So prüft inject0 abgerufene Inhalte
inject0 ist die lokale Prüfung im poison0-Agenten (ab poison0-Agent 1.16.56). Sie prüft abgerufene Inhalte auf Prompt Injection, bevor der Agent sie verarbeitet, direkt auf dem Gerät. Der Dienst für eigene Anwendungen heißt inject0 Gateway und ist ein eigenes Produkt.
Was geprüft wird
inject0 prüft die Antwort eines Tools, nachdem es gelaufen ist und bevor der Agent sie liest (Hook PostToolUse). Ihre eigenen Eingaben prüft inject0 nicht.
| Abgerufener Inhalt | Geprüft | Hinweis |
|---|---|---|
| Web-Abrufe | ja | Bei WebFetch in Claude Code sieht der Hook nur die Zusammenfassung, die das Tool erstellt. |
| Websuche | ja | Die Trefferliste der Suche |
| MCP-Tools | ja | Jede Antwort eines MCP-Servers |
| Shell-Ausgabe | ja | Die Ausgabe von Befehlen, etwa curl oder git log |
| Dateien lesen | ja | Auch Suchtreffer mit Dateiinhalt, etwa Grep im Inhaltsmodus |
| Dateilisten | nein | Glob, LS und Grep nur mit Dateinamen enthalten keinen Inhalt. |
Melira bewertet den ganzen Text auf dem Gerät mit einem Score zwischen 0,000 und 1,000. Ab der Alarmschwelle gilt die Antwort als Treffer. Kein Pfad ist ausgenommen.
Stufen
| Stufe in der Konsole | Wert | Wirkung bei einem Treffer |
|---|---|---|
| Aus | off | Keine Prüfung. Abgerufene Inhalte gehen ungeprüft an den Agenten. |
| Beobachten | observe | Der Treffer steht im lokalen Audit. Der Agent erhält die Antwort unverändert. |
| Kennzeichnen | hint | Die Antwort bleibt. Der Agent erhält den Hinweis, Anweisungen darin nicht zu befolgen. |
| Entfernen (Standard) | redact | Der Agent erhält statt der Antwort einen kurzen Hinweis. Der Text bleibt auf dem Gerät. |
Was bei Entfernen passiert
- Der Agent erhält statt der ganzen Antwort einen Hinweis mit Score und Schwelle.
- Der Text liegt als einfache Datei in Ihrem eigenen Datenordner:
~/.poisonzero/inject0-withheld, unter Windows%LOCALAPPDATA%\PoisonZero\inject0-withheld. Der Hinweis nennt die Datei. - Die Dateien sind nicht verschlüsselt und laufen nicht ab. Löschen Sie sie bei Bedarf selbst.
- Liest der Agent eine solche Datei später, prüft inject0 sie erneut.
Alarmschwelle
| Punkt | Wert |
|---|---|
| Standard | 0,30, erlaubt sind 0,20 bis 0,40 |
| Cloud-Geräte | Eine abweichende Schwelle legt PoisonZero nach Absprache für Ihr Konto fest. |
| Private Geräte | Eine abweichende Schwelle steht in der signierten client-config.json. |
| Am Gerät | Der Befehl poisonzero inject0 threshold zeigt Wert und Quelle, ändert ihn aber nicht. |
Wenn die Prüfung nicht möglich ist
| Situation | Entfernen | Kennzeichnen | Beobachten |
|---|---|---|---|
| Zeitbudget überschritten, Modell lädt noch, Fehler der Engine oder Antwort größer als 8 MiB | Antwort zurückgehalten, als ungeprüft benannt | Hinweis „nicht geprüft“ | Antwort unverändert, Eintrag im Audit |
| PoisonZero-Dienst nicht erreichbar | Antwort zurückgehalten | Hinweis „nicht geprüft“ | Antwort unverändert |
Ist Melira auf dem Gerät noch nicht installiert, prüft inject0 nichts. Der Agent erhält dann einmal je Sitzung den Hinweis, dass abgerufene Inhalte ungeprüft sind. poisonzero doctor nennt den Grund.
Unterstützte Agenten
inject0 nutzt dieselben Hook-Einträge wie exec0 und leak0.
| Agent | Was geprüft wird | Wirkung |
|---|---|---|
| Claude Code | Alle oben genannten Antworten | Entfernen und Kennzeichnen. Bei WebFetch nur die Zusammenfassung. |
| Codex (CLI und IDE) | Alle oben genannten Antworten | Entfernen ersetzt die ganze Antwort durch den Hinweis. |
| Gemini CLI | Alle oben genannten Antworten | Entfernen ersetzt die ganze Antwort. Den Hinweis beim Kennzeichnen sehen nur Sie, nicht das Modell. |
| Cursor | Nur Antworten von MCP-Tools | Entfernen und Kennzeichnen |
| Antigravity CLI | Keine | Keine Wirkung: Der Hook erhält die abgerufenen Inhalte nicht. |
Zusammenspiel mit leak0
Ersetzt leak0 einen Secret-Wert in abgerufenen Inhalten durch einen Platzhalter, prüft inject0 die Fassung mit Platzhalter. Den Secret-Wert sieht inject0 nie.
Einstellungen
| Tarif und Gerät | Einstellung |
|---|---|
| Enterprise, Cloud-Geräte | Konsole: Settings → Profile, beim Profil Bearbeiten, Reiter inject0: Schalter Eingeschaltet und Stufe. Geräte übernehmen die Einstellung beim nächsten Abgleich. |
| Enterprise, private Geräte | Die Stufe steht in der signierten client-config.json aus Für Private exportieren. Verteilung: Den poison0-Agenten installieren. |
| Pro und Solo Dev | Immer an, in der Stufe Entfernen |
| Am Gerät | Kein lokaler Schalter. poisonzero status zeigt die Stufe und ob die Prüfung läuft. |
Audit
| In der Konsole | Aktion | Bedeutung | Konsolen-Audit (Cloud-Modus) |
|---|---|---|---|
| Zurückgehalten | inject0_withheld | Treffer, die Antwort wurde zurückgehalten | ja |
| Markiert | inject0_marked | Treffer in der Stufe Kennzeichnen | ja |
| Nicht geprüft | inject0_unchecked | Die Prüfung wurde nicht fertig | ja |
| Beobachtet | inject0_observed | Treffer in der Stufe Beobachten | nein, nur lokal |
Felder je Eintrag: Zeit, Agent, Tool, Größe der Antwort, Score, Schwelle, Stufe und Entscheidung. Nie enthalten sind der Text, URLs und Pfade.
Datenschutz
| Daten | Cloud-Modus | Privater Modus |
|---|---|---|
| Text der abgerufenen Inhalte | Auf dem Gerät geprüft, nie gesendet | Auf dem Gerät geprüft, nie gesendet |
| Zurückgehaltener Text | Nur in Ihrem eigenen Datenordner | Nur in Ihrem eigenen Datenordner |
| Audit-Eintrag, ohne Inhalt | Auf dem Gerät und in der Konsole | Nur auf dem Gerät |
| Modell | Lädt der poison0-Agent herunter | Kommt mit dem Lizenzabruf etwa alle 30 Tage, ohne zusätzliche Anfrage |
Vollständige Liste: Was der Cloud-Modus sendet.
Verfügbarkeit
| Punkt | Wert |
|---|---|
| Version | Ab poison0-Agent 1.16.56 |
| Tarife | Solo Dev, Pro und Enterprise |
| Rechner | Läuft auf der CPU. Eine GPU ist nicht nötig. |
Weiterlesen
Für eigene Anwendungen und LLM-Gateways: inject0 Gateway. Schädliche Tool-Aufrufe: exec0. Secret-Abfluss: leak0.