Beveiligingsrisico's van AI-agents: prompt injection en tools

AI-agents gaan van het beantwoorden van vragen naar het uitvoeren van acties: inboxen lezen, databases bevragen, tickets bijwerken, berichten versturen en API's aanroepen. Die verschuiving verandert het beveiligingsbeeld. Een model dat alleen tekst produceert, kan misleiden; een agent met tools kan op basis van die tekst handelen. Prompt injection, waarbij in content verborgen instructies het model sturen, is het meest besproken risico, maar slechts een van meerdere. Deze gids legt de belangrijkste risico's in begrijpelijke taal uit, evenals de maatregelen die ze verkleinen.

Wat het is

Grote taalmodellen maken niet betrouwbaar onderscheid tussen instructies van hun beheerder en instructies die verborgen zitten in de gegevens die ze verwerken. Directe prompt injection doet zich voor wanneer een gebruiker instructies typt die bedoeld zijn om de regels van het systeem te omzeilen. Indirecte prompt injection doet zich voor wanneer het model externe content leest, zoals een webpagina, e-mail, document of supportticket, met verborgen instructies, bijvoorbeeld om gegevens prijs te geven of een tool aan te roepen. Andere risico's versterken dit. Gevoelige informatie kan uitlekken wanneer het model toegang heeft tot gegevens die de gebruiker niet mag zien. Overmatige handelingsruimte ontstaat wanneer een agent ruime toolrechten heeft, zoals de mogelijkheid om zonder bevestiging e-mail te versturen of records te verwijderen. Onjuiste afhandeling van output doet zich voor wanneer de output van het model zonder validatie direct in code, query's of webpagina's terechtkomt. Ketenrisico's komen voort uit modellen, plug-ins en connectoren van derden. De OWASP Top 10 voor LLM-toepassingen (editie 2025) brengt deze en verwante categorieën in kaart, zoals het uitlekken van de systeemprompt en onbegrensd verbruik, en het OWASP GenAI Security Project publiceert daarnaast richtlijnen specifiek voor agentische toepassingen. Omdat geen enkele huidige techniek prompt injection volledig voorkomt, moet het ontwerp ervan uitgaan dat sommige geïnjecteerde instructies slagen, en beperken wat ze kunnen doen.

Voor wie het is

Deze gids is relevant voor:

Teams die agents bouwen die tools, API's of bedrijfsgegevens gebruiken
Bedrijven die AI-assistenten inzetten voor klanten of medewerkers
Security- en risicoleads die een AI-functie moeten goedkeuren
Product owners die AI-platforms of connectoren van derden integreren

Wat Het Helpt Verduidelijken

Deze risico's doornemen helpt verduidelijken:

welke gegevens de agent kan lezen en of elke gebruiker daar recht op heeft
welke acties de agent kan uitvoeren en welke menselijke bevestiging vereisen
hoe niet-vertrouwde content het model bereikt en wat die zou kunnen beïnvloeden
waar de output van het model vervolgens naartoe gaat en of die wordt gevalideerd

Wat is inbegrepen

Inventariseer elke tool, connector en gegevensbron waartoe de agent toegang heeft
Pas least privilege toe: geef elke tool de beperktste rechten en beperk die tot de huidige gebruiker
Vereis menselijke bevestiging voor acties die versturen, verwijderen, betalen, publiceren of rechten wijzigen
Behandel opgehaalde content, e-mails, bestanden en webpagina's als niet-vertrouwde invoer
Scheid systeeminstructies zo duidelijk als het platform toelaat van gebruikers- en opgehaalde content
Valideer en codeer de output van het model voordat die code, query's of webpagina's bereikt
Dwing toegangscontrole af in de datalaag, niet in de prompt
Stel limieten in voor snelheid, kosten en het aantal acties per sessie
Log prompts, toolaanroepen en uitkomsten met passende privacywaarborgen en beoordeel ze
Test met kwaadwillende invoer, inclusief indirecte injectie via documenten en links
Leg vast hoe een tool of de agent snel kan worden uitgeschakeld als misbruik wordt gedetecteerd

Wat is niet inbegrepen

Een bewering dat prompt injection volledig kan worden voorkomen
Certificering of toezichtrechtelijke goedkeuring van een AI-systeem
Juridisch advies over AI-regelgeving
Doorlopende monitoring van agents in productie, tenzij apart afgesproken

Wanneer u het kiest

Pak deze risico's aan voordat een agent aan echte tools of gegevens wordt gekoppeld, en opnieuw wanneer er nieuwe tools, gegevensbronnen of gebruikersgroepen bijkomen. Een agent die als intern prototype met alleen leestoegang veilig was, is dat mogelijk niet meer zodra hij e-mail naar klanten kan sturen. Als een leverancier het agentplatform levert, vraag dan hoe die omgaat met toolrechten, bevestigingsstappen, logging en gegevensisolatie.

Onze Aanpak

Ontwerp op inperking in plaats van op perfecte preventie. Vraag u af wat de ergste realistische uitkomst zou zijn als een geïnjecteerde instructie slaagt, en beperk vervolgens rechten en voeg bevestigingsstappen toe totdat die uitkomst aanvaardbaar is. Houd autorisatiebeslissingen in deterministische code buiten het model. Onze LLM & AI Agent Security Review onderzoekt afgesproken AI-systemen op prompt injection, blootstelling van gegevens, onveilige output, retrievalrisico's, toolrechten en de grenzen van overdracht aan mensen, en levert schriftelijke bevindingen met geprioriteerde aanbevelingen. Bent u de agent nog aan het ontwerpen, dan kan Secure AI Agent Integration die vanaf het begin bouwen met goedgekeurde gegevens, afgebakende tools en controlemomenten, en kan AI Governance, Policy & Data Safety de gebruiksregels eromheen vastleggen. Herhaal de review wanneer modellen, tools of gegevensbronnen veranderen, omdat het gedrag met elke wijziging kan verschuiven.

LLM & AI Agent Security Review

Bekijk de dienstpagina LLM & AI Agent Security Review