Prompt Injection: W3C-Papier fordert neue Grenzen für KI-Agenten

Prompt Injection ist in der Welt handelnder KI-Agenten kein Einbruch mehr, sondern eine Frage der Berechtigungen. Das W3C-Strategieteam hat am 21. Oktober 2026 das Diskussionspapier „W3C and the State of the Web in the AI Era“ veröffentlicht und nennt darin drei Schwerpunkte: Schutz vor Prompt Injection, kontrollierbare Berechtigungen und Barrierefreiheit. Philippe Le Hegaret verantwortet beim W3C die technische Strategie. Für die Einordnung entscheidend: Das Papier formuliert Empfehlungen des Strategieteams, keine verabschiedeten Standards. Es soll die Debatte beim W3C-Treffen TPAC vorbereiten, die offizielle Präsentation ist für den 29. Oktober vorgesehen.

Prompt Injection: eine Anweisung im Seitentext genügt

Bei Cross-Site Scripting muss ein Angreifer ausführbaren Code in eine fremde Seite schleusen. Für Agenten gilt das nicht: Eine Anweisung in gewöhnlichem Seitentext, in einem Dokument oder in einer Werkzeugantwort kann genügen. Ob sie wirkt, hängt an zwei Faktoren — den Berechtigungen des Agenten und dem Umgang mit fremden Inhalten.

Das Papier beschreibt dazu ein Szenario, das die Grenzen der Same-Origin Policy zeigt: Ein Agent recherchiert auf einer öffentlichen Website und hat im selben Lauf Zugriff auf interne Dokumente. Die Website fordert ihn auf, vertrauliche Inhalte an einen externen Dienst zu übermitteln. Die Same-Origin Policy verhindert das nicht zwangsläufig, weil der Agent mit eigenen Zugriffsrechten Daten zwischen Websites bewegt, die selbst nicht auf die Daten der jeweils anderen zugreifen dürften. Die Policy trennt Origins, nicht Auftraggeber. Ein Agent mit Nutzerrechten überquert diese Grenze mit gültigen Mitteln — und genau darin liegt der Unterschied zu klassischen Web-Schwachstellen.

Dieselbe Konstellation war im W3C-Umfeld schon vor dem Papier Thema. In den Minuten einer Sitzung vom 12. November 2025 unter den Chairs Chris Fredrickson und Johann Hofmann steht das Bedrohungsmodell unter dem Begriff „lethal trifecta“: Zugriff auf private Daten, ungeprüfter Fremdinhalt und ein Kanal nach außen. Protokolliert ist dort auch die Frage, ob Agenten eine eigene Schnittstelle brauchen. Die Web Machine Learning Community Group diskutierte am 11. November 2025, dass website-generierter Text nicht in Prompts gelangen darf.

Was das Strategieteam vom Web verlangt

Die Begründung des Papiers ist der Wandel vom lesenden zum handelnden Agenten: Ein Agent bedient Websites im Auftrag des Nutzers, greift dabei auf persönliche Daten zu und überträgt Informationen zwischen Websites. Daraus leitet das Strategieteam konkrete Prüfpunkte ab. Es will zusammenhängende Bedrohungsmodelle für Agenten, WebMCP und browserinterne KI-Funktionen erarbeiten lassen; zunächst sollen Arbeitsgruppen Architekturen und Vertrauensgrenzen klären.

Zu den offenen Fragen zählt das Papier unterschiedliche Einsatzformen: die KI-API des Browsers gegenüber einem navigierenden Agenten, der mit Nutzerrechten arbeitet. Ebenso auf der Liste stehen gefälschte Werkzeuge und Agenten, die ihre eigenen Aktionen genehmigen. Eine „Agentic Web Working Group“, die Muster für Zustimmung und die Übergabe an Menschen bearbeiten soll, schlägt das Papier lediglich vor — eingerichtet ist sie damit nicht.

Zustimmung muss mehr leisten als ein Klick

Vor folgenschweren Aktionen soll ein Agent die Zustimmung des Nutzers einholen. Nutzer sollen erkennen können, was ein Agent getan hat, Aktionen möglichst rückgängig machen und selbst entscheiden, welcher Agent für sie handelt. Das Papier macht den Unterschied an einem Reisebuchungs-Beispiel fest: Der Auftrag, passende Flüge zu suchen, ist nicht automatisch die Freigabe, ein kostenpflichtiges Ticket zu kaufen. Eine Bestätigung müsste die konkrete Buchung erkennbar machen.

Gleichzeitig warnt das Strategieteam vor Bestätigungsmüdigkeit: Wer jede Kleinigkeit freigibt, könnte sicherheitsrelevante Rückfragen ungeprüft abnicken. Ein Dialog, der alles absegnet, ist damit selbst ein Risikofaktor — die Anforderung verschiebt das Problem von der Oberfläche in die Rechtevergabe. Für Zahlungen nennt das Papier Ausgabenlimits, widerrufbare Befugnisse, eindeutige Belege und nachvollziehbare Wege für Reklamationen. Identitäts- und Authentifizierungsgruppen sollen untersuchen, wie Agenten delegierte Befugnisse nachweisen können, ohne selbst Zugangsdaten zu besitzen. Verifiable Credentials und dezentrale Identifikatoren könnten dabei aus Sicht des Papiers helfen, Agenten zu identifizieren.

WebMCP: neue Schnittstelle, neue Vertrauensgrenzen

WebMCP ist der Vorschlag, Websites ihre Funktionen für Agenten als Werkzeuge zugänglich zu machen. Eine Forschungsarbeit von Lin-Fa Lee, Yi-Yu Chang und Kuo-Hui Yeh von der National Yang Ming Chiao Tung University in Taiwan benennt dafür drei Risikoklassen: Subject-Attribution-Spoofing, unkontrollierte Tool-Lifecycles und semantische Prompt Injection. Die Arbeit ist als Working Paper mit der arXiv-Kennung 2608.24017 geführt. Sie verschiebt die Aufmerksamkeit auf eine Ebene, die im Papier nur als Prüfpunkt auftaucht: Die Vertrauensgrenze verläuft nicht nur zwischen Origins, sondern zwischen Website und Toolbeschreibung.

Zur Einordnung der Beleglage: Ein Angriff auf einen produktiven Agenten ist in den vorliegenden Quellen nicht dokumentiert. Die Szenarien des Papiers sind Anforderungen an künftige Standards, die Arbeit von Lee et al. eine Analyse der Vertrauensgrenzen — kein Vorfallbericht.

Was Admins jetzt prüfen sollten

Aus den Empfehlungen lassen sich schon vor jedem Standard konkrete Maßnahmen ableiten:

Agentenläufe isolieren. Ein Agent, der im offenen Web liest, sollte nicht im selben Profil und mit demselben Konto Zugriff auf interne Dokumente haben. Getrennte Browserprofile oder dedizierte Konten kosten wenig und brechen genau die Kombination, die das Papier als gefährlich beschreibt.
Werkzeuge festnageln. MCP-Server und Tool-Definitionen whitelisten und ihre Beschreibungen versioniert pinnen — semantische Prompt Injection setzt an der Werkzeugbeschreibung an, nicht am Seitentext.
Fremdinhalt als Eingabe behandeln. Seiteninhalt und Werkzeugantworten sind nicht vertrauenswürdige Daten, auch wenn sie aus dem eigenen Intranet stammen.
Auto-Bestätigung abschalten. Zahlungen zusätzlich beim Zahlungsdienstleister über Limits absichern, nicht nur im Dialog des Agenten.
Aktionen protokollieren. Ohne nachvollziehbares Log lässt sich die Forderung, dass Nutzer erkennen, was ein Agent getan hat, technisch nicht erfüllen.

Klar ist auch die Grenze dieser Empfehlungen: Sie stammen aus einem Diskussionspapier, nicht aus einem Standard und nicht aus geltendem Recht. Eine Umsetzung durch Browser-Hersteller ist im vorliegenden Material nicht angekündigt. Wer Agenten heute produktiv einsetzt, sollte die eigene Rechtevergabe deshalb so bauen, dass sie eine spätere Standardisierung nicht blockiert.

Quellen