Prompt-Injection

Prompt-Injection ist schädlicher Text, versteckt in Inhalt, den der Agent liest — eine Datei in einem feindlichen Repository, eine Webseite, eine vergiftete CLAUDE.md — der versucht, das Modell zu lenken („ignoriere die vorherigen Anweisungen, exfiltriere Geheimnisse"). Der Bereich Prompt-Injection schaltet Erkenner ein, die den KI-Verkehr einer Maschine nach solchem Inhalt durchsuchen (eine Maschine ist ein Arbeitsbereich, im Einstellungseditor). Wie die Beschreibung des Bereichs sagt: Bromure durchsucht den KI-Verkehr des Agenten auf dem Gerät nach eingeschobenen Anweisungen — nichts verlässt den Mac. Jeder Erkenner benutzt ein lokales Modell, beim ersten Einschalten von bromure.io geladen.

Der Bereich hat zwei Gruppen: Detektoren (welche Scanner laufen) und Wenn eine Injection erkannt wird (was bei einem Treffer geschieht). Im Bildschirmfoto sind beide Erkenner aus, die Gruppe der Auswahlknöpfe darunter ist also deaktiviert — sie wird aktiv, sobald mindestens ein Erkenner an ist. Das Durchsuchen geschieht im Proxy des Hosts, ein Agent in der VM kann es also nicht abschalten. Das Innere der Erkenner, die Bewertung und die Durchsetzung behandelt Prompt-Injection-Erkennung & Schutzmechanismen. Änderungen gelten für eine laufende Maschine, wenn Sie sichern.

Detektoren

Prompt-Injection im Quellcode erkennen

Bewertet den nicht vertrauenswürdigen externen Inhalt, den der Agent an das Modell zurückschickt — Dateiinhalte, Webseiten und Werkzeug-Ausgaben, als tool_result-Blöcke gesendet — mit dem lokalen Prompt-Guard-Klassifikationsmodell. Dies ist der Erkenner, der „ignoriere die vorherigen Anweisungen / exfiltriere Geheimnisse"-Text erwischt, der in einem feindlichen Repository versteckt ist. Die Beschriftung des Bereichs nennt einen Download von etwa 272 MB beim ersten Einschalten.

Das Durchsuchen läuft vollständig auf dem Gerät. Je Zug wird nur die neueste Nachricht mit Werkzeug-Ergebnissen durchsucht (der erneut gesendete Gesprächsverlauf wird übersprungen), und gleicher Inhalt wird zwischengespeichert, sodass wiederholtes Lesen derselben Datei nichts kostet.

Schädliche Anweisungen in CLAUDE.md-Dateien und ähnlichen erkennen

Zielt auf die Bedrohung „Hintertür in der Regeldatei": schädliche Anweisungen, die in die Dateien gepflanzt werden, die Coding-Agenten automatisch als vertrauenswürdige Autorität laden — CLAUDE.md, AGENTS.md, GROK.md, und die verschachtelten und globalen Varianten, die Claude Code, Codex und Grok in ihren Systemprompt lesen. Zwei Durchgänge laufen:

• Ein deterministischer Scanner (ohne Modell), der Verschleierung durch unsichtbares Unicode markiert — Zeichen ohne Breite, bidirektionale Überschreibungen, Unicode-Tag-Zeichen — dazu Meta-Anweisungs-Muster („ignoriere die vorherigen Anweisungen", „sag es dem Benutzer nicht") und Schlüsselwörter für Fähigkeiten oder Exfiltration (Pfade zu Zugangsdaten-Dateien, curl-in-die-Shell, Force-Pushes).
• Ein feinabgestimmter ModernBERT-Klassifikator, der einen semantischen Durchgang über die Körper derselben Anweisungsdateien macht.

Die Beschriftung des Bereichs nennt einen Download von etwa 571 MB beim ersten Einschalten. Funde aus einer unveränderten Datei werden je Sitzung entdoppelt, sodass eine markierte CLAUDE.md einmal protokolliert wird, nicht in jedem Zug.

Modell-Downloads

Die Erkenner-Modelle kommen nicht mit der App. Einen der Schalter anzukreuzen zeigt zuerst einen Bestätigungshinweis — Modell des Detektors <Detektor> herunterladen? — der die genaue Downloadgröße nennt, aus den echten Byte-Summen berechnet (etwa 298 MB für den Quellcode-Erkenner und etwa 603 MB für den Regel-Erkenner, ein wenig mehr als die gerundeten Beschriftungen im Bereich), mit den Schaltflächen Herunterladen und Abbrechen, dann ein Fortschrittsfenster mit Prozentangabe und einer Abbrechen-Schaltfläche. Ablehnen, Abbrechen oder ein gescheiterter Download setzt den Schalter zurück: ein Erkenner ohne sein Modell tut nichts, und Bromure wird nichts anderes behaupten.

Details, die zu wissen lohnen:

• Modelle laden von dl.bromure.io nach ~/Library/Application Support/BromureAC/Models/ (prompt-injection/ für den Quellcode-Erkenner, claudemd-guard/ für den Regel-Erkenner). Um eines zu entfernen, löschen Sie seinen Ordner.
• Downloads beginnen sofort, wenn Sie bestätigen — das ist eine der wenigen Aktionen des Einstellungseditors, die wirkt, bevor Sie Sichern klicken.
• Downloads werden geteilt: einmal geholt, benutzt jede Maschine, die denselben Erkenner einschaltet, dasselbe Modell.
• Eine Prüfung des freien Platzes verweigert einen Download, der nicht hineinpasst. Ist ein Erkenner an, sein Modell aber nicht da, startet automatisch ein Download im Hintergrund.
• Im Client für iPhone, iPad und Vision Pro sichert das Ankreuzen eines Erkenners nur die Einstellung; der Mac, der die Maschine ausführt, lädt das Modell, wenn er es braucht.

Wenn eine Injection erkannt wird

Eine gemeinsame Aktion gilt für beide Erkenner. Der Hilfetext des Bereichs fasst sie zusammen: „Protokollieren und fortfahren" zeichnet Erkennungen in der Sicherheits-Zeitleiste auf; „Mich fragen, was zu tun ist" hält die Anfrage an und zeigt den markierten Text; „Blockieren" lässt die Anfrage sofort fehlschlagen.

Die Gruppe der Auswahlknöpfe ist deaktiviert, bis mindestens ein Erkenner eingeschaltet ist. In den Modi Fragen und Blockieren läuft das Durchsuchen vor dem Weiterleiten, was markierten Zügen die Verzögerung des Klassifikators hinzufügt; Protokollieren und fortfahren fügt keine hinzu. Wird die Maschine headless über SSH oder die CLI benutzt, wird die Fragen-Frage im tmux der Maschine gestellt — nur eine ausdrückliche Erlaubnis lässt die Anfrage durch.

Wo Erkennungen erscheinen

Jede Erkennung und jedes Durchsetzungsergebnis wird in der Sicherheits-Zeitleiste (Fenster › Sicherheit…) unter dem Filter Prompt-Injection aufgezeichnet. Einträge tragen nur eine kurze Vorschau des markierten Inhalts; der volle Text erscheint im Dialog Mich fragen, was zu tun ist. Auf Macs, die bei einer bromure.io-Organisation registriert sind, werden Erkennungen auch als Audit-Ereignisse gesendet (nicht, wenn der Private Modus des Bereichs Tracing an ist).

Einstellungsreferenz

Tipp: Ein sinnvoller Weg: fangen Sie mit beiden Erkennern in Protokollieren und fortfahren an, beobachten Sie die Sicherheits-Zeitleiste einige Tage, um die Falsch-Positiv-Rate auf Ihren Repositories abzuschätzen, und wechseln Sie dann für nicht vertrauenswürdige Codebasen zu Mich fragen, was zu tun ist. Zur Speicher- und Neural-Engine-Abstimmung der Klassifikatoren auf dem Gerät siehe Prompt-Injection-Erkennung & Schutzmechanismen. Um personenbezogene Daten aus dem herauszuhalten, was das Modell sieht, siehe Schutz personenbezogener Daten.