Offene Gewichtsmodelle lassen sich im Agentenbetrieb leichter von Anweisungen leiten, die in Daten versteckt sind. Das Sicherheitsunternehmen PromptArmor veröffentlichte am 16. Oktober 2026 die Ergebnisse von 9.800 Versuchen mit realitätsnahen Ketten indirekter Prompt-Injektion: Die Anfälligkeitsrate der offenen Gruppe lag bei 26,7 Prozent, die der proprietären Gruppe bei 14,2 Prozent, also 88 Prozent niedriger. Zur offenen Gruppe zählten DeepSeek, Kimi, GLM und Qwen, zur proprietären GPT, Claude und Gemini, jeweils mit dem neuesten Flaggschiff und der neuesten kostengünstigen Variante.
Die größten Abstände entstehen beim Handeln
Indirekte Prompt-Injektion ist deshalb gefährlich, weil der Angreifer nie direkt mit dem Modell spricht. Anweisungen werden in einer Webseite, einem Dokument oder einer E-Mail versteckt, die der Agent liest, und das Modell führt Daten als Befehle aus. Die drei Angriffsbeispiele mit den deutlichsten Abständen betreffen alle reale Aktionen. In einem Szenario, in dem ein Agent eine Angreifer-Website untersuchte und dabei Schadcode ausführte, lagen die Raten bei 49 Prozent für die offene und 9 Prozent für die proprietäre Gruppe. Ein bösartiges Dokument, das den Agenten ein Phishing-Anmeldefenster anzeigen ließ, ergab 36 zu 5 Prozent. Eine injizierte E-Mail, die Inhalte über ein Markdown-Bild nach außen trug, ergab 23 zu 9 Prozent. Der Unterschied liegt also nicht im Ton der Antworten, sondern darin, ob ein Agent mit Werkzeugen und Berechtigungen fremde Anweisungen für einen Teil seiner Aufgabe hält.
Der Bericht enthält zudem einen kontraintuitiven Vergleich. Bei proprietären Anbietern waren die kostengünstigen Modelle um 169 Prozent anfälliger als ihre eigenen Flaggschiffe, bei offenen Anbietern waren die günstigen Modelle dagegen um etwa 5 Prozent robuster als ihre Flaggschiffe. Im Einzelnen ließen sich die neueren Budgetmodelle der Claude- und GPT-Linien leichter kompromittieren als ihre älteren Flaggschiffe, während die neueren Budgetmodelle von Qwen und DeepSeek besser standhielten als ihre Flaggschiffe. Allein die Frage, ob ein Modell das neueste ist, genügt offenkundig nicht.
Wie diese Zahlen zu lesen sind
Die Methodik gehört offen benannt. Die Ergebnisse stammen aus PromptArmors eigenen Angriffsketten und seiner eigenen Evaluationsumgebung, aufgebaut aus Angriffsketten, die das Unternehmen nach eigenen Angaben in realen Agentenprodukten gefunden hat; es handelt sich nicht um eine unabhängige Replikation durch Dritte. Modellversionen, Systemprompts und Werkzeugkonfigurationen verändern das Ergebnis, weshalb 26,7 und 14,2 Prozent als Vergleich relativer Risiken zu lesen sind, nicht als endgültiges Sicherheitsurteil über ein einzelnes Modell. Beide Werte haben zudem eine gemeinsame Eigenschaft: Keiner ist null. Auch 14,2 Prozent in der besseren Gruppe bedeuten, dass grob jede siebte realitätsnahe Angriffskette durchkam.
Für Teams, die Agenten einsetzen, ergeben sich drei umsetzbare Schlüsse. Erstens: Die Anfälligkeit für Injektionen gehört als Auswahlkriterium neben Benchmarks und Preis, vor allem bei Agenten, die externe Dokumente, Seiten und E-Mails lesen. Zweitens: Nicht annehmen, dass ein Budgetmodell das Sicherheitsverhalten seines Flaggschiffs erbt; vor dem Start mit eigenen Geschäftsdaten nachtesten. Drittens: Die Abwehr nicht allein auf das Urteilsvermögen des Modells stützen; geringstmögliche Werkzeugrechte, Bestätigung für ausgehende Aktionen und die ausdrückliche Kennzeichnung abgerufener Inhalte als nicht vertrauenswürdige Daten sind Systemmaßnahmen, die beide Gruppen gleichermaßen brauchen. Dass externe Evaluation zunehmend in die Labore einzieht, zeigt Anthropic, das Prüfer ins Haus holt; zusammengelesen verschiebt sich die Sicherheitsprüfung von Agenten weg von Punktwerten hin zu echten Angriffsketten.
