Indirecte prompt-injectie

Gray Swan kreeg GPT-6 Astra in 8,5 procent van de scenario's toch zover dat het instructies uitvoerde die in een document verstopt zaten, tegen 4,8 procent bij Claude Opus 5. Directe injecties blokkeert het model wel.

Beveiligingsbedrijf Adversa laat zien hoe versleutelde instructies op een webpagina Grok zijn eigen chatgeschiedenis, naam en locatie naar een aanvaller sturen. Zonder klik, zonder waarschuwing. xAI weet het sinds 3 juni en dichtte niets.

Varonis vroeg Copilot waarom automatisch uitvoeren onmogelijk was en kreeg de ongedocumenteerde parameter autorun=1 terug. Een klik op een link lekte inbox, wachtwoorden en agenda. Microsoft dichtte de drie gaten op 18 augustus.

CodeRabbit haalt 143 miljoen dollar op bij een waardering van 1,5 miljard en breidt zijn AI-codereview uit naar triage, uitleg en beveiliging. Wat die laag kost, en waar ze zelf blind blijft.

Atlassian dichtte het RovoBlast-lek waarmee een geklikte link de AI-assistent Rovo data uit Jira en Confluence liet wegsluizen. Een tweede route van PromptArmor stond op 5 augustus nog open en omzeilt de websearch-knop.

Een geprepareerd Word-document gaf onderzoekers van Rubrik Zero Labs een interactieve shell in een Microsoft 365 Copilot-sessie, met de rechten van de medewerker. Microsoft dichtte de keten in april en publiceerde CVE-2026-32193.

Zenity Labs demonstreerde op Black Hat 2026 werkende zero-click aanvallen op Claude in Chrome, Gemini, Comet, ChatGPT Atlas en Copilot Edge. Een deel van de leveranciers patchte, een ander deel noemt het gedrag bedoeld ontwerp.

Een verborgen instructie in een gedeeld Word-document laat Microsoft 365 Copilot financiële cijfers aanpassen en zichzelf naar nieuwe documenten kopiëren. Na 144 dagen coördinatie met Microsoft is er nog geen robuuste oplossing.

Claude Opus 5 laat in Anthropics eigen browsertest van 129 scenario's geen enkele prompt-injectie slagen met auto mode aan, en 3,7 procent zonder. Auto mode zit alleen in Anthropics eigen browserproducten.

Onderzoekers van de University of Missouri-Kansas City verstoppen met Ghostcommit een kwaadaardige instructie in een PNG die AI-codereviewtools nooit openen. Een coding agent volgt de aanwijzing later en lekt de geheime sleutels uit je .env-bestand naar een publieke commit.

Beveiliger Zscaler testte 26 grote taalmodellen op verborgen webinstructies. Vier lieten zich tot een frauduleuze betaling verleiden, en juist een goedkoper model hield beter stand dan een duurder. Waarom de verdediging niet in het model zit.

Een cv, een offerte of een factuur kan een instructie dragen die jij niet ziet en je assistent wel uitvoert. Zo bouw je de sluis die hem eruit haalt, met een testset die bewijst dat hij dicht zit.