Prompt injection is een aanval waarbij iemand verborgen instructies in tekst stopt die een AI-toepassing verwerkt, zodat de AI die instructies uitvoert in plaats van jouw opdracht. De aanval richt zich niet op de software zelf, maar op de manier waarop een taalmodel tekst leest.
Een taalmodel krijgt jouw opdracht en de inhoud van een e-mail, webpagina of document als één doorlopende tekst. Een zin in die inhoud die eruitziet als een opdracht, behandelt het model soms ook als opdracht.
Zolang een AI-assistent alleen tekst teruggeeft, beperkt de schade zich tot een verkeerd antwoord. Zodra AI agents zelf mailen, bestanden verwijderen of formulieren invullen, voert een geslaagde injectie echte handelingen uit.
Volgens het Britse NCSC en OpenAI is prompt injection mogelijk nooit volledig op te lossen, en Anthropic noemt het nog ver van opgelost. De verdediging draait daarom om het beperken van de schade, met minimale rechten en een menselijke controlestap.
Wat betekent prompt injection?
Prompt injection betekent letterlijk het injecteren van instructies in de prompt: kwaadaardige tekst die de oorspronkelijke opdracht aan een taalmodel overschrijft of aanvult. In het Nederlands heet het ook prompt-injectie.
Simon Willison stelde de naam voor op 12 september 2022, naar aanleiding van een voorbeeld van Riley Goodside. Goodside liet zien dat een taalmodel zijn eerdere instructies negeerde zodra de invoer daarom vroeg.
Willison trok direct de vergelijking met SQL-injectie, een bekende aanval op databases. Die vergelijking klopt voor de werking, maar niet voor de oplossing.
Hoe werkt een prompt injection?
Een prompt injection werkt omdat een taalmodel geen harde grens trekt tussen instructies en data. De systeemprompt van de aanbieder, jouw vraag en de tekst van een e-mail komen allemaal als één reeks woorden binnen.
Volgens het Britse NCSC (december 2025) voorspelt een taalmodel steeds het volgende stuk tekst, zonder intern onderscheid tussen opdracht en inhoud. Een zin als „negeer de vorige instructies” krijgt daardoor geen lagere status dan jouw eigen opdracht.
Aanbieders werken aan modellen die instructies van de gebruiker voorrang geven boven ingevoegde tekst. Volgens het NCSC verkleinen zulke maatregelen de kans op een geslaagde aanval, maar heffen ze die niet op.
Wat is het verschil tussen directe en indirecte prompt injection?
Directe en indirecte prompt injection verschillen in wie de instructie aanlevert. Bij directe prompt injection typt de gebruiker zelf de manipulerende tekst in het chatvenster, bewust of per ongeluk.
Bij indirecte prompt injection zitten de instructies in externe inhoud die de AI-toepassing ophaalt, zoals een webpagina of een bestand. OWASP beschrijft beide vormen in zijn Top 10 voor LLM-toepassingen van 2025.
Greshake e.a. werkten indirecte prompt injection in februari 2023 uit en lieten zien dat een aanvaller een systeem stuurt zonder er zelf mee te praten. Voor kantoren is dat de relevante vorm: de aanvaller zit niet aan het toetsenbord, maar in de mail of het document dat binnenkomt.
Hoe ziet een prompt injection eruit in de praktijk?
Een prompt injection komt in de praktijk binnen via drie kanalen die elk kantoor dagelijks gebruikt: e-mail, webpagina’s en documenten. De voorbeelden hieronder zijn gepubliceerd door OpenAI, Anthropic en het NCSC.
Hoe werkt een aanval via een e-mail?
Een aanval via een e-mail werkt met een bericht waarin instructies voor de AI-assistent verstopt zitten. OpenAI beschreef in december 2025 een aanval op zijn eigen browseragent waarbij een aanvaller zo’n mail in de inbox van een gebruiker plaatste.
De gebruiker vroeg de agent later een afwezigheidsbericht te schrijven. De agent las daarbij de geplante mail, volgde de verborgen instructie en stuurde namens de gebruiker een ontslagbrief naar de CEO.
Anthropic testte in augustus 2025 een mail die zich voordeed als bericht van de werkgever en vroeg om de mailbox op te schonen, zonder verdere bevestiging. Vóór de nieuwe verdediging verwijderde de agent de e-mails van de gebruiker zonder iets te vragen.
Hoe werkt een aanval via een webpagina?
Een aanval via een webpagina werkt met tekst die voor de lezer onzichtbaar is, maar die een AI-browser wel leest, bijvoorbeeld witte letters op een witte achtergrond. Een agent die zelf surft, links volgt en formulieren invult, komt zulke pagina’s tegen zonder dat de gebruiker ze ziet.
Browseragents zoals ChatGPT agent mode werken op die manier, en volgens Anthropic is geen enkele browseragent immuun voor prompt injection.
Hoe werkt een aanval via een document?
Een aanval via een document werkt met verborgen tekst in een bestand dat een AI-toepassing samenvat of beoordeelt. Een voorbeeld van het NCSC is een cv met verborgen tekst die een opdracht geeft aan de AI-tool die sollicitaties beoordeelt.
Een kantoor ontvangt dagelijks stukken van buiten: pdf’s van een wederpartij, aangeleverde jaarstukken, offertes. Wie zulke bestanden door een AI-assistent laat samenvatten, verwerkt ook tekst die iemand anders heeft geschreven.
Wat kan er misgaan bij een geslaagde prompt injection?
Bij een geslaagde prompt injection gaan vier dingen mis, afhankelijk van de rechten van de AI-toepassing:
- Gegevenslek: de AI-assistent stuurt vertrouwelijke informatie uit je mailbox of dossier naar een adres van de aanvaller.
- Ongewenste acties: de agent verstuurt berichten, verwijdert bestanden of doet een aankoop waar niemand om heeft gevraagd.
- Gemanipuleerde output: een samenvatting of beoordeling valt anders uit dan de inhoud rechtvaardigt, zonder dat het opvalt.
- Misbruik van koppelingen: gekoppelde tools en systemen worden ingezet voor handelingen buiten de opdracht.
De schade groeit met de rechten van de toepassing. Een chatbot zonder koppelingen geeft hooguit een verkeerd antwoord; een agent met toegang tot mail en dossiers handelt namens jou.
Waarom is prompt injection niet volledig te voorkomen?
Prompt injection is niet volledig te voorkomen, omdat de oorzaak in de werking van taalmodellen zit en niet in een programmeerfout. Bij SQL-injectie bestaat een structurele oplossing: geparametriseerde queries houden invoer en opdrachten strikt gescheiden.
Voor taalmodellen bestaat zo’n scheiding niet, schreef het NCSC in december 2025. Volgens het NCSC is prompt injection daarom een restrisico dat je beheerst, geen probleem dat je oplost.
De aanbieders schrijven iets vergelijkbaars. Volgens OpenAI wordt prompt injection, net als oplichting en social engineering, waarschijnlijk nooit volledig opgelost, en Anthropic noemde het in november 2025 nog ver van opgelost.
Hoe beperk je het risico van prompt injection?
Je beperkt het risico van prompt injection door de gevolgen klein te houden, niet door op detectie te vertrouwen. Zes maatregelen beperken de schade:
- Geef een AI-toepassing alleen de rechten die de taak vraagt, dus lezen zonder verzenden waar dat volstaat.
- Vraag om bevestiging voordat een agent iets verstuurt, verwijdert, publiceert of koopt.
- Scheid gevoelige dossiers van agents met internettoegang, zodat een webpagina nooit bij klantgegevens komt.
- Geef specifieke opdrachten in plaats van een brede opdracht als „handel mijn inbox af”; OpenAI geeft hetzelfde advies.
- Log wat de toepassing leest en doet, zodat je achteraf ziet waar een instructie vandaan kwam.
- Behandel elke koppeling via een MCP-server of plug-in als nieuwe toegang die een injectie verder laat reiken.
Bij mijn eigen automatiseringen begin ik met drie vragen: welke data erin gaat, waar die terechtkomt en wie er toegang toe heeft. Een skill die je van buiten haalt, behandel ik als instructies van een onbekende die mijn AI automatisch uitvoert. Daar geldt dezelfde controle als bij elke andere externe invoer, en welke tools en accounts zijn toegestaan, leg je vast in het beleid voor verantwoord AI gebruik.
Is prompt injection hetzelfde als een jailbreak?
Nee, een jailbreak is een vorm van prompt injection, maar niet hetzelfde. Bij een jailbreak probeert iemand het model zijn veiligheidsregels te laten negeren, zo omschrijft OWASP het.
Prompt injection is breder: de aanval stuurt het gedrag van een toepassing, ook zonder dat veiligheidsregels in het spel zijn. Voor een kantoor is dat bredere risico het relevante, omdat de aanval via gewone mails en documenten binnenkomt.
Is een geslaagde prompt injection een datalek?
Een geslaagde prompt injection is een datalek zodra er persoonsgegevens bij onbevoegden terechtkomen of verloren gaan. Dan gelden de regels van de AVG voor een inbreuk in verband met persoonsgegevens.
Volgens artikel 33 van de AVG meldt de verwerkingsverantwoordelijke zo’n inbreuk zo snel mogelijk en waar mogelijk binnen 72 uur bij de Autoriteit Persoonsgegevens. Die meldplicht vervalt alleen wanneer de inbreuk waarschijnlijk geen risico oplevert voor de betrokkenen.
Staat prompt injection in de OWASP Top 10?
Ja, prompt injection staat op de eerste plaats van de OWASP Top 10 for LLM Applications 2025, met de code LLM01. Prompt injection staat daarmee bovenaan de lijst van OWASP, een internationale non-profitorganisatie die overzichten publiceert van de belangrijkste beveiligingsrisico’s in software.
Veelgestelde vragen over prompt injection
Rond prompt injection spelen ook vragen over verwante aanvallen en over het testen van je eigen toepassing.
Kan prompt injection ook via een afbeelding?
Ja, prompt injection kan ook via een afbeelding, zodra een AI-toepassing beelden naast tekst verwerkt. OWASP noemt in de toelichting op LLM01 uitdrukkelijk instructies die verborgen zitten in een afbeelding bij onschuldig ogende tekst. Een screenshot of gescande bijlage is daarmee net zo goed externe invoer als een e-mail. Behandel een beeld dat je van buiten krijgt daarom met dezelfde voorzichtigheid als een document.
Wat is het verschil tussen prompt injection en data poisoning?
Het verschil tussen prompt injection en data poisoning zit in het moment van de aanval. Prompt injection gebeurt tijdens het gebruik, via tekst die de toepassing op dat moment leest. Bij data poisoning manipuleert een aanvaller volgens OWASP de trainingsdata of de embeddings, zodat het model zelf een verborgen zwakte of achterdeur meekrijgt. OWASP behandelt data poisoning als een apart risico in de Top 10, onder de code LLM04.
Wat is system prompt leakage?
System prompt leakage is het risico dat de verborgen instructies van een AI-toepassing uitlekken, met informatie die nooit bedoeld was om gevonden te worden. OWASP zet het als LLM07 in de Top 10 van 2025 en waarschuwt dat zulke informatie andere aanvallen makkelijker maakt. Zet daarom nooit wachtwoorden of API-sleutels in een systeemprompt. Volgens OWASP is de systeemprompt geen beveiligingsmaatregel; controles zoals autorisatie horen buiten het taalmodel.
Hoe test je een AI-toepassing op prompt injection?
Een AI-toepassing test je op prompt injection door aanvallen na te bootsen, voordat je de toepassing in gebruik neemt en daarna op vaste momenten. OWASP adviseert regelmatige penetratietests en aanvalssimulaties waarbij je het model behandelt als een gebruiker die je niet vertrouwt. Bied in een test bijvoorbeeld een e-mail aan met een verborgen opdracht en kijk of de toepassing die uitvoert. Leg de uitkomst vast, zodat je na elke wijziging opnieuw kunt testen.
Hoe leer je een AI-automatisering met een controlestap bouwen?
Een AI-automatisering met een controlestap bouw je door vooraf vast te leggen wat de AI zelfstandig doet en waar een mens meekijkt. Zo leidt een prompt injection niet ongemerkt tot een actie. In de AI automatisering cursus leer je Claude tools te laten gebruiken en bepaal je wanneer een agent zinvol is.
Je beheert er je API-sleutel veilig en sluit af met een eigen werkstroom met controlestap, getest op je eigen voorbeelden.
