Praktische gids

Wat een AI leest, kan het ook gaan uitvoeren

13 oktober 2026

Een mail van een onbekende met één gemarkeerde regel: tekst die klinkt als een opdracht. De mail gaat naar een AI-hulp, die twee dingen kan opleveren: een samenvatting voor jou, of een actie die jij niet vroeg.

Je vraagt een AI-hulp om je inbox samen te vatten. Of om een webpagina te lezen. Voor jou is dat lezen. Voor het systeem is het ook invoer, en invoer kan het opvolgen.

Het probleem in één zin

Op 8 december 2025 schreef het Britse National Cyber Security Centre (NCSC), de Britse overheidsinstantie voor cyberveiligheid, er een blog over. De kern: de huidige taalmodellen trekken binnen een opdracht geen harde grens tussen instructies en gewone gegevens. Staat er in een mail of op een pagina een tekst die klinkt als een opdracht, dan kan het model daarnaar handelen. Dat heet prompt injection.

SQL-injectie, een bekende aanval op databases, kun je volledig tegenhouden met geparametriseerde databasevragen. Volgens de schrijver van het blog lukt dat bij prompt injection misschien nooit. Het advies is daarom: maak de kans kleiner en beperk de schade. En kan een systeem het risico dat dan nog overblijft niet dragen? Dan is het volgens het NCSC misschien geen goede toepassing voor taalmodellen.

Een kanttekening: dit is de analyse van een technisch directeur in een blog. Het is geen wet en geen norm. Maar het komt van een overheidsinstantie voor cyberveiligheid, en de lijn is duidelijk.

Wat dat betekent voor jou

Het NCSC noemt een eenvoudige ontwerpregel. Verwerkt een model gegevens van een andere partij, geef het dan niet meer rechten dan die partij zelf heeft. Dat gaat niet vanzelf. Iemand moet het zo inrichten. Laat je mails van onbekenden door een AI lezen? Zorg dan dat die AI niet bij dingen kan waar onbekenden ook niet bij mogen.

Vertaald naar gewoon gebruik:

Hoe meer een AI kan doen, zoals versturen, betalen of verwijderen, hoe groter de schade als een tekst in een mail hem iets laat doen wat jij niet vroeg.
Geef zo'n AI dus niet meer rechten dan nodig. Laat acties door jou goedkeuren.
Beperkte rechten beperken een deel van de gevolgen, niet alle. Ook een AI die alleen leest kan privé-informatie tonen of een misleidende samenvatting geven. Lees die dus met dezelfde aandacht.

Vijf oplopende balken voor wat een AI mag doen: lezen, samenvatten, mail versturen, betalen en verwijderen. Hoe meer rechten, hoe groter de mogelijke schade. Lezen en samenvatten zijn alleen lezen, waar ook iets mis kan gaan. Versturen, betalen en verwijderen zijn handelingen die jij eerst laat goedkeuren.

Zie het als een werkregel, niet als volledige beveiliging.