Een AI-agent kan een kwaadaardige instructie netjes weigeren en toch later, in een andere sessie, ernaar handelen. Dat is de kern van een onderzoek dat de University of Washington in juli 2026 publiceerde (arXiv:2607.14611) en dat door CryptoBriefing werd samengevat. Volgens die samenvatting weigerden agenten van onder meer Anthropic en OpenAI schadelijke instructies, maar bewaarden ze die instructies wel in hun persistente geheugen, waarna het gedrag in latere sessies alsnog werd beïnvloed. Prompt injection is daarmee niet langer alleen een probleem van input-filtering, maar ook van geheugen en retentie.
Die bevinding past in een breder beeld dat zich in het voorjaar en de zomer van 2026 aftekent. Incidenten, nieuwe aanvalsvormen en normatieve kaders wijzen in dezelfde richting: prompt injection bij AI-agents is geen losse modelbug die je met een beter filter oplost, maar een structurele kwestie die in de architectuur van het hele systeem zit. Zodra een agent externe content leest én toolrechten, data-toegang of code-uitvoering heeft, ontstaat een aanvalsoppervlak dat een enkel model-filter niet afdekt.
Van tekstuele prompt naar host-level RCE
Hoe ver dat kan gaan, liet Microsoft zien in een securityblog van 7 mei 2026 met de veelzeggende titel When prompts become shells. Tijdens onderzoek naar het Semantic Kernel-framework vond Microsoft twee kritieke kwetsbaarheden, waaronder CVE-2026-26030. Daarmee kon een enkele prompt injection tegen een agent met bepaalde plug-ins uitmonden in remote code execution op hostniveau.
Dat is een belangrijke verschuiving. Waar prompt injection lang werd gezien als een manier om een model verkeerde antwoorden te ontlokken, laat het Microsoft-onderzoek zien dat de injectie kan doorslaan naar directe systeemcompromittering wanneer toolbinding, sandboxing en filtering niet goed zijn ontworpen. De tekst die de agent leest, wordt dan feitelijk een commando dat op het onderliggende systeem wordt uitgevoerd.
Dat dit geen randgeval is, blijkt uit de normatieve kant. De Cloud Security Alliance vatte in maart 2026 de geactualiseerde adversarial-ML-taxonomie van NIST (AI 100-2) samen en constateerde dat NIST voor het eerst indirect prompt injection, agent memory poisoning en tool-misbruik expliciet als aanvalsklassen voor agentic systemen benoemt. Volgens de CSA-analyse positioneert NIST verdediging tegen (indirecte) prompt injection daarmee als een architecturale control-eis, niet als iets wat je met fine-tuning of red-teaming alleen afvangt. Voor organisaties met governanceverplichtingen betekent dat: de attack surface van agents hoort thuis in het beveiligings- en compliance-ontwerp.
Nieuwe route: agent data injection
Terwijl klassieke prompt injection nog draait om instructieteksten, beschreef The Hacker News op 16 juli 2026 een aanpalende aanvalsklasse: agent data injection (ADI). Daarbij worden niet de instructies gemanipuleerd, maar de data waarop de agent vertrouwt: naamvelden, knop-ID's, metadata. De agent interpreteert die data als betrouwbaar en voert er verborgen commando's op uit.
Het lastige aan ADI is dat prompt-hardening en content-filters die aanval vaak missen, omdat er geen herkenbare kwaadaardige instructie in de tekst staat. Webpagina's, documenten, e-mails en zelfs veldnamen of knop-ID's worden zo injectieroutes. The Hacker News concludeert dat beveiliging moet verschuiven naar strengere interpretatieregels, context-scheiding en output-validatie op agentniveau.
Bij elkaar opgeteld schetsen deze bronnen prompt injection bij agents als een drievoudig probleem: gedrag (de agent doet iets anders dan bedoeld), veiligheid (escalatie naar RCE) en geheugen (instructies die blijven hangen). Directe, indirecte en data-laag-aanvallen versterken elkaar.
Van model-fix naar verifieerbare architectuur
Wat is dan wél houdbaar? Een onderzoeksartikel van Zylos AI van 16 mei 2026 beschrijft een gelaagde defense stack voor agentic AI. De ontwerpprincipes daarin sluiten aan op de bevindingen hierboven: scheiding van vertrouwde instructiekanalen en niet-vertrouwde datakanalen, sandboxing van code-uitvoering, per-agent credentials met minimaal privilege, en uitgebreide logging van toolcalls en geheugenmutaties. De rode draad is dat mitigatie op architectuur- en workflowniveau plaatsvindt, niet in één model-filter.
De praktische consequentie is dat organisaties die met gevoelige of hoog-trust informatie werken hun agents moeten behandelen als volwaardige, potentieel malafide identiteiten binnen hun architectuur. Concreet betekent dat: strikte scheiding tussen instructies en data, least-privilege toolbinding, sandboxing, een expliciet geheugen- en retentiebeleid (juist vanwege de UW-bevinding), multi-laag detectie en tamper-evidente logging.
Waar een verificatielaag zoals Vera past
In dat plaatje is een verificatielaag geen vervanger van deze controls, maar een aanvulling die het geheel zichtbaar en controleerbaar maakt. Vera is een privacygerichte verificatielaag voor professionals die met vertrouwelijke informatie werken; het is geen chatbot en geen eigen taalmodel. Vera kan een taak door geselecteerde, onafhankelijke AI-modellen laten lopen en de verificatiestappen, correcties, onderlinge afwijkingen en gebruikte bronnen zichtbaar maken voor inspectie. Dat ondersteunt controle, maar garandeert geen juistheid of waarheid.
Voor het prompt-injectievraagstuk is vooral de zichtbaarheid relevant. Een verificatieconsole kan helpen inzichtelijk te maken welke externe bronnen in een workflow zijn betrokken en welke stappen zijn gezet, zodat professionals afwijkingen makkelijker opmerken en waar nodig ingrijpen. Voor documentworkflows is de Semantic Privacy Shield relevant: voorbewerking en anonimisering vinden plaats op EU-infrastructuur, waarbij gevoelige waarden worden vervangen door synthetische, sessiegebonden equivalenten. De workflow is fail-closed: mislukt de privacycontrole, dan wordt het document niet doorgestuurd. Zo is de architectuur ontworpen om alleen geanonimiseerde inhoud naar de geselecteerde modellen te sturen.
De bronnen van dit voorjaar en deze zomer wijzen dezelfde kant op: prompt injection bij AI-agents is in 2026 alleen beheersbaar binnen een expliciet ontworpen, auditeerbare architectuur. Techniek kan controle ondersteunen en meer zicht geven, maar het professionele eindoordeel blijft bij de gebruiker.