Op 9 juli 2026 liet een security-onderzoeker zien dat een alledaagse AI-assistent zijn eigen geheugen tegen de gebruiker kan keren. Volgens de analyse Claude Memory Heist: web_fetch PII Exfiltration werd de standaard geheugenfunctie van Claude, in combinatie met de webtools web_fetch en web_search, misbruikt om de volledige naam, de werkgever en een uit chats afgeleide woonplaats van de onderzoeker naar buiten te sturen. De gegevens werden verpakt in gecodeerde URL-paden en via het volgen van een link naar een externe server verstuurd — zonder zichtbare waarschuwing voor de gebruiker.
Dat maakt duidelijk dat geheugenfuncties geen onschuldige UX-upgrade zijn. Zodra een assistent persoonlijke informatie langdurig opslaat en die geheugenlaag combineert met web- of tooltoegang, ontstaat een nieuwe aanvalsketen. Volgens de bron beperkte de provider daarna vooral het volgen van links; het geheugen zelf werd niet fundamenteel opnieuw ontworpen.
Van handig geheugen naar exfiltratieketen
De technische uitwerking in AI Agent Memory Exfiltration: Kill Chain + 5-Step Hardening beschrijft hetzelfde patroon als een gestructureerde aanvalsklasse. Verborgen instructies in externe content — een webpagina, een e-mail, een document — zetten de assistent aan om gevoelige gegevens uit zijn geheugen op te zoeken (namen, werkgevers, antwoorden op veiligheidsvragen) en die via HTTP-verzoeken naar een server van de aanvaller te sturen.
De kern van het probleem is indirecte prompt injection: de kwaadaardige input komt niet van de gebruiker, maar uit de content die de assistent tijdens een taak binnenhaalt. De aanbevelingen uit deze analyse zijn helder: audit expliciet wat er in geheugenvelden staat, en gebruik aparte, geheugenloze sessies voor gevoelige data. Met andere woorden: geheugen en tools moeten niet vanzelfsprekend samen aan blijven staan.
Ook academisch onderzoek wijst in deze richting. De positietekst Position: Privacy is not just memorization! stelt dat privacyrisico's bij taalmodellen verder gaan dan het onthouden van trainingsdata. De auteurs benoemen expliciet direct chat leakage door providerbreuken en misleidende policies, en indirect context leakage via autonome agents en prompt injection. Ze pleiten voor meerdere verdedigingslagen — waaronder semantische deduplicatie, differential privacy en filters op entropie en patronen — om leakage te beperken zonder het nut te verliezen. De boodschap: contextlekken, chatlogs en agentgeheugen vormen samen een bredere privacycategorie dan alleen memorisatie in het model.
Hoe toezichthouders en rechtbanken ernaar kijken
Ook regulators zien geheugen inmiddels als apart risicodomein. Volgens de analyse CNIL's Agentic AI Note: Three GDPR Risks for Persistent Memory publiceerden de Franse gegevensbeschermingsautoriteit CNIL en CIANum op 20 juli 2026 een gezamenlijke notitie met persistent geheugen als eerste van drie GDPR-risico's voor agentische AI. Langdurige opslag van interactiegeschiedenis leidt volgens de notitie tot hyper-gepersonaliseerde profielen met zowel expliciete als afgeleide gegevens over gezondheid, relaties en financiën.
De notitie vraagt organisaties om te auditen wat geheugen precies opslaat en hoe wissing wordt afgehandeld — inclusief vectorstores en caches — om alle diensten die agents raken te inventariseren en contractueel te borgen, en om een audittrail van agentacties met persoonsgegevens bij te houden. Daarmee worden persistente geheugenprofielen expliciet als profiling onder de GDPR gekwalificeerd, met bijbehorende eisen rond toestemming, retentie en wissing.
Dat de druk toeneemt, blijkt ook uit AI Chatbot Memory Privacy Concerns and 3 Fixes to Know. Deze governanceanalyse beschrijft hoe rechtbanken providers hebben gedwongen conversatielogs te bewaren en te overhandigen — ook wanneer gebruikers die expliciet hadden verwijderd — en hoe providers geheugenfeatures in sommige rechtsgebieden beperkten na GDPR-handhaving. Twee praktische lessen springen eruit: geheugen vergroot het oppervlak voor dwangvorderingen, en verwijderen in de interface staat niet gelijk aan wissen in het systeem.
Geheugen als expliciet te beveiligen datalaag
Voor professionals die met vertrouwelijke of hoog-trust informatie werken, volgt hieruit een concrete ontwerpvraag. Geheugen is een datalandschap dat je expliciet moet inrichten: welke gegevens mogen überhaupt in geheugen komen; hoe scheid je geheugen, conversatiegeschiedenis, vectorstores en caches; welke retentie- en wissingregels gelden; welke tools of externe content mogen het geheugen beïnvloeden; en welke logs heb je nodig om achteraf te reconstrueren wat een agent met dat geheugen heeft gedaan.
Binnen die architectuur is er ruimte voor een verificatielaag. IamVera.ai is geen chatbot en geen eigen taalmodel, maar een privacygerichte verificatielaag voor professionals. Vera onthoudt niet méér, maar kan helpen zichtbaar te maken hoe een taak door geselecteerde onafhankelijke modellen loopt, en toont daarbij verificatiestappen, correcties, meningsverschillen en bronnen ter inspectie. Dat garandeert geen correctheid of waarheid, maar het maakt controle mogelijk.
Voor gevoelige documenten kan het Semantic Privacy Shield vertrouwelijke waarden vervangen door synthetische, sessiegebonden equivalenten op EU-infrastructuur voordat de AI-keten aan het werk gaat. De architectuur is erop ontworpen dat alleen geanonimiseerde inhoud wordt doorgestuurd; mislukt de privacycontrole, dan wordt het document niet doorgestuurd (fail-closed). Geüploade PDF's worden tijdelijk verwerkt voor de actieve run en niet permanent bewaard. Documenten bekijken en bewerken kan binnen de beschermde workflow via Vera Office, altijd onder controle van de gebruiker. Wie later wil kunnen zien hoe een run verliep, vindt in Evidence zicht op de vastgelegde stappen.
De rode draad van de recente incidenten, richtsnoeren en onderzoeken is nuchter: geheugen in AI-assistenten is van handige feature veranderd in een databeveiligings- en governancevraagstuk. Het blijft beheersbaar wanneer je het als een expliciet ontworpen, verifieerbare geheugenlaag behandelt — met beperkte opslag, scheiding van tools, duidelijke opt-in/opt-out en auditbare logs. Het professionele eindoordeel blijft daarbij altijd bij de gebruiker.