Prompt Injection in Zahlen
Eine Seite mit Zahlen statt Einschätzungen: wie viele Schwachstellen mit Bezug zu Prompt Injection registriert sind, wie schwer sie wiegen, welche Produktarten sie treffen und wie sich der Threat Index von Ausgabe zu Ausgabe entwickelt. Jede Zahl wird beim Bau der Seite aus dem offenen Datensatz gezählt, nichts ist von Hand eingetragen, und jede Zahl lässt sich über den Datensatz nachrechnen.
Die Zahlen beschreiben den dokumentierten Bestand dieses Portals, nicht die Welt: Sie zählen, was eine erreichbare Primärquelle datiert und was die Aufnahmekriterien von CVE-Verzeichnis und Threat Index erfüllt. Ein Anstieg kann auf mehr Angriffe, auf mehr Aufmerksamkeit oder auf eine gründlichere Erfassung zurückgehen; wo die Methode sich geändert hat, steht es dabei.
Zitierfähige Kurzfassung
Stand 06.11.2026 dokumentiert promptinjections.de 52 registrierte Schwachstellen (CVE) in LLM- und Agenten-Software mit Bezug zu Prompt Injection, davon 6 kritisch (CVSS ≥ 9,0) und 32 hoch. Neu registriert wurden 10 im August 2026, 13 im September 2026 und 23 im Oktober 2026. Der Threat Index zählt in 3 Ausgaben 109 geprüfte Einträge; der Bereich mit den meisten Einträgen ist „Agenten-Frameworks und Werkzeug-Server“ (28). Betroffen sind vor allem Coding-Agent (8), KI-Gateway / Proxy (6), MCP-Server (6).
- 52registrierte CVEs mit Bezug zu Prompt Injection
- 6davon kritisch (CVSS ≥ 9,0)
- 23neue CVEs im Oktober 2026
- 109geprüfte Einträge im Threat Index (3 Ausgaben)
Schwachstellen nach Schweregrad, Produktart und Fehlerklasse
Grundgesamtheit: die 52 Einträge des CVE-Verzeichnisses, Stand 06.11.2026. CVSS, Schweregrad und CWE stammen aus der NVD und werden beim Bau maschinell gegenprüft. Median des CVSS-Basiswerts: 8,0 (52 Einträge mit Wert).
| Schweregrad (NVD) | Einträge | Anteil |
|---|---|---|
| Kritisch (9,0–10,0) | 6 | 12 % |
| Hoch (7,0–8,9) | 32 | 62 % |
| Mittel (4,0–6,9) | 13 | 25 % |
| Niedrig (0,1–3,9) | 1 | 2 % |
| Produktart | Einträge | Anteil |
|---|---|---|
| Coding-Agent | 8 | 15 % |
| KI-Gateway / Proxy | 6 | 12 % |
| MCP-Server | 6 | 12 % |
| Inferenz-Infrastruktur | 4 | 8 % |
| Agenten-Framework | 3 | 6 % |
| Browser mit Assistent | 3 | 6 % |
| Agenten-Plattform | 2 | 4 % |
| Weitere Produktarten (20, je ein Eintrag) | 20 | 38 % |
Produktart laut Einordnung des Verzeichnisses; Anteile gerundet.
| Fehlerklasse (CWE laut NVD) | Einträge |
|---|---|
| CWE-918 · Server-Side Request Forgery | 7 |
| CWE-436 · Interpretationskonflikt | 5 |
| CWE-502 · Unsichere Deserialisierung | 4 |
| CWE-862 · Fehlende Autorisierung | 4 |
| CWE-94 · Code Injection | 4 |
| CWE-306 · Fehlende Authentifizierung für kritische Funktion | 3 |
Die sechs häufigsten Fehlerklassen. Ein Eintrag kann mehrere CWEs tragen; 3 Einträge haben in der NVD noch keine CWE.
Threat Index: Einträge je Ausgabe und Bereich
Der Threat Index zählt monatlich geprüfte Ereignisse: registrierte Schwachstellen, dokumentierte Vorfälle, Forschung, Standards und Herstellermaßnahmen. Ein Eintrag kann mehreren Bereichen zugeordnet sein.
| Bereich | Einträge gesamt | Aug 26 | Sep 26 | Okt 26 | CVEs | Vorfälle | Forschung |
|---|---|---|---|---|---|---|---|
| Agenten-Frameworks und Werkzeug-Server | 28 | 6 | 6 | 16 | 21 | — | 7 |
| Abwehr und Architektur | 24 | 3 | 11 | 10 | — | — | 21 |
| Coding-Agenten | 15 | 1 | 2 | 12 | 11 | 1 | 3 |
| LLM-Proxys und Gedächtnis | 13 | 1 | 8 | 4 | 8 | 3 | 2 |
| Autonome Modelle in Evaluationsumgebungen | 10 | 2 | 4 | 4 | — | 5 | 3 |
| Standards und Leitlinien | 10 | 2 | 4 | 4 | — | — | — |
| Browser-Agenten und lokale Agenten | 7 | 3 | 3 | 1 | 5 | — | 2 |
| Assistenten im Produktivsystem (E-Mail, Office) | 7 | 2 | 3 | 2 | 1 | — | 6 |
| Dokumente und RAG | 4 | 2 | 0 | 2 | — | 1 | 3 |
Summen über alle veröffentlichten Ausgaben (August 2026, September 2026, Oktober 2026). Die Einordnung je Bereich steht in der jeweiligen Monatsausgabe.
Der Datenbestand des Portals
| Datensatz | Einträge | Lizenz | JSON (API) |
|---|---|---|---|
| Techniken der Prompt Injection | 52 | CC-BY-4.0 | /api/v1/techniken.json |
| Glossar der LLM-Sicherheit | 82 | CC-BY-4.0 | /api/v1/glossar.json |
| Dokumentierte Vorfälle | 9 | CC-BY-4.0 | /api/v1/vorfaelle.json |
| Werkzeuge gegen Prompt Injection | 32 | CC-BY-4.0 | /api/v1/werkzeuge.json |
| Dokumentierte Befunde je Modell | 16 | CC-BY-4.0 | /api/v1/modelle.json |
| OWASP Top 10 für LLM-Anwendungen 2026, deutsche Einordnung | 10 | CC-BY-SA-4.0 | /api/v1/owasp-llm-top10.json |
| CVE-Verzeichnis: Schwachstellen in LLM- und Agenten-Software | 52 | CC-BY-4.0 | /api/v1/cves.json |
| Prompt Injection Threat Index (Monatsausgaben) | 3 | CC-BY-4.0 | /api/v1/threat-index.json |
Datensatz-Version 2.2.0, 256 Einträge, gezählt beim Bau dieser Seite.
So zitieren Sie diese Zahlen
Alle Werte auf dieser Seite werden beim Bau aus dem offenen Datensatz gezählt und ändern sich mit jeder Monatsausgabe. Für einen festen Stand zitieren Sie die Datensatz-Version über ihren DOI:
Köse, Gökhan (2026): promptinjections-dataset, Version 2.2.0. promptinjections.de. DOI: 10.5281/zenodo.24054569. Lizenz CC BY 4.0.
Für eine einzelne Zahl im Fließtext genügt der Verweis auf diese Seite mit Datum: „promptinjections.de, Prompt Injection in Zahlen, Stand 06.11.2026“. Die Rohdaten liegen unter /api/v1/cves.json und /api/v1/threat-index.json.
Wie gezählt wird
Das CVE-Verzeichnis nimmt eine Schwachstelle auf, wenn sie ein Sprachmodell, einen darauf gestützten Agenten oder dessen Werkzeugkette betrifft und Prompt Injection Ursache oder Folge ist; Kennung, Datum, CVSS und CWE werden maschinell gegen die NVD geprüft. Der Threat Index zählt Ereignisse mit datierter, erreichbarer Primärquelle; die Methode je Ausgabe steht auf der Monatsseite. Seit der Ausgabe September 2026 wird die NVD zusätzlich monatlich abgefragt, deshalb sind die Monate davor nur eingeschränkt vergleichbar.
Grundgesamtheit sind das CVE-Verzeichnis (maschinell gegen die NVD geprüft) und die veröffentlichten Ausgaben des Threat Index; die Primärquellen stehen bei den einzelnen Einträgen.