Verborgen AI-instructies staan op duizenden webpagina's: behandel externe inhoud als onvertrouwde data

Behandel elke webpagina, PDF of e-mail die een AI-systeem ophaalt of samenvat als onvertrouwde data: onderzoekers vonden ruim 15.000 verborgen instructies op openbare webpagina's en detectie betekent niet dat het model ze negeert. Beveilig daarom retrieval, toolrechten en menselijke goedkeuring los van de documentinhoud.

Een grootschalige meting, gepubliceerd op 29 april 2026 in de studie Indirect Prompt Injection in the Wild, heeft indirecte promptinjectie van labfenomeen tot meetbaar verschijnsel gemaakt. De onderzoekers analyseerden 1,2 miljard URL's op 24,8 miljoen hosts en valideerden 15.387 injecties op 11.722 pagina's. Ongeveer 70 procent stond in kanalen die mensen niet zien: HTTP-headers, metadata, comments en gestructureerde data. Een verborgen instructie is een stuk tekst dat bedoeld is om het gedrag van een AI-model te sturen zonder dat de gebruiker het bemerkt. Promptinjectie staat als risicocategorie centraal in de beveiligingsrichtlijnen van de OWASP Foundation, de standaardenorganisatie achter de bekende lijsten van toprisico's voor applicaties en voor toepassingen met grote taalmodellen.

De kern van het probleem is dat externe inhoud twee rollen tegelijk speelt. Het is bronmateriaal dat uw AI moet lezen, én het is een mogelijk controlekanaal waarlangs iemand anders instructies naar uw model stuurt. Zodra een systeem een document ophaalt, samenvat of doorstuurt naar een agent, kunnen die twee rollen door elkaar lopen.

Wat hebben de onderzoekers precies gemeten op openbare webpagina's?

De onderzoekers achter de arXiv-studie troffen meer dan vijftienduizend gevalideerde injecties aan op bijna twaalfduizend openbare pagina's, waarvan het merendeel in niet-gerenderde kanalen stond die een gewone lezer nooit ziet. Belangrijk is hun tweede bevinding: detectie staat niet gelijk aan neutralisatie. Sommige geteste modellen volgden injecties ondanks de aanwezigheid van signalen die op kwaadaardige instructies wezen; detectie staat daarmee niet automatisch gelijk aan neutralisatie.

Dat onderscheid is bepalend voor beleid. Een organisatie die vertrouwt op een filter dat injecties herkent, heeft daarmee nog geen garantie dat het model die instructies ook negeert. De peer-reviewed studie Indirect prompt injection in large language models bevestigt dit in een concrete context: verborgen instructies in een ogenschijnlijk normaal cv konden de uitkomst van een screening manipuleren, en alle geteste systemen bleken vatbaar. De auteurs tekenen daarbij aan dat deze resultaten uit een specifieke screeningcontext komen en niet zonder meer voor elk domein gelden.

Waarom is retrieval zelf de kritieke aanvalspoort in een AI-workflow?

Retrieval, het automatisch ophalen van relevante documenten voordat het model antwoordt, is de fase waarin een vergiftigd document binnenkomt. De USENIX-studie Overcoming the Retrieval Barrier laat zien dat een speciaal geconstrueerde trigger een kwaadaardig document onder gewone zoekopdrachten vaak in de topresultaten bracht, over elf benchmarks en acht embeddingmodellen heen.

In gecontroleerde experimenten kon één vergiftigd document vervolgens de verdere verwerking sturen. De onderzoekers rapporteren onder meer een opzet met GPT-4o waarin een kwaadaardige e-mail in een workflow met meerdere agenten in maximaal 80 procent van de proeven leidde tot het exfiltreren van SSH-sleutels. Deze cijfers gelden voor de geteste benchmarks en configuraties, niet automatisch voor elke productieomgeving. Naar onze inschatting is de les niet het exacte percentage, maar dat één enkel ongecontroleerd document ver genoeg kan reiken om gevoelige gegevens naar buiten te sturen zodra een agent daar rechten voor heeft. Dat verband tussen hoe fouten tussen gekoppelde AI-agents door de keten cascaderen en een enkele vergiftigde bron verdient aparte aandacht in uw ontwerp.

Wat betekent dit voor bestuurders, juristen en CISO's die AI-uitkomsten moeten verantwoorden?

Onze analyse: omdat de metingen aantonen dat verborgen instructies de taakuitvoering kunnen beïnvloeden zonder dat detectie neutralisatie garandeert, verschuift de verantwoordelijkheid voor de juistheid van een AI-gestuurde beslissing naar de menselijke controleur die de output moet kunnen herleiden; daarom hoort elke consequentiële actie een expliciete, onafhankelijke goedkeuring te krijgen buiten de AI-keten om. Omdat ongeveer zeventig procent van de gevonden injecties in onzichtbare velden stond, kan een jurist of arts een document visueel beoordelen en toch een gemanipuleerd model voeden; daarom moet de verwerkingspijplijn headers, metadata en verborgen tekst inspecteren vóórdat inhoud het model bereikt. Omdat een vergiftigd document in de experimenten tot gegevensexfiltratie leidde zodra een agent zend- of exportrechten had, is het nu zaak die rechten standaard uit te zetten en per taak toe te kennen; een CISO die dit niet afdwingt, laat de autorisatie feitelijk door de documentinhoud bepalen. Omdat bij een incident achteraf moet blijken welke bron het gedrag stuurde, leg bronbestand, documentversie, retrievalresultaat, modelversie, detecties, toolcalls en goedkeuringen vast, zodat een aantoonbare menselijke controle bij het AI-besluit geen aanname maar een reconstrueerbaar feit is.

Welke controles plaats ik buiten de documentinhoud om injectie op te vangen?

De officiële richtlijn Safety in building agents van OpenAI pleit voor gelaagde mitigatie en waarschuwt dat geen enkele afzonderlijke maatregel perfect is. Vertaald naar een werkbare controleketen voor wie met gevoelige documenten werkt:

• Markeer alle externe inhoud als onvertrouwd en scheid instructies technisch en semantisch van documentdata, zodat tekst uit een bron nooit als opdracht wordt gelezen.
• Behoud structuur en bronprovenance; reduceer een document niet blind tot platte tekst, want juist metadata en comments verbergen instructies.
• Inspecteer headers, metadata, comments en verborgen tekst vóór verwerking, niet alleen de zichtbare pagina.
• Beperk retrieval tot toegestane bronnen en embeddingbronnen die u kent.
• Geef het model geen automatische bevoegdheid om op basis van documentinhoud e-mails te verzenden, bestanden te wijzigen of gegevens te exporteren.
• Plaats een onafhankelijke menselijke goedkeuring vóór elke consequentiële actie.
• Log bronbestand, documentversie, retrievalresultaat, modelversie, detecties, toolcalls en goedkeuringen, zodat de keten herleidbaar blijft.

Deze maatregelen staan en vallen met de erkenning dat detectie alleen onvoldoende is. Wie meer context zoekt over het aanvalsvlak, vindt die in onze themahub over AI-security en aanvalsvlakken en in de analyse van verborgen instructies in geüploade documenten die LLM-oordelen sturen. Het eindoordeel over een AI-gestuurde beslissing blijft bij de professional die haar ondertekent.

Bronnen: Het artikel steunt op de arXiv-meting van indirecte promptinjectie in openbare webinhoud, de USENIX Security-studie over retrieval, een peer-reviewed Springer-studie over cv-screening en de OpenAI-richtlijn Safety in building agents.