Check Point PromptGuardX durchsucht PDFs nach versteckten Prompt-Injections für KI-Systeme

Warum auch eine saubere Datei gefährlich sein kann

Laut Check Point lesen KI-Agenten zunehmend Rechnungen, Verträge, E-Mails und Unternehmensdaten und nutzen anschließend Tools und APIs, um Aufgaben zu erledigen. Dokumente sind damit keine passiven Referenzen mehr. Sie sind Eingaben, die beeinflussen können, was ein Agent als Nächstes tut.

Das öffnet die Tür für indirekte Prompt Injection: Angreifer betten Anweisungen in ein PDF, eine E-Mail, eine Website oder ein Tool-Ergebnis ein und warten darauf, dass ein KI-System den Inhalt verarbeitet. Check Point nennt als Beispiel einen Nutzer, der einen Agenten bittet, eine Rechnung zusammenzufassen, während versteckter Text im Dokument ihn anweist, Informationen abzurufen, ein Tool aufzurufen oder Daten anderswohin zu senden.

Das Unternehmen argumentiert, dass das gerenderte PDF, das ein Mensch sieht, nicht zwingend dem entspricht, was die KI liest. Eine KI-Anwendung verarbeitet unter Umständen Text, der aus der zugrunde liegenden Struktur der Datei extrahiert wird, und Angreifer können diese Lücke mit unsichtbarem Text, verborgenen Ebenen oder Unicode-Manipulation ausnutzen. Die Datei enthält keine Malware, trägt aber dennoch eine Anweisung, die für einen KI-Agenten bestimmt ist.

Der AI Security Report 2026 von Check Point stellte fest, dass die Erkennungen längerer bösartiger Prompt-Payloads zwischen März und Mai 2026 um etwa das Fünffache zunahmen und im Mai fast 1 % der beobachteten Prompts erreichten.

So funktioniert PromptGuardX

Viele bestehende KI-Sicherheitskontrollen prüfen Prompts und Antworten, überwachen Agenten zur Laufzeit oder validieren Aktionen vor der Ausführung. Check Point betont, dass diese weiterhin unverzichtbar seien, doch zu diesem Zeitpunkt könnten Dokumentinhalte bereits extrahiert, in Abschnitte zerlegt, gespeichert oder mit anderen Quellen zusammengeführt worden sein. PromptGuardX setzt früher an, bevor der Inhalt Teil des Modellkontexts wird.

Das Tool analysiert ein PDF in vier Stufen:

• Extrahieren und Normalisieren: Die Engine extrahiert den Text, den ein nachgelagertes KI-System erhalten könnte, einschließlich Inhalten, die durch Formatierung, Positionierung oder Dokumentstruktur verborgen sind. Anschließend normalisiert sie Unicode, um Verschleierungen wie Zero-Width-Zeichen, Homoglyphen, gemischte Schriftsysteme und bidirektionale Steuerzeichen zu reduzieren.
• Verdächtige Anweisungen lokalisieren: Ein Vorfilter markiert Bereiche, die eine tiefere Analyse erfordern, etwa Delimiter-Spoofing, die Nachahmung von System- oder Entwickleranweisungen, Rollenzuweisungen, Aufforderungen, vorherige Anweisungen zu ignorieren, oder Bitten, eine Aktion zu verschleiern.
• Kontext und Absicht analysieren: Der Text wird in sich überlappende Fenster unterteilt, damit auch Angriffe über mehrere Zeilen sichtbar bleiben. Jedes Fenster wird von einem eigens feinabgestimmten Klassifikator bewertet, der Text, der eine Anweisung bloß behandelt, von Text unterscheidet, der eine Anweisung erteilen will. Dabei berücksichtigt er Semantik, Kontext und Absicht und nicht allein Schlüsselwörter.
• Nachvollziehbares Urteil erzeugen: Bei verdächtigen Inhalten liefert PromptGuardX einen Konfidenzwert und benennt die konkreten Textfenster, die das Urteil ausgelöst haben, sodass der Threat-Emulation-Bericht sowohl die Klassifizierung als auch den Textbeleg zeigt.

Das Urteil wird Teil der Dateiprüfung in Threat Emulation, neben der Analyse auf Malware, schädliche URLs und verdächtiges Verhalten. Check Point beschreibt die zusätzliche Frage so: Ist diese Datei sicher für das KI-System, das sie gleich verarbeiten wird?

Die Taschenrechner-Demonstration

In der Demonstration von PromptGuardX enthält eine unauffällig wirkende Rechnung eine versteckte Anweisung. Wird ein KI-System gebeten, das Dokument zusammenzufassen, versucht die Anweisung, calc.exe zu starten. Check Point bezeichnet den Taschenrechner als harmlosen Platzhalter für die Ausführung von Befehlen.

Die Rechnung enthält keine ausführbare Datei und nutzt keine PDF-Schwachstelle aus. Die Aktion hängt davon ab, dass ein KI-System die Anweisung liest, ihr folgt und Zugriff auf das passende Tool hat. In einem Unternehmensworkflow könnte eine ähnliche Anweisung laut Check Point versuchen, Lieferantendaten abzurufen, Informationen nach außen zu senden, Zahlungsdaten zu ändern oder ein Tool aufzurufen, das mit der Anfrage des Nutzers nichts zu tun hat. Ob das gelingt, hängt von den Berechtigungen des Agenten und von nachgelagerten Kontrollen ab.

Was das für Unternehmen bedeutet

Check Point betont, dass keine einzelne Kontrolle Prompt Injection beseitigt. KI-Systeme benötigen weiterhin Prompt-Prüfung, Laufzeitüberwachung, Zugriff nach dem Prinzip der minimalen Rechte und Durchsetzung auf Aktionsebene. PromptGuardX versteht sich als eine weitere Schutzschicht an der Stelle, an der ein inhaltsbasierter Angriff beginnen kann: in der Datei selbst.

PromptGuardX ist in die Threat-Emulation-Pipeline von Check Point integriert. Nach Angaben des Unternehmens können dadurch unterstützte Installationen mit Quantum, Harmony Email & Collaboration und Threat-Emulation-fähigen Gateways PDFs auf Prompt-Injection-Versuche prüfen, bevor deren Inhalt ein KI-System erreicht.

Für Organisationen, die Agenten Zugriff auf immer mehr Dokumente und mehr Handlungsbefugnisse geben, lautet die Botschaft von Check Point: Eine Datei als sicher einzustufen, kann nicht länger bedeuten, nur auf Malware zu prüfen. Es muss auch heißen, Anweisungen zu erkennen, die das KI-System manipulieren sollen, das sie liest.