Wanneer een webpagina je AI-agent opdrachten probeert te geven

Een agent krijgt de opdracht leveranciers te vergelijken en bezoekt een website. Die bevat nuttige informatie, maar ook tekst die zijn opdracht probeert te veranderen. Het risico is niet dat de pagina een mening bevat, maar dat het systeem externe inhoud behandelt als een bevoegde opdracht.

Dit is een vorm van indirecte prompt injection. OWASP onderscheidt dit van instructies die rechtstreeks door de gebruiker worden ingevoerd: hier komt de boodschap via een document, website of andere bron die de agent raadpleegt. [OWASP]

Een instructie lezen geeft geen toestemming

Een eenvoudig voorbeeld maakt de grens duidelijk. Een assistent die een factuur samenvat, moet betaalgegevens kunnen lezen. Dat betekent niet dat de factuur een overboeking kan goedkeuren. Het document levert gegevens voor de taak; toestemming moet uit het juiste proces en van de juiste persoon komen.

Dit is een conceptueel voorbeeld, geen incident dat wij hebben waargenomen. Het scheidt twee vragen: wat zegt het materiaal en wat mag het systeem doen? Als beide antwoorden uit dezelfde externe tekst komen, is de grens onvoldoende afgebakend.

Verdediging hangt niet alleen van het model af

Anthropic beschreef in november 2025 verbeteringen in de weerbaarheid van browseragents, maar waarschuwde ook dat prompt injection een onopgelost probleem bleef. Een resultaat uit een test van de fabrikant betekent geen immuniteit in elke omgeving. [Anthropic]

OWASP noemt maatregelen zoals het beperken van rechten, het afzonderlijk behandelen van externe inhoud en menselijke controle bij gevoelige handelingen. Geen enkele maatregel wordt als volledige oplossing gepresenteerd. De praktische vraag is hoe je de gevolgen beperkt als het model inhoud verkeerd interpreteert. [OWASP]

Bij een ontwerpbeoordeling zouden we vragen of een agent die prijzen vergelijkt ook e-mails moet kunnen sturen of klantgegevens moet kunnen aanpassen. Zo niet, dan draagt die mogelijkheid niets bij aan de concrete taak. Handelingen scheiden maakt de omvang van een fout duidelijker en helpt bepalen waar controle nodig is.

Waar je tijdens een test op kunt letten

Een nuttige oefening zou controleren of het systeem de oorspronkelijke opdracht blijft volgen wanneer documenten instructies bevatten die daar los van staan. Gebruik daarvoor fictieve gegevens en hulpmiddelen zonder echte gevolgen. Het doel is de grenzen van het systeem te onderzoeken, niet om klantinformatie bloot te stellen.

Leg ook vast welke informatie tot een handeling heeft geleid en wie die heeft goedgekeurd. Als een voorstel om iets te versturen verschijnt zonder dat de gebruiker daarom heeft gevraagd, moet het proces die afwijking zichtbaar maken voordat er een echte communicatie plaatsvindt.

Volgens ons heeft een bruikbare agent toegang nodig, maar moet die toegang passen bij een afgebakende taak. De doorslaggevende vraag is niet alleen of hij kan browsen. Het gaat erom of hij een omgeving buiten zijn controle kan lezen zonder die omgeving te laten bepalen wat hij mag doen.