Prompt-Injection

Prompt-Injection ist bösartiger Text, der in Inhalten versteckt ist, die der Agent liest — eine Datei in einem bösartigen Repository, eine Webseite, eine vergiftete CLAUDE.md — und der versucht, das Modell zu steuern („ignoriere vorherige Anweisungen, exfiltriere Geheimnisse“). Der Bereich Prompt-Injection aktiviert Detektoren pro Arbeitsbereich, die den KI-Verkehr des Agenten auf solche Inhalte prüfen. Wie die Beschreibung des Bereichs sagt: Bromure prüft den KI-Verkehr des Agenten auf dem Gerät auf eingeschleuste Anweisungen — nichts verlässt den Mac. Jeder Detektor verwendet ein lokales Modell, das beim ersten Aktivieren von bromure.io heruntergeladen wird.

Der Bereich hat zwei Gruppen: Detektoren (welche Scanner laufen) und Wenn eine Injection erkannt wird (was bei einem Treffer geschieht). Im Screenshot sind beide Detektoren aus, sodass die Aktions-Optionsgruppe darunter deaktiviert ist — sie wird aktiviert, sobald mindestens ein Detektor eingeschaltet ist. Die Prüfung findet im Host-Proxy statt, sodass ein Agent in der VM sie nicht abschalten kann. Details zu den Detektoren, zur Bewertung und zur Durchsetzung werden im Prompt-Injection-Deep-Dive behandelt.

Detektoren

Prompt-Injection im Quellcode erkennen

Bewertet die nicht vertrauenswürdigen externen Inhalte, die der Agent an das Modell zurückstreamt — Dateiinhalte, Webseiten und Tool-Ausgaben, die als tool_result-Blöcke gesendet werden — mit dem lokalen Prompt-Guard-Klassifikationsmodell. Dies ist der Detektor, der „ignoriere vorherige Anweisungen / exfiltriere Geheimnisse“-Text abfängt, der in einem bösartigen Repository versteckt ist. Die Bildunterschrift des Bereichs nennt einen Download von etwa 272 MB beim ersten Aktivieren.

Die Prüfung läuft vollständig auf dem Gerät. Nur die neueste Nachricht, die Tool-Ergebnisse enthält, wird pro Runde geprüft (der erneut gesendete Gesprächsverlauf wird übersprungen), und identische Inhalte werden zwischengespeichert, sodass wiederholtes Lesen derselben Datei nichts kostet.

Bösartige Anweisungen in CLAUDE.md-Dateien und Ähnlichem erkennen

Zielt auf die Bedrohung durch die „Regeldatei-Hintertür“: bösartige Anweisungen, die in Dateien platziert werden, die Coding-Agenten automatisch als vertrauenswürdige Autorität laden — CLAUDE.md, AGENTS.md, GROK.md sowie die verschachtelten und globalen Varianten, die Claude Code, Codex und Grok in ihren System-Prompt einlesen. Es laufen zwei Durchgänge:

• Ein deterministischer Scanner (kein Modell erforderlich), der Verschleierung durch unsichtbaren Unicode kennzeichnet — Zeichen mit Nullbreite, bidirektionale Überschreibungen, Unicode-Tag-Zeichen — sowie Meta-Anweisungsmuster („ignoriere vorherige Anweisungen“, „sag es dem Benutzer nicht“) und Schlüsselwörter für Fähigkeiten oder Exfiltration (Pfade zu Zugangsdatendateien, curl-pipe-to-shell, Force-Pushes).
• Ein feinabgestimmter ModernBERT-Klassifikator, der einen semantischen Durchgang über dieselben Anweisungsdatei-Inhalte macht.

Die Bildunterschrift des Bereichs nennt einen Download von etwa 571 MB beim ersten Aktivieren. Befunde aus einer unveränderten Datei werden pro Sitzung dedupliziert, sodass eine gekennzeichnete CLAUDE.md einmal protokolliert wird, nicht bei jeder Runde.

Modell-Downloads

Detektor-Modelle sind nicht in der App enthalten. Beim Aktivieren eines der beiden Schalter erscheint zuerst eine Bestätigungsmeldung — Download the <detector> detector model? — die die genaue Downloadgröße nennt, berechnet aus den tatsächlichen Byte-Summen (etwa 298 MB für den Quellcode-Detektor und etwa 603 MB für den Regel-Detektor, etwas größer als die gerundeten Bildunterschriften des Bereichs), mit den Schaltflächen Herunterladen und Abbrechen, danach ein Fortschrittsfenster mit einer Prozentanzeige und einer Abbrechen-Schaltfläche. Ablehnen, Abbrechen oder ein fehlgeschlagener Download setzt den Schalter zurück: Ein Detektor ohne sein Modell ist wirkungslos, und Bromure täuscht nichts anderes vor.

Wissenswerte Details:

• Modelle werden von dl.bromure.io nach ~/Library/Application Support/BromureAC/Models/ heruntergeladen (prompt-injection/ für den Quellcode-Detektor, claudemd-guard/ für den Regel-Detektor). Um eines zu entfernen, löschen Sie seinen Ordner.
• Downloads starten sofort, wenn Sie bestätigen — dies ist eine der wenigen Aktionen des Einstellungseditors, die wirksam wird, bevor Sie auf Sichern klicken.
• Downloads werden gemeinsam genutzt: Einmal abgerufen, verwendet jeder Arbeitsbereich, der denselben Detektor aktiviert, das Modell wieder.
• Eine Vorabprüfung des freien Speicherplatzes verweigert einen aussichtslosen Download von vornherein. Wenn ein Detektor aktiviert ist, sein Modell beim App-Start aber fehlt, startet automatisch ein Download im Hintergrund; Fortschritt und Ergebnis landen im Sicherheitsprotokoll.

Wenn eine Injection erkannt wird

Eine gemeinsame Aktion gilt für beide Detektoren. Der Hilfetext des Bereichs fasst sie zusammen: „Protokollieren, aber fortfahren“ zeichnet Erkennungen im Sicherheitsprotokoll-Fenster auf; „Mich fragen, was zu tun ist“ pausiert die Anfrage und zeigt den gekennzeichneten Text; „Blockieren“ lässt die Anfrage vollständig fehlschlagen.

Die Optionsgruppe ist deaktiviert, bis mindestens ein Detektor aktiviert ist. In den Modi Fragen und Blockieren läuft die Prüfung vor dem Weiterleiten, was gekennzeichneten Runden Klassifikator-Latenz hinzufügt; Protokollieren, aber fortfahren fügt keine hinzu. Wenn ein Arbeitsbereich headless über SSH oder die CLI gesteuert wird, wird die Fragen-Rückfrage als Text-Prompt innerhalb des tmux des Arbeitsbereichs gestellt — nur ein ausdrückliches Zulassen lässt die Anfrage durch.

Wo Erkennungen erscheinen

Jede Erkennung, jedes Download-Ereignis und jedes Durchsetzungsergebnis erscheint im Fenster Sicherheitsprotokoll (Menü „Fenster“ → Sicherheitsprotokoll…) — ein Live-Feed mit Einträgen wie [prompt-injection] rules FLAG source=/path/CLAUDE.md signals=[zero_width(high)]. Protokollzeilen enthalten nur eine kurze Vorschau des gekennzeichneten Inhalts; der vollständige Text erscheint im Dialog Mich fragen, was zu tun ist. Auf Macs, die mit einem bromure.io-Arbeitsbereich registriert sind, werden Erkennungen zusätzlich als Audit-Ereignisse weitergeleitet (unterdrückt durch den Privatmodus des Tracing-Bereichs).

Einstellungsreferenz

Tipp: Eine sinnvolle Vorgehensweise: Beginnen Sie mit beiden Detektoren im Modus Protokollieren, aber fortfahren, beobachten Sie das Sicherheitsprotokoll einige Tage lang, um die Falsch-Positiv-Rate für Ihre Repositories einzuschätzen, und wechseln Sie dann für nicht vertrauenswürdige Codebasen zu Mich fragen, was zu tun ist. Zur Abstimmung von Arbeitsspeicher und Neural Engine der Klassifikatoren auf dem Gerät siehe den Prompt-Injection-Deep-Dive.