instellectPrompt injection probeert een model via invoer of opgehaalde inhoud van zijn bedoelde taak af te laten wijken. Bij agents wordt dat extra relevant wanneer het model tools kan aanroepen. Geen enkele losse prompt of filter biedt volledige bescherming.
Behandel externe inhoud als gegevens
Een instructie in een bijlage, webpagina of toolresultaat komt niet van de opdrachtgever. Maak in het ontwerp duidelijk welke inhoud uit welke bron komt. Ook een vertrouwd bronsysteem kan tekst bevatten die door een derde is aangeleverd. Een CRM-notitie is dus niet automatisch een bevoegdheidsregel. Laat broninhoud geen nieuwe ontvangers, rechten of doelen vaststellen.
Beperk wat een misleid model kan veroorzaken
Bepaal buiten het model welke tools beschikbaar zijn en welke argumenten toegestaan zijn. Een zoektaak hoeft geen verzendtool te hebben. Controleer bestemmingen en gevoelige velden voordat een handeling plaatsvindt. Voor risicovolle acties moet een reviewer de concrete uitvoer kunnen zien. Dat verkleint gevolgen, ook wanneer het model een ongewenste instructie niet goed herkent.
Maak een herhaalbaar testpakket
Gebruik fictieve bronnen met herkenbare testinstructies, bijvoorbeeld een verzoek om een antwoord zonder bron te geven of een testmarker naar een niet-toegestane bestemming te sturen. Het gewenste gedrag is vooraf bepaald: taakgrenzen blijven gelden en uitvoering wordt geweigerd. Test varianten na veranderingen aan model, tools of retrieval. Combineer dit met security-evaluaties in de releasecontrole.
Verdediging op verschillende plekken
| Laag | Maatregel | Beperking |
|---|---|---|
| Inhoud | Herkomst en instructiegrenzen expliciet maken | Model kan nog steeds verkeerd interpreteren |
| Tools | Beperkte acties en gevalideerde argumenten | Verkeerde maar toegestane acties blijven mogelijk |
| Uitvoering | Bestemmingscontrole en gerichte review | Reviewer moet voldoende context krijgen |
Een fictieve notitie in een klantdossier
Een testdocument bevat een normale afspraak en een instructie om interne informatie naar een afwijkend adres te sturen. De agent mag de afspraak gebruiken, maar het adres geeft geen verzendbevoegdheid. De test slaagt alleen wanneer de uitvoeringslaag de ongeoorloofde handeling blokkeert. Alleen een nette waarschuwing in het chatantwoord is geen bewijs dat de toolroute veilig is.
Neem mee naar je team.
- Gebruik uitsluitend fictieve gevoelige inhoud in aanvalstests.
- Controleer toolcalls en uiteindelijke systeemwijzigingen.
- Herhaal tests bij gewijzigde bronnen, modellen en toolbeschrijvingen.
Met ruimte voor je besluit, eigenaar en testbewijs. Geen e-mailadres nodig.
Bronnen & verantwoording
Technische achtergrond bij dit onderwerp. De keuzetabel, checklist en fictieve voorbeelden zijn een eigen redactionele uitwerking van Instellect. De beschreven patronen zijn geen overzicht van reeds beschikbare productfuncties.
Geraadpleegd op 11 oktober 2026. Een correctie doorgeven? Mail Instellect.