> For the complete documentation index, see [llms.txt](https://owasp-ai-security.gitbook.io/owasp-ai-security-docs/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://owasp-ai-security.gitbook.io/owasp-ai-security-docs/level-6-and-7-eskalationsstrategie.md).

# Level 6 & 7 — Eskalationsstrategie

> ⚠️ **Transparenz-Hinweis:** Für diese Level gibt es aktuell keine verlässliche, öffentlich nachvollziehbare Musterlösung — die Informationslage ist dünn, und Lakera passt die Challenges gelegentlich an. Statt einer erfundenen "Lösung" bekommt ihr hier einen **Techniken-Baukasten**, den ihr systematisch ausprobieren könnt. Testet selbst, bevor ihr etwas als Musterlösung weitergebt.

## Baukasten fortgeschrittener Techniken

| Technik                            | Neuer Begriff       | Grundidee                                                                                                                                                                                                              |
| ---------------------------------- | ------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Encoding**                       | *Encoding-Bypass*   | Teile der Anweisung in Base64 oder einer anderen Kodierung verstecken, damit ein textbasierter Filter das Schlüsselwort nicht direkt erkennt. Das Zielmodell dekodiert es selbst und führt die Anweisung trotzdem aus. |
| **Reasoning-Hijacking**            | *Chain-of-Thought*  | Manche Modelle "denken laut" in einem sichtbaren oder internen Zwischenschritt. Scheinbare "Denk-Notizen" im Payload können die Priorität in diesem Schritt beeinflussen.                                              |
| **Mehrstufige Injection**          | *Staged Injection*  | Die Anweisung wird über zwei getrennte, für sich harmlos wirkende Einträge aufgebaut, die sich erst in Kombination entfalten.                                                                                          |
| **Autoritäts-Framing**             | *Authority Framing* | Der Payload gibt sich als Systemmeldung oder Entwickler-Notiz aus ("\[SYSTEM-MAINTENANCE]"), um mehr Gewicht zu bekommen als eine gewöhnliche Nutzer-Notiz.                                                            |
| **Feedback-getriebenes Iterieren** | —                   | Die Fehler- bzw. Score-Rückmeldung gibt oft Hinweise, *warum* ein Payload abgelehnt wurde — gezielt auswerten statt blind raten.                                                                                       |

## 📚 Gesamtüberblick: Level 1–7

| Level | Kern-Technik                                                       |
| ----- | ------------------------------------------------------------------ |
| 1     | Direkte, einfache Injection                                        |
| 2     | Bestehende Einträge überschreiben, Rückfragen unterbinden          |
| 3     | Vollständigkeits-Overwrite bei mehreren Einträgen                  |
| 4     | Anweisung als Datenformat tarnen (Guardrail-Umgehung)              |
| 5     | Formatierung glätten, Balance zwischen Tarnung & Unauffälligkeit   |
| 6–7   | Encoding, Reasoning-Hijacking, Staged Injection, Authority Framing |

Dieser Verlauf spiegelt gut wider, wie sich reale KI-Verteidigungen entwickeln: von "gar kein Schutz" über "einfache Regelfilter" bis zu "ein zweites Modell prüft die Eingabe" — und wie Angreifer:innen jede Stufe kontern. Genau dieser Wettlauf ist der Kern von **LLM01 (Prompt Injection)**, **LLM03 (Excessive Agency)** und **LLM08 (Hidden Context Exposure)** aus der [Bedrohungsübersicht](/owasp-ai-security-docs/bedrohungsubersicht-owasp-top-10-fur-llm-anwendungen-2026.md).

## 🛡️ Schwachstelle & Behebung (Gesamtfazit MindfulChat)

**Ausgenutzte Schwachstelle über alle Level:** [LLM08:2026 — Hidden Context Exposure](https://genai.owasp.org/llm-top-10/), verstärkt durch fehlende Herkunftsprüfung von Memory-Daten.

**Das eigentliche Problem, zusammengefasst:** Je härter die Verteidigung (Level 1 → 7), desto ausgefeilter musste der Angriff werden — aber **keine** der Schutzschichten hat die Grundschwachstelle wirklich behoben, sie hat sie nur schwerer ausnutzbar gemacht. Das ist ein zentrales Muster in der KI-Sicherheit: Oberflächliche Abwehrmaßnahmen (Guardrails, Formatierungs-Checks) können umgangen werden, solange die strukturelle Ursache — keine Trennung von Daten und Anweisungen — bestehen bleibt.

**Wie behebt man das — strukturell, nicht nur oberflächlich?**

* **Herkunftsprüfung (Provenance) auf Systemebene**, nicht nur auf Prompt-Ebene — z. B. digitale Signaturen für Memory-Einträge, die belegen, wer sie wann geschrieben hat.
* **Architektonische Trennung von Daten und Instruktionen**, wo technisch möglich (z. B. strukturierte Felder statt freiem Fließtext für Memory).
* **Least Privilege:** Ein Memory-Schreibzugriff sollte nicht automatisch Einfluss auf *alle* zukünftigen Nutzer:innen haben.
* **Mehrschichtige Verteidigung**, aber mit dem Wissen, dass jede einzelne Schicht umgehbar sein kann — daher Monitoring und Mensch-in-der-Schleife für kritische Änderungen ergänzen.

> 📚 **Referenz:** OWASP Top 10 for LLM Applications 2026 — [genai.owasp.org/llm-top-10](https://genai.owasp.org/llm-top-10/)

🎉 **MindfulChat geschafft!** Du hast jetzt praktisch erlebt, wie sich Prompt-Injection-Angriffe gegen ein LLM-System mit wachsender Verteidigung weiterentwickeln — genau das Wettrüsten, das reale AI-Security-Teams jeden Tag beschäftigt.

***

Weiter geht's mit einem ganz anderen Angriffsprofil — nicht Injection, sondern Rechte-Missbrauch: [**CorpConnect Messenger: Einführung**](/owasp-ai-security-docs/corpconnect-messenger-einfuhrung.md).


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://owasp-ai-security.gitbook.io/owasp-ai-security-docs/level-6-and-7-eskalationsstrategie.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.