Verborgen instructies in documenten sturen LLM-oordelen

U moet elke externe inhoud die een AI-model verwerkt nu als potentieel gecompromitteerd behandelen, afzonderlijk vastleggen en pas na menselijke goedkeuring tot handelingen laten leiden. Detectie van verborgen instructies garandeert niet dat die instructies het oordeel niet hebben verschoven.

Een analyse van 7 oktober 2026 van verborgen instructies in documenten die taalmodeloutput manipuleren stelt vast dat kwaadaardige opdrachten ingebed in ogenschijnlijk onschuldige bestanden het gedrag van AI-systemen kunnen sturen zonder dat de gebruiker zelf een vijandige prompt invoert. De onderzoekers testten dit effect in CV-screening en vonden dat alle geteste modellen gevoelig waren. In onze beoordeling raakt dit rechtstreeks HR-, juridische en medische workflows die geüploade stukken beoordelen, juist omdat de manipulatie in een beslissing met gevolgen voor personen is aangetoond; dit vereist dat verwerkingsverantwoordelijken nu bepalen welke AI-beoordelingen een menselijke herbeoordeling moeten ondergaan voordat ze gevolgen krijgen.

Hoe werkt indirecte prompt-injectie in een werkstroom?

Indirecte prompt-injectie betekent dat instructies zijn ingebed in externe inhoud die het model geacht wordt te analyseren — bijvoorbeeld een geüpload CV. Het model verwerkt die tekst niet alleen als gegevens om te beoordelen, maar volgt soms de erin verstopte opdracht op. In een CV-screeningworkflow kan zo'n injectie de vergelijking tussen kandidaten vertekenen, omdat de verborgen opdracht de weging van de ene kandidaat tegenover de andere kan verschuiven. Dit risico loopt door naar agentische omgevingen waarin een model meerdere stappen uitvoert: geïnjecteerde inhoud kan daar het gedrag van een agent en diens toolgebruik beïnvloeden, wat kan uitmonden in ongewenste handelingen.

Waarom detectie alleen niet volstaat

De kern van het probleem is een onderscheid dat in de praktijk vaak door elkaar loopt: een model kan een injectie detecteren en toch gedeeltelijk door die injectie beïnvloed blijven. Detectie en neutralisatie zijn dus niet hetzelfde. Een waarschuwing in de output sluit niet uit dat de verborgen instructie het oordeel al heeft verschoven. Dit is precies het punt waarop organisaties zich kunnen verkijken op hun beveiliging. Eenvoudig filteren op trefwoorden tekortschiet, omdat ingevoegde instructies semantisch plausibel of versluierd kunnen zijn. Onderzoek naar agentische tool-calling-omgevingen toont aan dat veelgebruikte oppervlakkige verdedigingen — promptwaarschuwingen, trefwoordfilters, parafrasering en LLM-as-a-judge — vaak beperkte bescherming bieden.

Welke risico's ontstaan in uw workflows?

• Vertekende beoordelingen in gevoelige beslissingen — verborgen instructies kunnen CV-screening, medische beoordeling of juridische analyse manipuleren voordat een mens het resultaat ziet.
• Onbedoelde toolaanroepen en datalekkage — een geïnjecteerde opdracht kan een agent ertoe brengen gegevens uit te voeren, bestanden te schrijven of ongeautoriseerde acties uit te voeren.
• Ondetecteerbare manipulatie — omdat detectie niet garandeert dat de output onaangetast blijft, kan een gemanipuleerde uitkomst als betrouwbaar worden behandeld.
• Doorwerking in agentische ketens — een gemanipuleerde output in een meerstaps workflow kan in latere stappen als input dienen en gevolgen vergroten.
• Nalatigheid bij herbeoordeling — wie een AI-oordeel ondertekent zonder te weten dat externe inhoud het kan hebben verschoven, draagt persoonlijk risico.

Welke controles moet u per workflow kunnen aantonen?

1. Scheiding van onvertrouwde inhoud en instructies — externe data moet fysiek of logisch gescheiden zijn van de systeeminstructies van het model, zodat de ene de ander niet kan overschrijven.
2. Vastlegging van brontekst, modelversie en detectieresultaten — bewaar per run welke externe inhoud het model heeft verwerkt, welke modelversie is gebruikt en wat detectiemechanismen hebben gemeld.
3. Menselijke goedkeuring vóór gevolgen — bepaal per workflow welke AI-beoordelingen een herbeoordeling door een mens moeten ondergaan voordat ze tot een formeel besluit leiden.
4. Begrenzing van toolgebruik en gegevenstoegang — documenteer per workflow welke tools en gegevenssets het model mag raken en zet consequente acties achter een goedkeuringsstap.
5. Reconstructie van iedere uitkomst — zorg dat auditors en compliance-functionarissen achteraf kunnen controleren welke externe inhoud, modelversie, detectieresultaten en goedkeuringen tot een AI-besluit hebben geleid.

Hoe bouwt u dit in uw ontwerp in?

Het antwoord ligt in gelaagdheid: scheiding, begrenzing en bewijs samen, niet in één filter. Onderscheid daarbij drie dingen die vaak worden verward: detectie (verdachte inhoud herkennen), mitigatie (voorkomen dat die inhoud het resultaat verandert) en containment (voorkomen dat een gemanipuleerde output een ongeautoriseerde handeling wordt). Deze drie lagen moeten onafhankelijk van elkaar werken. Geen enkele maatregel neemt het risico volledig weg — reden om het ontwerp van de workflow, niet één controle, als uw verdediging te behandelen.

Tooling kan u helpen externe inhoud te markeren, detectie uit te voeren en goedkeuringsstappen in te bouwen. Maar de beslissing welke workflows een menselijke herbeoordeling vereisen, welke gegevens een model mag raken en hoe u achteraf verantwoording aflegt, blijft uw eigen professionele oordeel. Dit is niet iets dat een filter kan nemen.