Was ist Context Poisoning?

Context Poisoning ist ein Fehlermuster von KI-Systemen, bei dem eine falsche oder irreführende Information in den Kontext des Modells gelangt und danach für den Rest der Interaktion als wahr behandelt wird, oft sogar darüber hinaus. Weil Sprachmodelle aus dem schließen, was in ihrem Kontext steht, bleibt eine einzelne vergiftete Aussage nicht eingehegt: Das Modell baut darauf auf, wiederholt sie und lässt sie jede nachgelagerte Antwort prägen. Aus einem kleinen Fehler wird ein sich verstärkender.

Bekannt wurde der Begriff als Teil einer breiteren Systematik von Kontextfehlern, die Drew Breunig 2025 beschrieben hat, und er wurde in echten Systemen beobachtet. Besonders deutlich in einem Bericht von Google DeepMind, in dem bei einem Gemini-Agenten, der Pokemon spielte, Halluzinationen den Abschnitt „Ziele“ seines Kontexts vergifteten und sein Verhalten für den Rest des Laufs steuerten. Während Unternehmen ihre KI in eigenen Daten erden und Agenten über lange Aufgaben hinweg Kontext ansammeln lassen, ist Context Poisoning zu einem der folgenreichsten Risiken für die Verlässlichkeit geworden, und zu einem, dem Data Governance gut vorbeugen kann.

Context Poisoning im Überblick

Context Poisoning tritt auf, wenn falsche Informationen in den Kontext aufgenommen und dann als Prämisse für weiteres Schließen akzeptiert werden: eine Halluzination des Modells, ein veraltetes Faktum, ein falsch abgerufenes Dokument oder eine böswillig eingeschleuste Aussage. Das bestimmende Merkmal ist Beharrlichkeit und Verstärkung: Anders als eine einmalig falsche Antwort bleibt eine vergiftete Aussage im Kontext stehen und verseucht alles, was darauf aufbaut. Das Modell schließt getreu aus einer falschen Prämisse, liefert selbstsicher Falsches und führt die vergiftete „Tatsache“ womöglich noch als Begründung an.

Das Grundproblem ist, dass ein Sprachmodell von sich aus keine Möglichkeit hat, eine wahre Aussage in seinem Kontext von einer falschen zu unterscheiden. Es nimmt das Kontextfenster als gegeben. Was dort hineingelegt wird, trägt die Autorität einer Tatsache, und genau deshalb zählt was Sie in den Kontext legen und ob es vertrauenswürdig ist, mehr als die Raffinesse Ihres Prompts.

Einer von vier Kontextfehlern

Context Poisoning ist eine von vier vielzitierten Arten, auf die ein Kontextfenster versagen kann. Sie treten oft gemeinsam auf und mindern allesamt die Verlässlichkeit.

• Context Poisoning - eine Falschaussage gelangt hinein, gilt als wahr und wirkt über die gesamte Interaktion fort.
• Distraction - so viel angesammelter Kontext, dass das Modell seinen eigenen Verlauf übergewichtet, statt frisch zu schließen.
• Context Confusion - belanglose Informationen im Kontext beeinflussen die Antwort.
• Context Clash - Teile des Kontexts widersprechen einander, und das Modell löst das schlecht auf.

Poisoning ist das heimtückischste der vier, weil es sich als Tatsache tarnt und über viele Züge hinweg überlebt. Zusammen sind diese Fehler ein wesentlicher Treiber von Context Rot, dem breiten Verfall der Ausgabequalität, während der Kontext größer und unordentlicher wird.

Wie es dazu kommt

Kontext wird auf mehreren verbreiteten Wegen vergiftet:

• Selbstvergiftung durch Halluzination. Das Modell erfindet ein Faktum, diese Ausgabe wird in einen Speicher oder einen Notizblock zurückgeschrieben, und der Agent behandelt die eigene Erfindung fortan als gesicherte Wahrheit.
• Schlechter Abruf. Eine Pipeline mit RAG zieht ein veraltetes, falsches oder aus dem Zusammenhang gerissenes Dokument heran, und das Modell nimmt es als maßgeblich an.
• Veraltete oder ungesteuerte Daten. Der Kontext ist in Daten ohne vereinbarte Definition und ohne Zusage zur Aktualität geerdet, sodass ein überholter Wert hineingelangt, als wäre er aktuell.
• Prompt Injection. Eine böswillige Anweisung oder eine falsche Aussage wird gezielt in Inhalte gelegt, die der Agent aufnimmt, und vergiftet seinen Kontext mit Absicht.

In jedem dieser Fälle trifft das Modell keine Schuld, es schließt korrekt aus einer falschen Prämisse. Der Fehler liegt weiter oben, darin, was in den Kontext gelassen wurde und ob seine Vertrauenswürdigkeit je festgestellt wurde.

Wie Sie es verhindern

Weil das Modell Tatsachen nicht selbst prüfen kann, muss die Vorbeugung an der Quelle des Kontexts ansetzen:

• In vertrauenswürdigen Daten erden. Speisen Sie die KI aus gesteuerten, maßgeblichen Quellen mit vereinbarten Definitionen, nicht aus ungeprüften Dokumenten oder Kopien von der Hand in den Mund.
• Herkunft verfolgen. Führen Sie Data Lineage, damit sich jede Aussage im Kontext auf einen bekannten, vertrauenswürdigen Ursprung zurückführen lässt und sich nicht vertrauenswürdige Inhalte kennzeichnen oder ausschließen lassen.
• Den Abruf prüfen. Stellen Sie sicher, dass abgerufener Kontext aktuell, relevant und aus einer freigegebenen Quelle ist, bevor er das Modell erreicht.
• Isolieren und auffrischen. Verhindern Sie, dass ungeprüfte Ausgaben des Modells still in langlebigen Kontext zurückwandern, und frischen Sie den Kontext an der maßgeblichen Quelle auf, statt ihn driften zu lassen.

Alles davon läuft auf ein Prinzip hinaus: steuern, was in den Kontext gelangt. Raffiniertes Prompting kann eine vergiftete Prämisse nicht heilen, das können nur vertrauenswürdige, nachvollziehbare Eingaben.

Wie Dawiso hilft

Dawiso verhindert Context Poisoning, indem der Kontext, den die KI aufnimmt, von vornherein gesteuert und nachvollziehbar ist. Der Context Layer verbindet Ihr Glossar, Ihren Datenkatalog und Ihre Lineage zu einer einheitlichen Datenbasis und liefert sie über den Dawiso MCP Server an jeden Agenten. Statt sich auf irgendein Dokument zu erden, das ein Abrufschritt zufällig zutage gefördert hat, schöpft ein Agent damit aus maßgeblichen Definitionen und vertrauenswürdigen Daten mit bekannter Herkunft, und wenn eine Aussage verwendet wird, ist ihr Ursprung nachvollziehbar. Poisoning lebt von ungeprüftem Kontext. Ein gesteuerter Context Layer ist genau das geprüfte Fundament aus einer einheitlichen Datenbasis, das ihm die Nahrung entzieht.

Fazit

Context Poisoning macht aus einer falschen Aussage eine Kette selbstsicherer, sich verstärkender Fehler, weil ein Modell alles in seinem Kontext für wahr hält. Es gehört zu den schädlichsten Kontextfehlern, gerade weil es sich als Tatsache tarnt und über viele Züge hinweg bestehen bleibt. Das Heilmittel ist kein besserer Prompt, sondern eine vertrauenswürdige Quelle: steuern, was in den Kontext gelangt, verfolgen, woher es kam, und es aktuell halten. Erden Sie Ihre KI in einem gesteuerten Context Layer, und die falschen Prämissen, die das Schließen vergiften, gelangen gar nicht erst ins Fenster.