AI-agents trappen in verborgen webinstructies: Zscaler test 26 modellen

Autonome AI-agents trappen nog vaak in verborgen instructies op webpagina's. Dat blijkt uit een test van beveiliger Zscaler ThreatLabz, die 26 grote taalmodellen losliet op geprepareerde websites: vier van de modellen lieten zich verleiden tot een frauduleuze betaling, twee anderen bestempelden een malafide site als betrouwbaar.

Voor elk Nederlands bedrijf dat een AI-agent laat browsen, inkopen of betalen is dat geen abstract labprobleem. Een agent leest de tekst op een pagina om zijn taak uit te voeren, en kan die inhoud niet betrouwbaar scheiden van een verborgen commando dat een aanvaller ertussen zet. Zodra de agent ook mag handelen, een bestelling plaatsen of een rekening voldoen, wordt zo'n verstopte instructie een directe kostenpost.

Hoe de aanval werkt

Indirecte prompt-injectie (IPI) stopt kwaadaardige instructies in de inhoud die een agent ophaalt: een webpagina, een document, een e-mail. De agent verwerkt die inhoud als onderdeel van zijn opdracht en voert de verstopte opdracht mee uit. In Zscalers eerste scenario werd een agent zo verleid om een nep-licentiekosten van 3 dollar te betalen om een API-sleutel te bemachtigen. Vier van de 26 modellen gingen erin mee: Llama 3.3 70B, Llama 3.2 90B Vision, Gemini 3 Flash en Gemini 2.5 Pro.

In een tweede scenario, met een nagemaakte website via typosquatting, keurden twee modellen de malafide pagina onder bepaalde omstandigheden goed als legitiem: GPT-5.4 en Claude Sonnet 4.5. Juist twee topmodellen, wat laat zien dat rekenkracht op zichzelf geen bescherming garandeert.

Duurder is niet veiliger

Het opvallendste patroon: prijs en prestatie voorspellen de veiligheid niet. Het budgetmodel Gemini 3.1 Flash Lite hield stand waar het duurdere Gemini 2.5 Pro bezweek, en ook Llama 4 Maverick en Gemini 3.1 Pro weerstonden de aanval. Modellen die getraind zijn om tekst zo volgzaam mogelijk op te volgen blijken juist gevoeliger: ze scheiden de oorspronkelijke opdracht van de gebruiker slechter van een instructie die ze onderweg tegenkomen.

De cijfers zijn een momentopname, waarschuwt onderzoeker Noah Kenney in InfoWorld: agent-gedrag verschuift met elke update, dus een model dat vandaag standhoudt kan bij een volgende versie alsnog struikelen. Een lijstje "veilige" modellen is dus geen keurmerk waar je op kunt leunen.

Waar de verdediging echt zit

De les zit niet in de modelkeuze, maar in de architectuur eromheen. Een limiet die je een agent in zijn prompt meegeeft is een suggestie die precies zo'n injectie omzeilt; een bestedingslimiet die je in de betaallaag zelf afdwingt houdt wel stand, ongeacht wat de agent onderweg leest. Hetzelfde principe kwam eerder terug bij vergiftigde MCP-toolomschrijvingen die een agent kapen zodra hij van lezen op handelen overgaat: het risico groeit mee met de bevoegdheid die je de agent geeft.

Dat is de rode draad. Zolang een agent alleen samenvat, is een verborgen instructie hooguit vervelend. Zodra hij mag betalen, bestellen of goedkeuren, wordt elke webpagina die hij bezoekt een mogelijke invalshoek, en bepaalt niet het model maar de grens die je eromheen zet hoe ver een aanvaller komt.