Person · prägte den Begriff „Prompt Injection“

Simon Willison

Zusammengestellt von Gökhan Köse, Herausgeber · zuletzt geprüft 5. August 2026

Wer ist Simon Willison?

Simon Willison (geboren 1981 im Vereinigten Königreich) ist britischer Programmierer und unabhängiger Forscher. Bekannt wurde er zunächst als Co-Autor des Django Web Framework und als Schöpfer des Open-Source-Werkzeugs Datasette.

Seit September 2022 ist er einer der öffentlich sichtbarsten Analysten für Prompt Injection und die Sicherheit von Anwendungen mit großen Sprachmodellen. Sein Blog zählt zu den am häufigsten in wissenschaftlichen Arbeiten zitierten nicht-akademischen Quellen des Feldes.

Der 12. September 2022 — die Prägung des Begriffs

Am 11. September 2022 demonstrierte Riley Goodside öffentlich, wie sich die Systemanweisung eines GPT-3-Bots durch eine eingeschleuste Nutzereingabe verdrängen lässt. Einen Tag später veröffentlichte Willison den Blogbeitrag, der die Angriffsklasse benannte: „Prompt Injection“.

Willison grenzte den Begriff bewusst von klassischer Injection wie SQL-Injection ab und benannte die Wurzel des Problems: Systemanweisung und Fremdtext teilen sich denselben Kontext, und das Modell kann sie nicht zuverlässig trennen. Der historische Ablauf ist unter Ignore Previous Instructions dokumentiert.

Konzepte, die auf Willison zurückgehen

Dual-LLM-Muster (2023): Ein privilegiertes Modell steuert Aktionen, ein zweites, isoliertes Modell verarbeitet nicht vertrauenswürdige Inhalte, ohne selbst wirksame Aktionen auslösen zu können. Das Muster ist der konzeptionelle Vorläufer von CaMeL.

Lethal Trifecta (2025): Willisons verdichtete Bedingung dafür, wann Prompt Injection unweigerlich ausbeutbar wird — sobald private Daten, nicht vertrauenswürdige Inhalte und eine Exfiltrationsmöglichkeit zusammentreffen. Auf diesem Portal als tödliche Trias geführt.

Prompt Injection als ungelöstes Problem: Willisons Kernposition nach über drei Jahren lautet, dass es keine allgemeine Lösung gibt — nur die Möglichkeit, Architektur so zu bauen, dass eine Injektion nichts anrichten kann.

Rolle als Übersetzer für die Praxis

Was Willison im Feld einzigartig macht, ist die Übersetzungsleistung: Er überführt akademische Arbeiten und Hersteller-Advisories in verständliche, überprüfbare Analysen für Praktiker. Damit ist er neben dem akademischen Systematiker Kai Greshake und dem Praxis-Dokumentator Johann Rehberger eine der drei tragenden Figuren der öffentlich sichtbaren Prompt-Injection-Forschung.

Zeitleiste

Quellen

1. Willison, S. (2022): Prompt injection attacks against GPT-3: https://simonwillison.net/2022/Sep/12/prompt-injection/
2. Willison, S. (2023): The Dual LLM pattern: https://simonwillison.net/2023/Apr/25/dual-llm-pattern/
3. Willison, S.: Serie „prompt injection“: https://simonwillison.net/series/prompt-injection/
4. Wikipedia: Simon Willison: https://en.wikipedia.org/wiki/Simon_Willison

Im Zusammenhang

• Was ist Prompt Injection? — der Begriff, den Willison prägte
• Dual-LLM und CaMeL
• Die tödliche Trias
• Ignore Previous Instructions
• Kai Greshake
• Johann Rehberger
• Alle Personen im Überblick