injection-guard

Ein Open-Source-Plugin für den Hermes-Agenten, das Prompt-Injection in geholtem Web-Content erkennt — damit ein KI-Agent Anweisungen, die in einer Webseite versteckt sind, als Daten behandelt und nicht befolgt.
https://github.com/gweber/hermes-injection-guard

Das Problem

Sobald ein Agent Webseiten liest, kann eine präparierte Seite versuchen, ihn zu kapern: „Ignoriere alle vorherigen Anweisungen…", versteckte Rollenwechsel, Exfiltrations-Aufforderungen. Hermes bringt starke Schutzschichten mit (Befehls-Scan, SSRF-/Metadata-Guards, Homograph-Domains) — aber keinen Content-Level-Scan auf Prompt-Injection. Genau diese Lücke schließt das Plugin.

Wie es funktioniert

– Hook transform_tool_result: greift, wenn ein Content-Tool (Browser, web_extract …) Text zurückgibt.
– Klassifikator protectai/deberta-v3-base-prompt-injection-v2 (Apache-2.0) — klein, CPU, lazy-geladen.
– Bei einem Treffer: nicht-blockierende „behandle als Daten"-Warnung am Ergebnis (optionaler Block-Modus).
– Skills, Terminal und File-Tools sind bewusst ausgenommen.

Installation

pip install transformers torch sentencepiece
hermes plugins install gweber/hermes-injection-guard
hermes plugins enable injection-guard

Das Modell (~700 MB) lädt beim ersten Treffer von Hugging Face und wird gecacht; es läuft auf der CPU. Fehlen transformers/torch, lädt das Plugin sauber und der Hook ist ein No-op.

Ehrlicher Hinweis

Injection-Klassifikatoren sind nicht perfekt (False Positives/Negatives, umgehbar — besonders bei neuen Angriffen). Eine Schicht in der Tiefenverteidigung, kein Allheilmittel: Least-Privilege-Ausführung und „Inhalt ist Daten"-Prompting gehören dazu.

Selbst testen

Die Live-Test-Seite enthält eine echte Prompt-Injection-Nutzlast. Lässt du einen Agenten sie abrufen, markiert ein abgesicherter Agent den Inhalt als Daten und folgt ihm nicht:
https://www.webersheim.de/injection-guard-test.html

Lizenz

MIT · Klassifikator: ProtectAI (Apache-2.0) · Code & Doku:
https://github.com/gweber/hermes-injection-guard