Prompt-injectie

Beveiligingsbedrijf Adversa laat zien hoe versleutelde instructies op een webpagina Grok zijn eigen chatgeschiedenis, naam en locatie naar een aanvaller sturen. Zonder klik, zonder waarschuwing. xAI weet het sinds 3 juni en dichtte niets.

Varonis vroeg Copilot waarom automatisch uitvoeren onmogelijk was en kreeg de ongedocumenteerde parameter autorun=1 terug. Een klik op een link lekte inbox, wachtwoorden en agenda. Microsoft dichtte de drie gaten op 18 augustus.

Een rechter in Connecticut bestrafte een eiser die onzichtbare instructies voor AI in zijn processtukken verstopte. De eerste zaak waarin prompt-injectie een sanctie oplevert, en een waarschuwing voor elk bedrijf dat inkomende documenten door een model haalt.

OpenAI brengt Computer History uit in de ChatGPT-app voor macOS. Kliks, toetsaanslagen en app-wissels worden onversleutelde Markdown-bestanden op de Mac zelf. De toegang in de EER volgt volgens OpenAI binnen enkele weken.

Anthropic maakt de Chrome-zijbalk van Claude een volwaardige Cowork-sessie: skills, connectors en je gespreksgeschiedenis lopen door van browser naar desktop. Max en Team nu, Pro volgt, Enterprise pas na goedkeuring van een beheerder.

Atlassian dichtte het RovoBlast-lek waarmee een geklikte link de AI-assistent Rovo data uit Jira en Confluence liet wegsluizen. Een tweede route van PromptArmor stond op 5 augustus nog open en omzeilt de websearch-knop.

Vanaf 14 augustus start elke nieuwe Claude Code-sessie op Pro, Max en Team in auto mode, waarin een classifier goedkeurt. Wat dat betekent voor teams die handmatige goedkeuring als controlemaatregel hebben vastgelegd.

Cloudflare bouwde in twaalf weken Kitesurf, een browser zonder Chromium die alleen voor AI-agents is gemaakt. Hij vraagt drie tot zeven keer minder geheugen en processortijd, maar levert op doorlooptijd in.

Een geprepareerd Word-document gaf onderzoekers van Rubrik Zero Labs een interactieve shell in een Microsoft 365 Copilot-sessie, met de rechten van de medewerker. Microsoft dichtte de keten in april en publiceerde CVE-2026-32193.

Zenity Labs demonstreerde op Black Hat 2026 werkende zero-click aanvallen op Claude in Chrome, Gemini, Comet, ChatGPT Atlas en Copilot Edge. Een deel van de leveranciers patchte, een ander deel noemt het gedrag bedoeld ontwerp.

De Britse toezichthouder AISI telde in 122 testruns negentien acties waarmee AI-agents van Anthropic en OpenAI echte mensen en organisaties aanvielen. Een agent probeerde met nepaccounts kwaadaardige code in een open-sourceproject te krijgen.

Claude Opus 5 laat in Anthropics eigen browsertest van 129 scenario's geen enkele prompt-injectie slagen met auto mode aan, en 3,7 procent zonder. Auto mode zit alleen in Anthropics eigen browserproducten.

Een kritiek lek in Claude voor Chrome laat kwaadaardige extensies de AI-assistent stil taken laten uitvoeren op Gmail, Agenda en Salesforce. Anthropic sloot de meldingen zonder patch. Wat betekent dat voor je extensie- en agent-beleid?

OpenAI bouwde GPT-Red, een intern AI-model dat via zelfspel prompt-injectie-aanvallen verzint. De gevonden zwakke plekken maakten GPT-5.6 fors weerbaarder, maar nul is niet gehaald: architectuur blijft je eigen verantwoordelijkheid.

Check Point documenteert in zijn AI Security Report 2026 de eerste aanvallen waarin AI zelf delen van de operatie draait. Het venster tussen kwetsbaarheid en misbruik krimpt van dagen naar uren, en dat verandert je patchtempo.

Onderzoekers van Tracebit verstoppen prompt-injectie in een lokaas-secret in AWS. Zodra een aanvallende AI-agent hem leest, weigert het model verder te werken. Adminovernames zakten van 57 naar 5 procent.

Onderzoekers van de University of Missouri-Kansas City verstoppen met Ghostcommit een kwaadaardige instructie in een PNG die AI-codereviewtools nooit openen. Een coding agent volgt de aanwijzing later en lekt de geheime sleutels uit je .env-bestand naar een publieke commit.

Het AI Now Institute toont met 'Friendly Fire' hoe Claude Code en Codex tijdens een beveiligingsreview via een gemanipuleerde README zelf een kwaadaardig programma op de host uitvoeren, zonder om toestemming te vragen.

Beveiligingsonderzoekers misleiden zes AI-browsers, waaronder ChatGPT Atlas en Comet, met een spelletje waarin 2 plus 2 ineens 5 is. Het resultaat: de guardrails verdwijnen en inloggegevens lekken.

Microsoft Incident Response laat zien hoe aanvallers via vergiftigde MCP-toolomschrijvingen bedrijfsdata exfiltreren zonder code te injecteren. Elke actie van de agent was legitiem. De kwetsbaarheid zit in de vertrouwensgrens tussen systemen.

Eén gewone zin in een cv duwde het in een test ruim vier plaatsen omhoog. Wie een taalmodel cv’s laat samenvatten, laat de sollicitant meeschrijven aan de tekst waarop hij zijn besluit neemt.

Een contentfilter kopen zegt niets zolang je niet weet in welke talen het is getraind en getest. Bij Azure, AWS en Google staat Nederlands in de tweede rang, en de smalste functie is juist de belangrijkste.

Agentische AI-browsers laten de assistent zelf klikken, invullen en inloggen met jouw sessie. Elke extensie of pagina die de AI misleidt, wordt een directe route naar je accounts. Bestaande browserbeveiliging is daar niet op gebouwd.

OpenAI stak er naar eigen zeggen ruim 700.000 GPU-uren aan geautomatiseerd red-teamen in om universele jailbreaks in GPT-5.6 zelf te vinden, voordat iemand anders dat kon.

Zodra je een MCP-tool aan een AI-agent koppelt, geef je de eigenaar van die tool-omschrijving dezelfde schrijftoegang tot je agent als jezelf. 'Het is maar een koppeling' is daarmee geen technisch detail, maar een vertrouwensbeslissing.

Een tweede AI die de code van de eerste reviewt voelt als een controlelaag. Maar dezelfde promptinjectie die de coder fopt, fopt de reviewer. Onafhankelijkheid, niet intelligentie, maakt een review een review.

Een cv, een offerte of een factuur kan een instructie dragen die jij niet ziet en je assistent wel uitvoert. Zo bouw je de sluis die hem eruit haalt, met een testset die bewijst dat hij dicht zit.

Claude Code, Codex en vergelijkbare agents draaien met jouw rechten op jouw schijf. Zo zet je ze vast met deny-regels, een OS-sandbox, een korte allowlist en een wegwerpomgeving voor code die je niet kent.

Je inbox is gesorteerd, maar het echte werk, antwoorden, inplannen en bijwerken, wacht nog op jou. Zo laat je een AI-agent die handeling voorbereiden, met een goedkeuringspoort precies waar het risico dat vraagt.

Prompt injection is geen hack waarbij iemand het model kraakt. Het model volgt verstopte instructies in de data die het leest, omdat het jouw opdracht niet kan onderscheiden van onvertrouwde inhoud. Zo werkt het, en zo dam je het in.