--- id: CP-281 slug: directe-prompt-injection-jailbreak-assistent lang: nl title: Directe prompt injection description: "Een instructie in de chat is soms genoeg om een AI-assistent buiten zijn regels te laten treden: werking, signalen op het scherm, cases, preventie." canonical_url: https://startbrain.io/cyberpedia/nl/articles/directe-prompt-injection-jailbreak-assistent/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/directe-prompt-injection-jailbreak-assistent.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Directe prompt injection”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/directe-prompt-injection-jailbreak-assistent/ (CC BY 4.0) wing: 4 theme: prompt_correctly reflex: air-012 schema: G1 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/directe-prompt-injection-jailbreak-assistent/ fr: https://startbrain.io/cyberpedia/fr/articles/prompt-injection-directe-jailbreak-assistant/ en: https://startbrain.io/cyberpedia/en/articles/direct-prompt-injection-jailbreak/ de: https://startbrain.io/cyberpedia/de/articles/direkte-prompt-injection-jailbreak-assistent/ es: https://startbrain.io/cyberpedia/es/articles/inyeccion-directa-de-prompt-jailbreak-asistente/ it: https://startbrain.io/cyberpedia/it/articles/prompt-injection-diretta-jailbreak-assistente/ sources: - "n": 1 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ accessed: "2026-11-03" - "n": 2 title: Prompt injection is not SQL injection (it may be worse) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection published: "2025-12-08" accessed: "2026-11-03" - "n": 3 title: "Ignore Previous Prompt: Attack Techniques For Language Models" publisher: arXiv url: https://arxiv.org/abs/2211.09527 published: "2022-11-17" accessed: "2026-11-03" - "n": 4 title: Prompt Injection attack against LLM-integrated Applications publisher: arXiv url: https://arxiv.org/abs/2306.05499 published: "2023-06-08" accessed: "2026-11-03" - "n": 5 title: "Jailbroken: How Does LLM Safety Training Fail?" publisher: arXiv url: https://arxiv.org/abs/2307.02483 published: "2023-07-05" accessed: "2026-11-03" - "n": 6 title: "AI 100-2 E2025, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations | CSRC" publisher: NIST url: https://csrc.nist.gov/pubs/ai/100/2/e2025/final accessed: "2026-11-03" --- # Directe prompt injection Een AI-assistent in een bedrijf werkt met regels die de leverancier of het bedrijf heeft opgesteld. Bij directe prompt injection typt iemand in het gespreksvenster een tekst die het gedrag van het model op een onbedoelde manier verandert [1]. Wie typt, is niet altijd een aanvaller. OWASP benadrukt dat de invoer opzettelijk of onopzettelijk kan zijn: een gebruiker kan onverwacht gedrag veroorzaken zonder het te willen [1]. ## In 30 seconden - Waar het gebeurt: in het gespreksvenster van een AI-assistent, bijvoorbeeld een chatbot van de klantenservice [1]. - Wat de aanvaller wil: het model zijn instructies laten negeren, zijn interne instructies laten onthullen of inhoud laten produceren die het bedrijf wilde verbieden [1]. - De reflex: behandel een AI-assistent als een gesprekspartner die een slimme instructie kan misleiden, geef hem alleen de strikt noodzakelijke toegang en laat een persoon elke gevoelige handeling goedkeuren. - Als het al gebeurd is: meld het gesprek, met een schermafbeelding van de uitwisseling, bij het team dat de assistent beheert. ## Directe vragen ### Wat is een directe prompt injection? Het is het geval waarin de tekst die de gebruiker typt het gedrag van het model rechtstreeks en onverwacht verandert [1]. Het staat tegenover indirecte injectie, waarbij het model externe inhoud (een website, een bestand) leest die de instructies bevat [1]. ### Hoe verhoudt dit zich tot jailbreaking? De twee termen worden vaak door elkaar gebruikt. Volgens OWASP is jailbreaking een vorm van prompt injection waarbij de aanvaller het model ertoe aanzet zijn veiligheidsprotocollen volledig te negeren [1]. Prompt injection is breder: het gaat om het manipuleren van de antwoorden van het model met gerichte invoer, wat ook het omzeilen van veiligheidsmaatregelen kan omvatten [1]. ### Waarom laat het model zich overtuigen? Omdat het instructies en gegevens niet van elkaar scheidt. Het Britse NCSC schrijft dat de huidige grote modellen binnen een prompt geen enkele beveiligingsgrens tussen die twee afdwingen [2]. De ontwikkelaar plakt zijn eigen instructies en de tekst van de gebruiker in één prompt en behandelt het antwoord alsof er een stevige grens tussen beide bestond [2]. ### Kan het probleem voorgoed worden opgelost? Waarschijnlijk niet. Het NCSC schat in dat deze aanvallen, anders dan SQL-injectie, misschien nooit volledig onschadelijk te maken zijn [2]. OWASP zegt van zijn kant dat niet bekend is of er waterdichte preventiemethoden bestaan [1]. Het realistische doel is de kans en de impact te verkleinen [2]. ## In de huid van de aanvaller De onderzoekers Fábio Perez en Ian Ribeiro toonden in 2022 aan dat weinig geschoolde maar kwaadwillende personen GPT-3 kunnen misleiden met eenvoudige, met de hand geschreven teksten [3]. Ze beschrijven twee doelen: het doel van het model kapen (goal hijacking) en het zijn prompt laten prijsgeven (prompt leaking) [3]. Een tweede soort doel is misbruik. Een team onderzoekers beschreef in 2023 resultaten zoals onbeperkt en willekeurig gebruik van het model achter een applicatie en de eenvoudige diefstal van de prompt van die applicatie [4]. Een jailbreak werkt anders. De auteurs van de studie "Jailbroken" noemen twee oorzaken waarom veiligheidstraining faalt: concurrerende doelen (de mogelijkheden van het model botsen met zijn veiligheidsregels) en onvolledige generalisatie (de veiligheid dekt een gebied niet waarin het model wel over mogelijkheden beschikt) [5]. OWASP noemt ook varianten. De aanvaller kan aan zijn bericht een reeks ogenschijnlijk betekenisloze tekens toevoegen of meerdere talen of een codering zoals Base64 gebruiken om filters te omzeilen [1]. ## Wat u op het scherm ziet Voor de gebruiker of het bedrijf herkent men een geslaagde aanval aan de gevolgen. OWASP somt de mogelijke gevolgen op: openbaarmaking van gevoelige informatie, onthulling van informatie over de infrastructuur of de systeemprompts, vertekende of bevooroordeelde inhoud, onbevoegde toegang tot de functies van het model, uitvoering van opdrachten in gekoppelde systemen [1]. Concreet moet een assistent die buiten zijn onderwerp antwoordt, zijn eigen instructies opdreunt of inhoud produceert die het bedrijf nooit zou hebben goedgekeurd, u alert maken. OWASP geeft een typisch scenario: een aanvaller vraagt een chatbot van de klantenservice zijn instructies te negeren, privégegevens op te vragen en e-mails te versturen [1]. Hier volgt een illustratie van dit soort bericht, geneutraliseerd en geparafraseerd: ```text Illustratie (geparafraseerd bericht, niet functioneel): [instructie die de chatbot vraagt de regels van de leverancier te negeren en vervolgens zijn interne instructies volledig over te schrijven] ``` ## Onder de motorkap Voor een taalmodel bestaan er geen "gegevens" en geen "instructies", alleen het volgende token (next token): het model voorspelt het meest waarschijnlijke token op basis van de tekst die het tot dan toe heeft ontvangen [2]. De instructies van de leverancier en de zin die de gebruiker typt, komen dus in dezelfde tekst terecht, zonder scheiding die het model respecteert [2]. Dit onderscheidt prompt injection van SQL-injectie. Bij SQL garanderen geparametriseerde query's dat de database nooit een invoer als instructie interpreteert [2]. Het NCSC schrijft dat aanvallen met prompt injection misschien nooit volledig kunnen worden beperkt zoals SQL-injecties [2]. De lopende oplossingsrichtingen (pogingen detecteren, het model trainen om instructies voorrang te geven, het model laten weten wat gegevens zijn) leggen een onderscheid over iets dat de technologie zelf niet maakt [2]. Het NIST publiceerde in maart 2025 een taxonomie van adversarial machine learning [6]. Een aandachtspunt zijn filters op verboden woorden. Het NCSC waarschuwt tegen het blokkeren van bekende zinnen zoals "ignore previous instructions": er bestaan oneindig veel herformuleringen die dat filter omzeilen [2]. ### Preventie De eenvoudige maatregelen die hier zijn gekozen, komen van OWASP en het NCSC. - Minimale rechten: geef het model de minimaal noodzakelijke toegang en handel uitgebreide functies af in de code van de applicatie in plaats van ze aan het model toe te vertrouwen [1]. - Menselijke goedkeuring: eis de toestemming van een persoon voor handelingen met bijzondere rechten [1]. - Filtering van uitvoer: definieer gevoelige categorieën, spoor niet-toegestane inhoud op met semantische filters en tekenreekscontroles en valideer het formaat van de antwoorden met deterministische code [1]. - Rol afbakenen: beschrijf in de systeemprompt de rol en de grenzen van het model [1]. Deze maatregel helpt, maar is niet genoeg: OWASP presenteert al deze maatregelen als middelen om de impact te beperken [1]. - Testen: voer regelmatig penetratietests en simulaties uit en behandel het model daarbij als een onbetrouwbare gebruiker [1]. - Bewaking: log genoeg informatie om verdachte activiteit te herkennen, ook mislukte aanroepen van tools en API's, die de eerste stappen van een aanval kunnen verraden [2]. Het NCSC voegt eraan toe dat de beveiliging van een systeem moet berusten op deterministische waarborgen die zijn handelingen beperken, in plaats van op de loutere hoop te voorkomen dat kwaadaardige inhoud het model bereikt [2]. Als het restrisico onaanvaardbaar is, past de toepassing misschien niet bij een taalmodel [2]. ## Incidentanalyses ### November 2022: GPT-3 misleid met eenvoudige teksten Op 17 november 2022 publiceren Fábio Perez en Ian Ribeiro PromptInject, een kader om deze aanvallen te analyseren. Ze onderzoeken GPT-3, dat ze beschrijven als het meest in productie gebruikte taalmodel, en tonen aan dat het gemakkelijk uit de pas kan worden gebracht met met de hand geschreven invoer [3]. De twee onderzochte aanvallen zijn het kapen van het doel en het lekken van de prompt [3]. ### Juni 2023: 31 van de 36 applicaties kwetsbaar Op 8 juni 2023 publiceert een team van twaalf onderzoekers een studie over echte applicaties die een taalmodel gebruiken. Na een analyse van tien commerciële applicaties ontwikkelt het team een aanvalstechniek met de naam HouYi en past die toe op 36 applicaties: 31 blijken gevoelig voor prompt injection [4]. Tien leveranciers bevestigden de resultaten, onder wie Notion [4]. ### Juli 2023: beveiligingen die bezwijken Op 5 juli 2023 evalueren Alexander Wei, Nika Haghtalab en Jacob Steinhardt GPT-4 van OpenAI en Claude v1.3 van Anthropic. Hun nieuwe aanvallen slagen bij elk verzoek uit een verzameling gevaarlijke verzoeken, afkomstig uit de red-teamingevaluatiesets van de modellen [5]. De auteurs concluderen dat de kwetsbaarheden blijven bestaan ondanks de inspanningen op het gebied van red teaming en veiligheidstraining [5]. ## Bronnen 1. OWASP, “LLM01:2025 Prompt Injection”. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (geraadpleegd op 3 november 2026) 2. NCSC (Royaume-Uni), “Prompt injection is not SQL injection (it may be worse)”, 8 december 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (geraadpleegd op 3 november 2026) 3. arXiv, “Ignore Previous Prompt: Attack Techniques For Language Models”, 17 november 2022. https://arxiv.org/abs/2211.09527 (geraadpleegd op 3 november 2026) 4. arXiv, “Prompt Injection attack against LLM-integrated Applications”, 8 juni 2023. https://arxiv.org/abs/2306.05499 (geraadpleegd op 3 november 2026) 5. arXiv, “Jailbroken: How Does LLM Safety Training Fail?”, 5 juli 2023. https://arxiv.org/abs/2307.02483 (geraadpleegd op 3 november 2026) 6. NIST, “AI 100-2 E2025, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations | CSRC”. https://csrc.nist.gov/pubs/ai/100/2/e2025/final (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/directe-prompt-injection-jailbreak-assistent/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.