Keine Content-Security-Policy

Eine Content-Security-Policy sagt dem Browser, aus welchen Quellen er Skripte ausführen darf. Ohne sie führt der Browser jedes Skript aus, das irgendwie in die Seite gelangt — auch eines, das über ein Eingabefeld, einen Kommentar oder eine kompromittierte Fremdbibliothek hineinkommt.

Für KI-gebaute Apps ist das besonders relevant, weil dort häufig Nutzereingaben ungefiltert ins HTML gerendert werden. Die CSP ist dann die zweite Verteidigungslinie: Selbst wenn die Lücke im Code existiert, verhindert eine strenge Policy, dass fremder Code tatsächlich läuft.

Der Einstieg ist unspektakulär und wirksam: einen Content-Security-Policy-Header setzen, der Skripte auf die eigene Domain begrenzt, und ihn zunächst im Report-Only-Modus fahren, um nichts zu zerschießen. Danach schrittweise verschärfen.