Check Point Research hat PuzzleMask aufgedeckt und analysiert. Hierbei handelt es sich um eine neue Technik zur Prompt-Injektion. Sie versteckt gegen Richtlinien verstoßende Anweisungen in gewöhnlicher, gut formulierter Prosa. Dadurch können böswillige Anfragen schnelle externe Gatekeeper umgehen, ohne auf herkömmliche Indikatoren wie Base64-Kodierung, unsichtbare Zeichen, Emojis oder ungewöhnliche Formatierungen zurückzugreifen. In 23 Tests konnten vier führende KI-Gatekeeper die versteckten Payloads nicht erkennen, was zu einer Umgehungsrate von 100 Prozent führte, während ein leistungsfähigeres nachgelagertes Modell in 17 von 18 Versuchen die Anweisungen erfolgreich wiederherstellte und darauf reagierte.

PuzzleMask bettet versteckte Anweisungen in natürliche, flüssige Prosa ein, was eine schnelle, KI-basierte Plausibilitätsprüfung ermöglicht. Alle vier getesteten Gatekeeper-Modelle blockierten die ursprünglichen bösartigen Eingabeaufforderungen erfolgreich, konnten jedoch dieselben Anweisungen nicht identifizieren, sobald sie in PuzzleMask versteckt waren. Dies führte zu einer Umgehungsrate von 100 Prozent bei allen getesteten manipulierten Eingabeaufforderungen. Die Untersuchung deckt eine kritische Schwäche in einer in der KI-Branche weit verbreiteten Sicherheitsarchitektur auf, bei der leichtgewichtige Modelle Eingabeaufforderungen prüfen, bevor sie an leistungsfähigere Schlussfolgerungssysteme weitergeleitet werden.

Eli Smadja, Head of Research bei Check Point Research: „PuzzleMask stellt eine der Kernannahmen hinter vielen heutigen KI-Sicherheitsstrategien in Frage: dass gefährliche Eingabeaufforderungen leicht zu erkennen sind. Unsere Forschung zeigt, dass schädliche Anweisungen in völlig gewöhnlichem Text versteckt werden können und so Kontrollmechanismen umgehen, die darauf ausgelegt sind, offensichtlichere Formen der Manipulation von Eingabeaufforderungen zu erkennen. Das Ergebnis dieser Untersuchung verdeutlicht, wie wichtig es ist, die Agenten zu schützen, anstatt Angreifern zu ermöglichen, den Agenten als Waffe einzusetzen. Da Unternehmen zunehmend auf KI-Systeme mit Zugriff auf Geschäftsdaten, Anwendungen und Arbeitsabläufe setzen, wird ein präventiver Ansatz, der Bedrohungsinformationen, KI-Governance und Laufzeitschutz kombiniert, unerlässlich sein. Sicherheitsteams müssen über die bloße Überprüfung von Eingaben hinausgehen und damit beginnen, das Verhalten und die Aktionen der KI zu überwachen, wenn sie aufkommenden Bedrohungen immer einen Schritt voraus sein wollen.“

Im Gegensatz zu den meisten Prompt-Injection-Angriffen stützt sich PuzzleMask nicht auf Kodierungstricks, versteckten Text, ungewöhnliche Formatierungen oder Jailbreak-Techniken. Stattdessen verwendet es ausschließlich natürliche Sprache, was die Erkennung durch herkömmliche KI-Sicherheitssysteme erheblich erschwert. Dies ist kein Jailbreak. Anstatt ein Modell davon zu überzeugen, seine Sicherheitsrichtlinien zu ignorieren, umgeht PuzzleMask die externe Sicherheitsebene, die für die Überprüfung von Eingabeaufforderungen zuständig ist, sodass versteckte Anweisungen das Zielmodell unentdeckt erreichen können.

Die Technik nutzt die in KI-Anwendungen zunehmend verbreitete „Gatekeeper-to-Target“-Architektur aus, bei der ein leichtgewichtiges Modell Eingabeaufforderungen überprüft, bevor es sie an ein leistungsfähigeres Reasoning-Modell weiterleitet. PuzzleMask zeigt, dass die Leistungslücke zwischen diesen Modellen selbst zu einer Angriffsfläche werden kann. Für Sicherheitsverantwortliche stellt die Forschung die Annahme in Frage, dass eine Eingabeüberprüfung allein ausreicht. Die Ergebnisse legen nahe, dass Unternehmen nicht nur überwachen müssen, was in ein KI-System gelangt, sondern auch, wie das Modell nach der Freigabe einer Eingabe argumentiert, sich verhält und handelt.

Eine neue Sicherheitsherausforderung für das KI-Zeitalter

Je mehr Unternehmen auf KI-Assistenten, -Agenten und -Copiloten setzen, desto mehr Zugriff haben diese auf Unternehmensdaten, Anwendungen und automatisierte Workflows. Bislang haben sich Sicherheitsverantwortliche stark auf die Erkennung böswilliger Eingabeaufforderungen und die Stärkung der Modellsicherheit konzentriert. PuzzleMask verdeutlicht eine andere Herausforderung: die Grenzen des Verlassens auf die Eingabeprüfung als primäre Sicherheitsmaßnahme.

Die Untersuchung verdeutlicht, wie der Angriff ohne jegliche Merkmale gelingt, auf die Sicherheitsteams traditionell geschult wurden. Es gibt keine offensichtlichen Anzeichen oder verdächtige Formatierungen, die ein Gatekeeper als Warnsignal erkennen könnte. Stattdessen sind die Anweisungen in gewöhnlichen Text eingebettet, was zu einem Szenario führt, in dem ein KI-System nichts Ungewöhnliches bemerkt, während ein anderes – mit größerer Schlussfolgerungsfähigkeit und Zugriff auf Tools – die versteckte Payload erfolgreich extrahieren und darauf reagieren kann.

Die Ergebnisse unterstreichen eine zunehmende Realität im Bereich der KI-Sicherheit: Unternehmen können nicht mehr einfach nur fragen, ob eine Eingabeanweisung gefährlich aussieht. Sie müssen auch verstehen, was nach der Freigabe geschieht, insbesondere, wenn KI-Systeme Zugriff auf sensible Informationen, Geschäftsanwendungen und automatisierte Abläufe haben.

Weitere Einzelheiten der Analyse lesen Sie hier: https://research.checkpoint.com/2026/puzzlemask-abusing-plain-prose-as-a-covert-ai-attack-vector/