Sichere Administrator-Genehmigungsablauf für Gruppen-Chat-Assistenten gegen Prompt-Injection

Der r/ClaudeAI-Beitrag „Mitigating prompt injections in group-chat assistants: Pausing VM and OAuth tool execution for admin approvals" beschreibt ein praktisches Sicherheitsmuster für LLM-basierte Assistenten, die an öffentliche oder gemeinsame Kanäle angebunden sind (z.B. WhatsApp via Supergreen oder Gruppenchats). Das Kernproblem: Wenn mehrere Benutzer denselben Sitzungsverlauf teilen, kann jeder Teilnehmer den Assistenten per Prompt-Injection dazu bringen, gefährliche Werkzeuge zu aktivieren – etwa Cloud-Ressourcen hochzufahren, Code mit hinterlegten Secrets auszuführen oder OAuth-Tokens abzurufen.

Sicherer Administrations-Freigabe-Workflow

Die vorgeschlagene Lösung in prompt2bot ist ein Secure Administrator Approval-Workflow, der risikoreiche Tool-Ausführungen abfängt:

• Wenn ein Nicht-Admin-Benutzer create_vm, run_safescript (benutzerdefinierte Codeausführung mit hinterlegten Secrets) oder OAuth-Flows auslöst, pausiert das Tool die Ausführung und gibt zurück: „Administratorberechtigung wird angefordert...".
• Ein Freigabe-Link mit einer Gültigkeit von 10 Minuten wird automatisch an konfigurierte Administratoren per WhatsApp oder E-Mail gesendet.
• Nach der Freigabe fügt ein Hintergrundjob eine Systembenachrichtigung in den Gesprächsverlauf ein: [Systembenachrichtigung: Der Administrator hat Ihre Anfrage zur Ausführung von <toolName> freigegeben (Anfrage-ID: <requestId>)].
• Diese Gedanken-Einschleusung reaktiviert die Agentenschleife, die das Tool erneut mit der freigegebenen request_id aufruft, um nahtlos fortzufahren.
• Für Gastbenutzer (Bot-Besitzer ohne konfigurierte E-Mail/Telefon) werden Freigaben für eine reibungslose Entwicklertestung umgangen.

Für wen das gedacht ist

Entwickler, die leistungsstarke Assistenten bauen, die in gemeinsamen Kanälen arbeiten und den Zugriff auf leistungsfähige Tools vor Prompt-Injection-Angriffen durch nicht vertrauenswürdige Teilnehmer schützen müssen.