Ein KI-Agent liest eine Webseite, um eine Aufgabe zu erledigen. Auf der Seite steht jedoch eine versteckte Anweisung, die den Agenten zu einer anderen Handlung bewegen soll. Genau solche möglichen Wege für indirekte Prompt-Injection will GitHub mit einer neuen öffentlichen Vorschau früher sichtbar machen. Der Scan prüft Änderungen in Pull Requests, bevor sie in ein Projekt übernommen werden.
GitHub kündigte die Funktion am 28. Oktober an. Sie richtet sich an Organisationen mit GitHub Advanced Security und muss gesondert aktiviert werden. Hinweise erscheinen bei den betreffenden Änderungen; sie blockieren das Zusammenführen laut GitHub-Dokumentation nicht automatisch.
Wie fremder Inhalt zur Anweisung werden kann
Ein Agent kann Texte aus Dokumenten, Webseiten oder anderen Quellen verarbeiten und zugleich Zugriff auf Werkzeuge oder Daten haben. Indirekte Prompt-Injection bezeichnet den Fall, dass Anweisungen in solchem fremden Inhalt das Verhalten des Modells beeinflussen sollen. Der Inhalt ist eigentlich Material für die Aufgabe, kann aber versuchen, sich als neue Arbeitsanweisung auszugeben.
Ein gedachtes Beispiel: Ein Assistent soll eine Webseite zusammenfassen. In deren Text könnte ein Angreifer eine Aufforderung verstecken, die mit der Zusammenfassung nichts zu tun hat. Hat der Assistent Zugriff auf weitere Werkzeuge, kann der Weg von fremdem Text zu einer unerwünschten Aktion besonders relevant werden. Das Beispiel erklärt das Risiko; es beschreibt keinen konkret nachgewiesenen Angriff gegen ein bestimmtes Projekt.
Was GitHub in einer Änderung prüft
Ein Pull Request ist ein Vorschlag, Änderungen an einem Softwareprojekt zu übernehmen. Laut GitHub untersucht der neue Detektor solche Vorschläge auf Muster und Datenflüsse in KI-Anwendungen. Der Scan läuft beim Erstellen eines Pull Requests und nach neuen Commits, also weiteren gespeicherten Änderungen an diesem Vorschlag.
Die Hinweise erscheinen als Kommentare im Pull Request. Sie sollen Entwicklern zeigen, wo eine riskante Verbindung zwischen fremdem Inhalt, Modell und Werkzeugen entstehen könnte. Die Prüfung betrifft die vorgeschlagene Änderung: Das gesamte bestehende Repository und alte Aufgaben werden laut Dokumentation nicht automatisch mitgescannt.
GitHub beschreibt den Detektor als auf einem Sprachmodell basierende Prüfung, getrennt von der CodeQL-basierten Analyse. Die Vorschau ist standardmäßig ausgeschaltet. Organisationen müssen sie aktivieren und eine Advanced-Security-Lizenz besitzen; zusätzlich werden laut Dokumentation KI-Credits verbraucht.
Der Umfang ist widersprüchlich beschrieben
Die Ankündigung nennt neben indirekter Prompt-Injection auch mögliche Datenoffenlegung und zu weitreichende Befugnisse. In der Dokumentation steht an einer Stelle ebenfalls ein breiterer Katalog. Der Abschnitt zur aktuellen Erkennungsabdeckung sagt jedoch ausdrücklich, dass die öffentliche Vorschau derzeit nur indirekte Prompt-Injection bei KI-Agenten erkennt.
Für die aktuelle Vorschau ist deshalb diese engere Beschreibung maßgeblich. Die weiteren Risikoklassen zeigen, welche Probleme bei KI-Anwendungen relevant sein können; die Quellen beschreiben ihre gegenwärtige Abdeckung aber nicht einheitlich. Auch eine Warnung ersetzt nicht die Prüfung durch Entwickler: GitHub behandelt die Hinweise als beratend und verhindert einen Merge nicht allein aufgrund eines Befunds.
Wer den Scan einsetzen möchte, muss ihn getrennt von anderen GitHub-Scans für KI-Anwendungen aktivieren. Die Funktion ist eine zusätzliche Hilfe beim Prüfen vorgeschlagener Änderungen. Ihre tatsächliche Trefferquote in einem konkreten Projekt lässt sich aus der Produktankündigung nicht bestimmen.
Quellen
- GitHub: Code scanning for AI applications in public preview, 28. Oktober 2026.
- GitHub Docs: AI applications scanning for pull requests, abgerufen am 29. Oktober 2026.
- OWASP: LLM01 Prompt Injection, 2025.
Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft.
