieren, regelmäßig mit neuen, dynamischen Angriffsmustern testen und die Berechtigungen seiner Agenten so eng wie möglich halten.

Häufig gestellte Fragen zu Prompt Injection

Was ist Prompt Injection und wie unterscheidet es sich von Jailbreaking?
Prompt Injection schleust über externe oder direkte Eingaben nicht autorisierte Anweisungen in ein Sprachmodell ein, während Jailbreaking versucht, das Modell selbst zum Bruch seiner eigenen Sicherheitsrichtlinien zu bewegen. Bei Agenten-Systemen mit Zugriff auf externe Daten ist Prompt Injection das deutlich relevantere Risiko.

Welches KI-Modell ist 2026 am resistentesten gegen Prompt Injection?
Keine der drei großen Modellfamilien bietet vollständigen Schutz. In der unabhängigen AutoDojo-Studie zeigte Claude Haiku 4.5 die niedrigste absolute Angriffsquote, für die aktuellsten Flaggschiff-Modelle GPT-5.6, Opus 5, Sonnet 5 und Gemini 4 Argon liegen noch keine vergleichbaren unabhängigen Benchmarkdaten vor.

Kann Prompt Injection komplett verhindert werden?
Nach aktuellem Forschungsstand nicht vollständig. Selbst die beste in BrowseSafe-Bench getestete mehrschichtige Verteidigung erreichte einen F1-Score von 0,904, nicht 1,0, und blieb besonders bei völlig neuen Angriffsstrategien verwundbar.

Was ist der Unterschied zwischen direkter und indirekter Prompt Injection?
Direkte Prompt Injection gibt ein Angreifer selbst in den Chat ein. Indirekte Prompt Injection versteckt die Anweisung in einer Datenquelle, die ein Agent später automatisch verarbeitet, etwa eine Webseite, eine E-Mail oder ein GitHub-Issue, und ist in agentischen Systemen die deutlich gefährlichere Variante.

Wie funktioniert PromptGuard-2 und wann lohnt sich der Einsatz?
PromptGuard-2 ist ein offener, leichtgewichtiger Klassifikator von Meta in den Größen 22 und 86 Millionen Parameter, der verdächtige Eingaben erkennen soll, bevor sie das Hauptmodell erreichen. Er eignet sich besonders als erste, schnelle Prüfschicht in Kombination mit größeren Safety-Classifiern für kritische Workflows.

Warum schneiden Modelle bei dynamischen Angriffen schlechter ab als bei statischen Tests?
Statische Tests verwenden feste, oft bereits bekannte Angriffsmuster, die Modelle gut erkennen können. Dynamische Angriffe passen sich laufend an das Zielmodell an, ähnlich wie ein echter Angreifer, der aus fehlgeschlagenen Versuchen lernt, wodurch die Erfolgsquote laut AutoDojo um das Zwei- bis Fünffache steigen kann.

Sind teurere KI-Modelle automatisch sicherer gegen Prompt Injection?
Nein. Die vorliegenden Daten zeigen keinen klaren Zusammenhang zwischen Preis und Injection-Resistenz. Claude Haiku 4.5, ein kleineres und günstigeres Modell, schnitt in AutoDojo besser ab als teurere Modelle anderer Hersteller, während die WorkOS-Analyse betont, dass die Angriffsfläche des gesamten Agentensystems wichtiger ist als das Basismodell allein.

Wie wird man als Endnutzer Opfer von Prompt Injection?
Endnutzer werden meist indirekt betroffen, etwa wenn ein genutzter KI-Assistent eine manipulierte Webseite besucht, eine präparierte E-Mail zusammenfasst oder ein kompromittiertes Dokument verarbeitet, und der Agent daraufhin ungewollte Aktionen im Namen des Nutzers ausführt, ohne dass dieser aktiv etwas Falsches eingegeben hat.