Agent Goal Hijack

Was ist Agent Goal Hijack?

Agent Goal Hijack bedeutet, dass ein KI-Agent nicht mehr auf die ursprünglich freigegebene Aufgabe hinarbeitet, sondern auf ein manipuliertes Ziel, neue Prioritäten oder veränderte Erfolgskriterien. Der Agent antwortet dabei nicht einfach nur falsch. Er plant, entscheidet und nutzt Tools bereits entlang einer fremden Missionslogik.

Für agentische Systeme ist das besonders kritisch, weil sie nicht nur Text erzeugen, sondern mehrstufig handeln: Sie lesen untrusted Kontext, priorisieren nächste Schritte, rufen APIs auf, schreiben in Systeme und geben Ergebnisse an andere Agenten oder Menschen weiter. Sobald das Ziel kippt, wird aus einem einzelnen schlechten Prompt ein operativer Sicherheitsvorfall.

Die Bedrohung taucht inzwischen auch in der agentischen Sicherheitsdiskussion unter OWASP ASI01: Agent Goal Hijack auf. Inhaltlich geht es um Goal Integrity: Wer bestimmt, woran der Agent Erfolg misst, und kann diese Logik durch untrusted Inhalte verschoben werden?

Typische Eintrittspfade sind:

• E-Mails, PDFs oder Webseiten mit versteckten Handlungsanweisungen
• RAG-Treffer, Wissensartikel oder Ticket-Kommentare mit manipulativer Priorisierung
• Tool-Ausgaben, die als autoritative Arbeitsanweisung behandelt werden
• Session-Summaries oder Memory, die ein verschobenes Ziel persistieren
• Nachrichten aus anderen Agenten, denen zu viel Vertrauen gegeben wird

Wenn du die angrenzenden Bedrohungen einordnen willst, sind vor allem Memory and Context Poisoning, Tool Misuse und Exploitation, Rogue Agents und Identity and Privilege Abuse relevant.

Wie funktioniert Agent Goal Hijack?

			flowchart TB
    task[Legitime Aufgabe fuer den Agenten]
    source[Untrusted Kontext aus Mail, PDF, RAG, Ticket oder Tool]
    inject[Manipulative Prioritaet oder neues Erfolgskriterium]
    merge[Agent vermischt Information und Instruktion]
    drift[Ziel driftet von Bewertung zu Datensammlung oder Schnellfreigabe]
    tools[Agent nutzt regulaere Tools und Berechtigungen]
    effects[Unerwuenschte Folgeaktionen]
    exfil[Data Exfiltration]
    misuse[Tool Misuse]
    memory[Persistente Zieldrift in Memory oder Summaries]

    task --> source --> inject --> merge --> drift --> tools --> effects
    effects --> exfil
    effects --> misuse
    effects --> memory

    classDef normal fill:#ffffff,stroke:#406749,stroke-width:1.5px,color:#181c1e;
    classDef warning fill:#f1f4f7,stroke:#406749,stroke-width:1.5px,color:#181c1e;
    classDef danger fill:#fdeceb,stroke:#844f59,stroke-width:1.5px,color:#181c1e;

    class task,source,inject,merge warning;
    class drift,tools,effects normal;
    class exfil,misuse,memory danger;
		

			flowchart TB
    task[Legitime Aufgabe fuer den Agenten]
    source[Untrusted Kontext aus Mail, PDF, RAG, Ticket oder Tool]
    inject[Manipulative Prioritaet oder neues Erfolgskriterium]
    merge[Agent vermischt Information und Instruktion]
    drift[Ziel driftet von Bewertung zu Datensammlung oder Schnellfreigabe]
    tools[Agent nutzt regulaere Tools und Berechtigungen]
    effects[Unerwuenschte Folgeaktionen]
    exfil[Data Exfiltration]
    misuse[Tool Misuse]
    memory[Persistente Zieldrift in Memory oder Summaries]

    task --> source --> inject --> merge --> drift --> tools --> effects
    effects --> exfil
    effects --> misuse
    effects --> memory

    classDef normal fill:#ffffff,stroke:#406749,stroke-width:1.5px,color:#181c1e;
    classDef warning fill:#f1f4f7,stroke:#406749,stroke-width:1.5px,color:#181c1e;
    classDef danger fill:#fdeceb,stroke:#844f59,stroke-width:1.5px,color:#181c1e;

    class task,source,inject,merge warning;
    class drift,tools,effects normal;
    class exfil,misuse,memory danger;
		

Agent Goal Hijack vs. Prompt Injection

Viele Suchanfragen meinen eigentlich beide Begriffe zusammen. Für die Verteidigung ist die Abgrenzung aber wichtig:

Manipulativer Fremdinput ist oft der Mechanismus, über den ein fremder Input in den Arbeitskontext gelangt. Agent Goal Hijack beschreibt den breiteren Effekt, wenn der Agent seine Mission umhängt und danach systematisch dem falschen Ziel folgt.

Nicht jeder Prompt-Injection-Fall führt zu Goal Hijack. Umgekehrt kann Goal Hijack auch durch fehlerhafte Summaries, missverstandene Policies oder schlecht getrennte Memory entstehen, ohne dass ein einzelner bösartiger Prompt klar sichtbar ist.

Warum Agent Goal Hijack in Unternehmen besonders relevant ist

In vielen produktiven Setups arbeiten Agenten mit E-Mail, CRM, Ticketing, ERP, Browsern, RAG und internen Wissensquellen. Genau diese Vielseitigkeit vergrössert die Angriffsoberfläche. Der Agent muss für gute Ergebnisse viel Kontext aufnehmen, aber genau dieser Kontext kann die Missionslogik kippen.

Besonders anfällig sind Workflows, in denen der Agent:

• zwischen Anweisung und Information nicht sauber unterscheidet
• Summaries oder Planner-State später wiederverwendet
• mit Schreibrechten, Exportfunktionen oder externen Kommunikationskanälen arbeitet
• Entscheidungen vorbereitet, die Menschen nur noch bestätigen
• mehrere Agenten oder Systeme über gemeinsame Kontexte miteinander verbindet

Ein realer Anker für diese Bedrohung ist EchoLeak, ein breit diskutierter Fall rund um Copilot-artige Angriffsabläufe. Das Beispiel ist nicht deshalb wichtig, weil jeder Fall gleich abläuft, sondern weil es zeigt: Schon untrusted natürliche Sprache in einem normalen Unternehmenskanal kann ausreichen, um einen Agenten in Richtung Datenabfluss oder Fehlhandlung zu verschieben.

Realistische Beispiele für Agent Goal Hijack

Konkrete Risiken für Unternehmen

Agent Goal Hijack ist deshalb so schädlich, weil die Aktionen des Agenten oft formal korrekt aussehen. Die eigentliche Kompromittierung liegt nicht im einzelnen API-Call, sondern in der verschobenen Missionslogik, die dahintersteht.

Wie verhindert man Agent Goal Hijack?

Wirksame Gegenmassnahmen gehen über reines Prompt Hardening hinaus. Entscheidend ist, dass Ziele, Policies und freigegebene Handlungsspielräume ausserhalb von untrusted Content verankert werden.

Im operativen Betrieb sollten diese Controls mit Monitoring und Logging, Output Validation and Guardrails und Multi-Agent Security kombiniert werden, sobald mehrere Agenten oder nachgelagerte Systeme beteiligt sind.

Wie erkennt man Agent Goal Hijack?

Besonders wertvoll sind Telemetriesignale, die Goal Transition, Plan Revision, Tool Intent, Source Provenance und Approval Path gemeinsam sichtbar machen. Genau hier ist Agent Observability für produktive Agentensysteme mehr als ein Logging-Thema: Sie wird zur Voraussetzung für Detection und Forensik.

FAQ