Was gebaut ist
Ein Prompt ist Text, den ein Sprachmodell liest und gewichtet. Er kann Verhalten lenken. Er kann nichts erzwingen. Wer einem Agenten Rechte nur im Prompt gibt, schreibt auf ein Schild, was er nicht tun soll, und lässt die Tür offen. Rechte sind eine Eigenschaft des Systems, in dem der Agent handelt.
Im System · AXON
- Ein Agent außerhalb, ein Objekt innerhalb von einer Grenze.
- Der Weg nach innen führt durch jede Grenze.
- Ein zweiter Weg endet an der äußeren Grenze.
Was ein Prompt ist
Begriff · Kontext
Die begrenzte Information, auf deren Grundlage ein System arbeitet. Dazu gehören Herkunft, Aktualität, Widersprüche und Rechte.
Ein Prompt gehört zum Kontext, aus dem ein Sprachmodell die nächsten Wörter bestimmt. Anweisungen darin sind Wahrscheinlichkeitsgewichte. Das Sprachmodell hält sich meistens daran und nicht immer, und es kann sich nicht selbst kontrollieren. Dieselbe Anweisung wirkt bei einer anderen Formulierung der Aufgabe, bei längerem Kontext oder bei einem anderen Sprachmodell anders.
Was ein Schloss tut
Ein Schloss sitzt an der Tür und nicht in den Gedanken dessen, der durch will. Übertragen heißt das: Die Prüfung, ob eine Handlung erlaubt ist, steht an der Stelle, an der sie ausgeführt wird, im Server, mit einer Entscheidung, die der Agent nicht beeinflussen kann. In der Fachsprache sind das der Durchsetzungspunkt und die Entscheidungsstelle, wie sie XACML und der Leitfaden NIST SP 800-162 beschreiben. Der Agent schlägt vor, das System prüft.
Prompt Injection zeigt den Unterschied
Ein Agent liest Texte, die andere geschrieben haben: Nachrichten, Dokumente, Webseiten. Steht darin ein Satz, der wie eine Anweisung klingt, kann das Sprachmodell ihm folgen. Das ist Prompt Injection, und die OWASP-Liste führt sie als erstes Risiko für Anwendungen mit Sprachmodellen. Ein Schutz, der im Prompt steht, steht in derselben Textmenge wie der Angriff. Ein Recht im System dagegen gilt, egal was das Sprachmodell gelesen hat.
Rechte an Handlung, Daten und Identität
Begriff · Schema
Ein versionierter Vertrag über Felder, Typen und erlaubte Werte. Die Prüfung muss unbekannte und ungültige Eingaben behandeln.
Im System hängt das Recht an drei Dingen. An der Handlung: Jedes Werkzeug ist eine typisierte Handlung, die nur vorhanden ist, wenn der Auftrag sie erlaubt. An den Daten: Felder ohne Leserecht kommen nicht in den Kontext, Markierungen reisen mit jedem Wert. An der Identität: Der Agent hat eine eigene Identität, und was er im Auftrag einer Person tut, ist nie mehr als das, was diese Person darf.
Daraus folgt eine Kette von Prüfungen, die kein Text überspringt: Schema, Recht, Vorbedingung, Freigabe, Verlauf. Das Ergebnis jeder Prüfung steht im Protokoll.
Was dem Prompt bleibt
Der Prompt behält seine Aufgabe. Er gibt Ton, Ziel, Reihenfolge und Hinweise, wann ein Agent zurückfragen soll, und er senkt die Zahl der Versuche, die das System ablehnen muss. Rechte im System und Anweisungen im Prompt arbeiten zusammen: Der Prompt macht Fehler seltener, das Schloss macht sie folgenlos.
Wer beide verwechselt, erkennt es spät. Ein Agent, der nur im Prompt eingeschränkt ist, verhält sich im Test brav und im Betrieb nur so lange, wie niemand einen Satz einschleust, der es ändert.
Schema
Prompt: "Greife nie auf <daten> zu."
wirkt, solange das Sprachmodell sich daran hält
System: Auftrag erlaubt: [<handlung>, <handlung>]
Feld <daten> hat Markierung <m>, Auftrag trägt <m> nicht
-> Feld fehlt im Kontext, Aufruf wird abgelehnt, Verlauf hält es festGrenze
- Grenze
- Rechte im System schützen nicht vor allem. Sie begrenzen, was ein getäuschter Agent tun kann, und nicht, was er denkt oder sagt. Was in der Ausgabe an Personen steht, bleibt mit zu prüfen. Die Rechteprüfung für Agenten ist geplant und nicht gebaut.
Fragen
- Heißt das, Prompts sind unwichtig?
- Nein. Sie lenken das Verhalten und senken die Zahl der Fehlversuche. Sie ersetzen nur keine Prüfung.
- Was ändert sich, wenn man das Sprachmodell wechselt?
- An der Rechteprüfung nichts. Sie liegt in der Laufzeit und gilt für jedes Sprachmodell gleich; die Bewertung prüft, wie sich ein anderes verhält.
Quellen
- NIST SP 800-162: Guide to Attribute Based Access Control (ABAC) Definition and ConsiderationsNIST. Durchsetzungspunkt, Entscheidungsstelle und attributbasierte Regeln.
- OWASP: LLM01 Prompt InjectionRisiko Nummer eins der OWASP-Liste für Anwendungen mit Sprachmodellen.
- OWASP: LLM06 Excessive AgencyAusgabe 2025. Risiken durch übermäßige Werkzeuge, Rechte und Spielraum.