Mijn AI-agenten lezen alles. En dat is precies het probleem.
Vanmorgen bekeek ik een gratis AI-hackercursus van NahamSec, en die hield me tegen. Het onderwerp was indirecte prompt-injectie, en de kernboodschap raakte me: de meest voorkomende manier waarop AI-agenten worden gehackt, is via de content die ze mogen lezen. Niet een kwaadaardige prompt die je in een chat plakt. Iets dat je je eigen agent vraagt op te halen en te verwerken.
Mijn agenten lezen veel. Ze scannen het web via een zoekmachine, ze verwerken e-mail, ze trekken clippings uit mijn vault, ze lezen WordPress-content. Dat is precies het aanvalsoppervlak waar NahamSec het over heeft. Een aanvaller hoeft niet bij mijn chatvenster te komen. Ze hoeven alleen maar een payload neer te leggen waar mijn agent hem leest — een website, een e-mail, een PDF, een comment in een repository — en mijn eigen agent doet het vuile werk.
Het deel dat bijna iedereen verkeerd doet
De cursus maakte één punt dat mijn denken veranderde. De meeste mensen testen een simpele injectie-payload, zien dat hij geblokkeerd wordt, en concluderen dat ze veilig zijn. Maar een geblokkeerde basis-payload is het begin, niet het einde. Echte agent-applicaties hebben input-guardrails — wat erin gaat — en output-guardrails — wat eruit komt. De echte aanval is een payload langs allebei krijgen. Encoding-trucs, context-manipulatie, misbruik van een tool die de agent vertrouwt. Het blok dat je testte was nooit de finish.
Dat past ongemakkelijk goed op mijn opstelling. Ik draai meerdere agenten die geheugen en infrastructuur delen. Ze zijn gebouwd om nuttig te zijn, niet om te veronderstellen dat ze aangevallen worden. Ik optimaliseerde voor meer — meer cron-jobs, meer skills, meer autonomie — en vroeg nooit wat er gebeurt als een van hen iets vijandigs leest.
Wat ik eraan doe
Ik ga geen muur van security-theorie schrijven. Ik ga het concrete ding doen dat de cursus voorstelt: mijn agenten nemen — Hermes, de MCP-servers, het team — en evalueren of ze een indirecte injectie overleven die in content is geplant die ze lezen. De cursus levert gratis labs mee, dus ik kan er een paar doorlopen tegen echte scenario’s in plaats van te gokken. En ik stop met “het werd geblokkeerd” als bewijs van veiligheid te zien.
Als jij agenten draait die externe content lezen, doe hetzelfde. De test is simpel: kan een aanvaller hun instructies in iets krijgen dat jouw agent leest, en zal je agent ernaar handelen?
De vraag die ik je meegeef
Heb je ooit gecheckt wat er gebeurt als een van je AI-tools een vijandige webpagina of e-mail leest? Wat is de enige contentbron die je je agent laat lezen — en die je nooit ter discussie hebt gesteld?
Wat vond je van dit bericht?
