Promptinjectie: als een bron je marketingassistent opdrachten geeft

Voor een intern overzicht leest een marketingassistent misschien websites, een briefing van een bureau en binnengekomen documenten. Dat materiaal kan relevante feiten bevatten, maar ook tekst die probeert de opdracht te veranderen.

Zo’n poging heet promptinjectie. Bij indirecte promptinjectie komt de opdracht via een bron die het taalmodel raadpleegt, zoals een webpagina, e-mail of het resultaat van een gekoppeld hulpmiddel. De gebruiker hoeft die opdracht niet zelf in te voeren. Wat ermee kan gebeuren, hangt af van de toegang en bevoegdheden van de assistent.

De bron van een bewering is niet de opdrachtgever

Neem dit denkbeeldige voorbeeld: een assistent vergelijkt drie openbare websites van concurrenten. Een pagina bevat een aanwijzing om de eigen aanbieder te bevoordelen of een zwak punt weg te laten. Die aanwijzing verandert de opdracht niet. Het team wil een intern overzicht met herleidbare bronnen.

Anders dan bij een verzonnen bewering staat er hier iets in de invoer dat het model probeert bij te sturen. Dat kan een samenvatting vertekenen, gekoppelde functies laten misbruiken of informatie laten uitlekken. Een normaal ogende pagina krijgt geen gezag over de opdracht. Verdachte formuleringen herkennen is geen betrouwbare methode om alle pogingen tegen te houden.

Breng ook in kaart wat de assistent naar buiten kan sturen

Loop met de systeemverantwoordelijke het hele proces door. Welke teksten komen binnen? Welke interne gegevens kan de assistent daarnaast lezen? Welke hulpmiddelen zijn beschikbaar, welke verbindingen naar buiten zijn mogelijk en wie ontvangt het resultaat? Kijk daarbij naar de feitelijke instellingen, niet alleen naar wat de taakomschrijving zegt.

Stel dat de assistent uit het voorbeeld ook interne prijsnotities kan openen en berichten kan versturen. Dan kunnen de gevolgen verder gaan dan een slechte vergelijking. Die mogelijkheden horen niet vanzelf bij een onderzoek naar openbare concurrentie-informatie. Laat overbodige toegang en functies daarom weghalen uit dit proces.

Alleen-lezenrechten zijn daarbij niet genoeg. Ze kunnen voorkomen dat de assistent bepaalde gegevens wijzigt, maar verhinderen niet automatisch dat gelezen informatie uitlekt. Een verzoek aan een externe website kan bijvoorbeeld zelf informatie bevatten. Controleer dus welke adressen bereikbaar zijn, wat een verzoek mag meesturen en welke ontvangers resultaten mogen krijgen. Gebruik in deze onderzoeksfase geen vertrouwelijke gegevens.

De systeemverantwoordelijken moeten deze beperkingen instellen en controleren in de platformen en gekoppelde systemen. Het marketingteam kan ze niet afdwingen met een extra zin in de prompt.

Begin met één onderzoek dat alleen een concept oplevert

Ons advies is een eerste proef met goedgekeurde, niet-vertrouwelijke bronnen en uitsluitend een concept als resultaat. Schakel onnodige functies voor wijzigen, verzenden en publiceren uit en beperk toegestane bestemmingen via het platform. Als rechten en uitgaande verbindingen niet te controleren zijn, werk dan met handmatig aangeleverde, goedgekeurde documenten zonder externe acties. Betrek IT of informatiebeveiliging zodra gevoelige gegevens in beeld komen.

Geef de assistent heldere instructies die de opdracht scheiden van het bronmateriaal. Vraag om pogingen tot bijsturing te melden als niet-vertrouwde broninhoud, zonder ze uit te voeren. Dat helpt om de bedoeling uit te leggen, maar vormt geen beveiligingsgrens. Ook RAG, waarbij eerst relevante tekstfragmenten worden opgehaald voor het antwoord, maakt die fragmenten niet betrouwbaar. Een tweede AI die meeleest biedt evenmin een garantie.

Bewaar de herkomst van uitspraken en laat een medewerker belangrijke beweringen bij de oorspronkelijke bron controleren. Houd het versturen van het concept, publiceren en aanpassen van campagnebudgetten buiten de onderzoeksstap. Voor elk van die acties zijn afzonderlijke toestemming en controles buiten het taalmodel nodig.

Wie goedkeurt, moet de exacte inhoud, bestemming en voorgestelde actie kunnen zien. Een algemene vraag om door te gaan geeft te weinig informatie. Menselijke beoordeling en technische beperkingen hebben ieder een rol: training helpt bij het beoordelen; systeeminstellingen beperken wat mogelijk is.

Test het gedrag én de bruikbaarheid van het hele proces

Voor een geplande proef raden we een afgeschermde omgeving met verzonnen documenten en gegevens aan, zonder echte berichten te versturen. Gebruik een gewone bron, een document dat om een irrelevante slogan in de samenvatting vraagt en een document dat verzending aan een fictieve, niet-goedgekeurde ontvanger verlangt. Dit is een testvoorstel; we beschrijven geen uitgevoerde proef.

De gewone bron moet een bruikbare samenvatting opleveren die de inhoud correct weergeeft. De opdrachten in de andere documenten moeten als niet-vertrouwde broninhoud worden behandeld: de poging tot bijsturing wordt gemeld en er vindt geen ongeoorloofde uitgaande actie plaats. Controleer het logboek van uitgevoerde acties. Een geruststellend antwoord van de assistent bewijst niet dat er niets is verstuurd.

Leg invoer en versies van prompt, model en proces vast, samen met het verwachte resultaat, de waarneming en het daadwerkelijke actielogboek. Noteer ook onterechte waarschuwingen, of de oorspronkelijke taak nog goed wordt afgerond en hoeveel controlewerk nodig is. Herhaal de proef na belangrijke wijzigingen; één geslaagde ronde bewijst geen veiligheid.

Onverwachte acties of het prijsgeven van gegevens zijn redenen om niet verder uit te breiden. Stop het betrokken proces, bewaar alleen het nodige bewijsmateriaal zonder gevoelige informatie verder te verspreiden en schakel de verantwoordelijke voor IT of informatiebeveiliging in. Test opnieuw voordat het proces weer wordt gebruikt.

Het combineren van modelgedrag, technische beperkingen en controles kan het risico verkleinen, maar biedt geen volledige bescherming. De toepassing is zinvol als de taak met begrensde toegang en controle bruikbaar blijft. Een bron kan informatie aandragen, geen toestemming geven. Breng daarom eerst de invoer en acties van één proces in kaart voordat je meer automatiseert.

Bronnen gecontroleerd op 22 september 2026, UTC.