Verborgen AI-instructies op duizenden webpagina's

U moet elk document dat een AI-systeem ophaalt, samenvat of doorgeeft als onvertrouwde invoer behandelen. Beveilig retrieval, toolrechten en menselijke goedkeuring los van de documentinhoud, want verborgen instructies bereiken modellen ook wanneer detectie plaatsvindt.

Een analyse van 15 oktober 2026 van verborgen instructies op openbare webpagina's stelt vast dat onderzoekers ruim 15.000 gevalideerde injecties op bijna 12.000 pagina's hebben aangetroffen, waarvan ongeveer 70 procent in onzichtbare velden stond. Een concrete casus uit dezelfde onderzoeksreeks toont aan dat een vergiftigd document in een workflow met meerdere agenten tot gegevensexfiltratie leidde zodra die agent exportrechten had. In onze inschatting is het centrale risico niet de detectie zelf, maar het feit dat detectie niet garandeert dat het model de instructies negeert — wat betekent dat uw controleketen niet op filters alleen mag steunen.

Waar komen verborgen instructies vandaan?

Externe inhoud speelt twee rollen tegelijk: het is bronmateriaal dat uw AI moet verwerken, en het is een mogelijk controlekanaal waarlangs iemand anders instructies naar uw model stuurt. Zodra een systeem een document ophaalt, samenvat of doorgeeft aan een agent, kunnen die rollen door elkaar lopen. De onderzoekers analyseerden 1,2 miljard URL's op 24,8 miljoen hosts en vonden dat het merendeel van de injecties in HTTP-headers, metadata, opmerkingen en gestructureerde data stond — velden die een gewone lezer nooit ziet. Dit betekent dat iemand die een document visueel beoordeelt, een gemanipuleerd model kan voeden zonder het te weten.

Waarom is detectie onvoldoende?

De onderzoekers rapporteren een kritieke bevinding: sommige geteste modellen volgden verborgen instructies ondanks signalen die op kwaadaardige inhoud wezen. Dit onderscheid is bepalend voor uw beleid. Een organisatie die vertrouwt op een filter dat injecties herkent, heeft daarmee nog geen garantie dat het model die instructies ook negeert. Een peer-reviewed studie toont aan dat verborgen instructies in een ogenschijnlijk normaal cv de uitkomst van een screening konden manipuleren, en alle geteste systemen bleken vatbaar. Dit betekent dat u niet kunt aannemen dat detectie neutralisatie is.

Welke foutmodi dreigen bij retrieval en agentworkflows?

• Vergiftiging van zoekresultaten — een speciaal geconstrueerde trigger brengt een kwaadaardig document onder gewone zoekopdrachten in de topresultaten.
• Cascade van fouten tussen gekoppelde agents — één ongecontroleerd document bereikt een agent met exportrechten en leidt tot exfiltratie van gevoelige gegevens.
• Onzichtbare instructies in metavelden — ongeveer 70 procent van de gevonden injecties stond in headers, comments en gestructureerde data die geen visuele controle kan opvangen.
• Manipulatie ondanks detectiesignalen — modellen volgen injecties ook wanneer systemen waarschuwingen afgeven.
• Autorisatie bepaald door documentinhoud — agents met standaard-exportrechten voeren instructies uit die uit een vergiftigd document komen.

Welke controles moet u kunnen aantonen?

1. Inspecteer headers, metadata en verborgen tekst voordat inhoud het model bereikt — zorg dat uw verwerkingspijplijn niet alleen zichtbare tekst controleert.
2. Ken toolrechten per taak toe in plaats van standaard — zet zend- en exportrechten standaard uit en activeer ze alleen voor specifieke workflows.
3. Leg bronbestand, documentversie, retrievalresultaat, modelversie, detecties, toolcalls en goedkeuringen vast — zodat u achteraf kunt reconstrueren welke bron het gedrag stuurde.
4. Eis expliciete, onafhankelijke goedkeuring buiten de AI-keten voor consequentiële acties — de menselijke controleur moet de output kunnen herleiden en moet niet afhankelijk zijn van detectiesignalen uit dezelfde keten.
5. Implementeer gelaagde mitigatie in plaats van op één maatregel te vertrouwen — geen enkele afzonderlijke controle is perfect.

Hoe past dit in uw governance?

De les is niet het exacte percentage uit de experimenten, maar dat één enkel ongecontroleerd document ver genoeg kan reiken om gevoelige gegevens naar buiten te sturen zodra een agent daar rechten voor heeft. Dit verband tussen hoe fouten tussen gekoppelde AI-agents cascaderen en een enkele vergiftigde bron verdient aparte aandacht in uw ontwerp. Een CISO die toolrechten niet afdwingt, laat de autorisatie feitelijk door de documentinhoud bepalen.

Tooling kan headers inspecteren, detectiesignalen afgeven en rechten beheren. Het eindoordeel over een AI-gestuurde beslissing blijft bij de professional die haar ondertekent. Wat u zelf moet bepalen, is welke acties consequentieel genoeg zijn om onafhankige goedkeuring te eisen, en hoe u de keten zo inricht dat detectie niet als vervanging voor menselijke controle geldt.