Het verborgen beveiligingsrisico waar niemand je voor waarschuwt
Ik draai meerdere AI-agents op mijn thuisserver. Ze lezen mijn e-mail, surfen op het web, scannen mijn notities en helpen me met mijn homelab. En deze week leerde ik iets dat me aan het denken zette: elke agent kan worden misleid door de content die hij leest. Niet door een hacker die inbreekt — maar door een paar zorgvuldig verborgen woorden in een e-mail, een PDF of een website.
Het heet indirecte prompt injection, en het is de meest voorkomende manier waarop AI-agents worden gehackt. Het enge is: je eigen agent doet het vuile werk. Een aanvaller plant instructies ergens waar je agent ze kan lezen — een opmerking in een repo, een regel in een e-mail, een verborgen tag op een webpagina — en je agent voert ze uit alsof jij ze zelf hebt getypt.
Waarom dit mij persoonlijk raakt
Mijn agents lezen veel externe content. Hermes surft op het web via SearXNG, verwerkt vault-clippings, leest e-mail via de Proton MCP en haalt WordPress-content op. Dat is precies het aanvalsoppervlak voor indirecte prompt injection. Een enkele booby-trapped e-mail kan mijn e-mailagent vertellen om vertrouwelijke bestanden door te sturen. Een verborgen instructie in een codeverzoek kan een codeeragent private source code laten lekken. Dit is geen theorie — echte gevallen met Microsoft Copilot lieten beide zien.
De diepere les uit het beveiligingsonderzoek waar ik in duik: een basis-payload testen die geblokkeerd wordt, is niet het einde. Het is het begin. Echte agent-apps hebben input-guardrails (wat erin gaat) en output-guardrails (wat eruit komt). De echte aanval krijgt de payload langs allebei. Encoding-trucs, context-manipulatie, tool-misbruik — de labs laten zien hoe het werkt.
Wat ik eraan doe
Het goede nieuws: de industrie-consensus is isolatie, en zo draai ik al. Mijn agents leven in aparte Hermes-profielen, elk met beperkte API-keys, achter een firewall die alleen privéverkeer toestaat. Het sleutelpatroon dat ik nu check: behandel externe content als data, niet als instructies. Wanneer een agent een webpagina ophaalt of een e-mail leest, moet die content als data worden ingelezen — nooit blind worden opgevolgd als commando’s.
Het is een herinnering dat de krachtigste AI-tools een nieuw soort verantwoordelijkheid met zich meebrengen. De agent die alles leest, is precies degene die misleid kan worden. De oplossing is niet om agents geen toegang meer te geven — het is om bewust te zijn van wat ze vertrouwen.
Aan jou
Draai jij AI-agents die externe content lezen? Heb je er ooit over nagedacht wat er gebeurt als een website of e-mail stilletjes je assistent vertelt iets te doen? Ik hoor graag hoe jij dit aanpakt in je eigen setup — laat een reactie achter.
Wat vond je van dit bericht?
