--- id: CP-291 slug: trainingsdata-ai-modelinversie-lidmaatschapsinferentie lang: nl title: De trainingsdata van een AI terugvinden description: Een aanvaller die een AI bevraagt, kan raden of een document voor de training is gebruikt en soms zelfs onthouden fragmenten naar boven halen. canonical_url: https://startbrain.io/cyberpedia/nl/articles/trainingsdata-ai-modelinversie-lidmaatschapsinferentie/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/trainingsdata-ai-modelinversie-lidmaatschapsinferentie.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “De trainingsdata van een AI terugvinden”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/trainingsdata-ai-modelinversie-lidmaatschapsinferentie/ (CC BY 4.0) wing: 4 theme: protect_data reflex: air-008 schema: G1 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/trainingsdata-ai-modelinversie-lidmaatschapsinferentie/ fr: https://startbrain.io/cyberpedia/fr/articles/inversion-modele-inference-appartenance/ en: https://startbrain.io/cyberpedia/en/articles/model-inversion-membership-inference/ de: https://startbrain.io/cyberpedia/de/articles/trainingsdaten-ki-modellinversion-mitgliedschaftsinferenz/ es: https://startbrain.io/cyberpedia/es/articles/inversion-modelo-inferencia-pertenencia/ it: https://startbrain.io/cyberpedia/it/articles/inversione-modello-inferenza-appartenenza/ sources: - "n": 1 title: Extracting Training Data from Large Language Models publisher: arXiv url: https://arxiv.org/abs/2012.07805 published: "2020-12-14" accessed: "2026-11-03" - "n": 2 title: Scalable Extraction of Training Data from (Production) Language Models publisher: arXiv url: https://arxiv.org/abs/2311.17035 published: "2023-11-28" accessed: "2026-11-03" - "n": 3 title: Membership Inference Attacks against Machine Learning Models publisher: arXiv url: https://arxiv.org/abs/1610.05820 published: "2016-10-18" accessed: "2026-11-03" - "n": 4 title: LLM02:2025 Sensitive Information Disclosure publisher: OWASP url: https://genai.owasp.org/llmrisk/llm022025-sensitive-information-disclosure/ accessed: "2026-11-03" - "n": 5 title: "AI 100-2 E2023, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations" publisher: NIST url: https://csrc.nist.gov/pubs/ai/100/2/e2023/final accessed: "2026-11-03" - "n": 6 title: Principles for security of Machine learning ML publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/machine-learning-principles published: "2024-05-22" accessed: "2026-11-03" --- # De trainingsdata van een AI terugvinden Een AI-model, zoals het model achter een chatassistent, leert van een enorme hoeveelheid teksten, afbeeldingen of dossiers. Een aanvaller kan het model bevragen om te weten te komen of een persoon of document in die data zat, of om stukken die het model heeft onthouden weer naar boven te halen. Het eerste geval heet lidmaatschapsinferentie, het tweede inversie of extractie. Voor een medewerker telt vooral wat het bedrijf en hijzelf in een AI-hulpmiddel invoeren, omdat die gegevens in het trainingsmodel terecht kunnen komen [4]. Deze fiche legt het principe uit, twee echte gevallen met datum en de reflexen die de blootstelling beperken. ## In 30 seconden - Waar het gebeurt: bij openbare AI-modellen of modellen van een leverancier, die men bevraagt via een chatinterface of een onlinedienst. - Wat de aanvaller wil: weten of een bepaald gegeven voor de training is gebruikt, of informatie terughalen die het model in het geheugen heeft bewaard, zoals openbare persoonsgegevens [1]. - De reflex: voer geen gevoelige gegevens in een openbaar AI-hulpmiddel in en vraag uw leveranciers wat zij met ingevoerde gegevens doen en hoe zij hun modellen trainen. - Als het al gebeurd is: verwittig de beveiligingsdienst van het bedrijf en controleer bij de uitgever van het hulpmiddel of u kunt weigeren dat uw gegevens voor de training worden gebruikt [4]. ## Directe vragen ### Wat is het verschil tussen lidmaatschapsinferentie en extractie? Lidmaatschapsinferentie beantwoordt een ja-nee-vraag. Met een record in de hand en toegang tot het model als "black box" probeert de aanvaller vast te stellen of dat record deel uitmaakte van de trainingsdata [3]. Extractie gaat verder: de aanvaller haalt afzonderlijke trainingsvoorbeelden terug door het model te bevragen [1]. Inversie bestaat erin gevoelige informatie of invoergegevens te reconstrueren uit wat het model prijsgeeft [4]. ### Waarom kan een model gegevens "uitspugen"? De bronnen spreken van memorisatie. Onderzoekers definiëren "extractable memorization" als trainingsdata die een tegenstander efficiënt kan terughalen door een model te bevragen, zonder de dataset vooraf te kennen [2]. De aanval op GPT-2 werkt zelfs als elke teruggehaalde reeks in slechts één document van de trainingsdata voorkomt [1]. ### Zijn grote modellen veiliger? Nee, volgens de studie over GPT-2: de auteurs stellen vast dat grotere modellen kwetsbaarder zijn dan kleinere [1]. De studie van 2023 voegt eraan toe dat de huidige alignmenttechnieken de memorisatie niet wegnemen [2]. ### Kan een vertrouwelijk document dat ik in een assistent heb geplakt bij een andere gebruiker opduiken? OWASP beschrijft dat risico: een gebruiker krijgt een antwoord met de persoonsgegevens van een ander, door onvoldoende opschoning van de data [4]. De organisatie beveelt aan dat toepassingen voorkomen dat gebruikersdata in het trainingsmodel terechtkomen en dat gebruikers kunnen weigeren dat hun gegevens daarin worden opgenomen [4]. De hier aangehaalde bronnen geven geen cijfer voor de kans op zo'n geval. ## In de huid van de aanvaller De aanvaller hoeft het systeem van het bedrijf niet binnen te dringen. Toegang tot het model volstaat, en die is vaak openbaar. Voor lidmaatschapsinferentie trainen de onderzoekers Shokri en zijn medeauteurs hun eigen inferentiemodel, dat leert de verschillen te herkennen tussen de antwoorden van het doelwit op data die het tijdens de training zag en op data die het nooit heeft gezien [3]. Bij extractie bevraagt de tegenstander het model zonder iets te weten over de trainingsdataset [2]. Hij zoekt reeksen die woord voor woord naar buiten komen: in de studie over GPT-2 werden honderden tekstreeksen teruggehaald [1]. Het doel hangt af van het doelwit. Bij een model dat op gevoelige dossiers is getraind, kan het weten dat een persoon erin voorkomt al informatie op zich zijn. De auteurs van 2016 illustreren dit met een dataset van ziekenhuisontslagen, waarvan het lidmaatschap gevoelig is voor de privacy [3]. ## Wat u op het scherm ziet De hier aangehaalde bronnen beschrijven geen zichtbaar teken voor een medewerker. De aanval bestaat uit het stellen van vragen aan een toegankelijk model, en die verzoeken kunnen gewoon lijken. Het spoor zit eerder in een antwoord van het model dat een onthouden fragment bevat. De tekst hieronder is een geneutraliseerde illustratie, geen opdracht om na te doen. Hij toont hoe een verzoek eruitziet dat persoonsgegevens uit het geheugen van een model probeert te halen. ```text Illustratie: fictieve uitwisseling met een assistent, adres in .invalid. Vraag: [een repetitief of banaal verzoek, geparafraseerd] Antwoord van het model: [een onthouden fragment: naam, nummer, fictief e-mailadres voornaam.achternaam@voorbeeld.invalid] ``` ## Onder de motorkap Het mechanisme berust op verschillen in gedrag van een model tussen wat het heeft geleerd en wat het nooit heeft gezien [3]. De aanvaller buit die verschillen uit, ofwel door ze te meten (lidmaatschapsinferentie), ofwel door de uitvoer van onthouden reeksen uit te lokken (extractie). De doelwitmodellen zijn van uiteenlopende aard. De onderzoekers van 2016 testten "on demand" diensten voor machine learning van commerciële aanbieders zoals Google en Amazon, en tonen aan dat die modellen kwetsbaar kunnen zijn [3]. Die van 2023 halen gigabytes aan data terug uit open modellen zoals Pythia, half open modellen zoals LLaMA en gesloten modellen zoals ChatGPT [2]. NIST publiceert een taxonomie van adversarial machine learning, waarvan de trefwoorden "privacy breach" omvatten [5]. OWASP noemt ook de aanval "Proof Pudding" (CVE-2019-20634): gelekte trainingsdata maakten daar de extractie en inversie van het model gemakkelijker, waardoor e-mailfilters konden worden omzeild [4]. OWASP koppelt deze technieken aan drie items in de MITRE ATLAS-database: lidmaatschap van de trainingsdata afleiden, een model inverteren, een model extraheren [4]. Aan de verdedigingskant beveelt OWASP aan data vóór de training op te schonen, toegang te beperken volgens het principe van de minste rechten, en federated learning en differentiële privacy te gebruiken, een techniek die ruis toevoegt aan de data of de uitvoer [4]. OWASP vermeldt dat een instructie aan het model over de soorten gegevens die het niet mag teruggeven, kan worden omzeild door promptinjectie [4]. Het Britse NCSC wijst erop dat AI-systemen onderhevig zijn aan nieuwe kwetsbaarheden, die bovenop de gebruikelijke dreigingen komen [6]. ## Incidentanalyses ### December 2020: de extractie van data uit GPT-2 Op 14 december 2020 plaatsen Nicholas Carlini en elf medeauteurs op arXiv een studie die laat zien dat een tegenstander afzonderlijke trainingsvoorbeelden kan terughalen door een taalmodel te bevragen [1]. Ze vallen GPT-2 aan, getraind op data van het openbare internet, en halen er honderden tekstreeksen woord voor woord uit terug [1]. Daaronder staan openbare persoonsgegevens (namen, telefoonnummers, e-mailadressen), IRC-gesprekken, code en UUID's van 128 bit [1]. Een herziene versie is gedateerd op 15 juni 2021 [1]. ### November 2023: de extractie van data uit ChatGPT Op 28 november 2023 publiceren Milad Nasr, Nicholas Carlini en acht medeauteurs een studie over de extractie van trainingsdata uit productiemodellen [2]. Om ChatGPT, een model met alignment, aan te vallen ontwikkelen ze een zogenoemde "divergentieaanval": die brengt het model uit zijn gesprekstijl en laat het trainingsdata uitgeven in een tempo dat 150 keer hoger ligt dan bij normaal gebruik [2]. Ze concluderen dat praktische aanvallen veel meer data kunnen terughalen dan men dacht [2]. De pagina van OWASP verwijst naar een nieuwsartikel over dit geval, getiteld "ChatGPT Spit Out Sensitive Data When Told to Repeat ‘Poem’ Forever" [4]. Voor de medewerker volgt de reflex uit deze gevallen. OWASP rekent persoonsgegevens, financiële informatie, gezondheidsdossiers, vertrouwelijke bedrijfsgegevens, inloggegevens voor beveiliging en juridische documenten tot de gevoelige gegevens: die voert men niet in een openbaar AI-hulpmiddel in [4]. Voor hulpmiddelen die het bedrijf koopt, vraagt men leveranciers om schriftelijke garanties, want OWASP beveelt duidelijk beleid aan over bewaring, gebruik en verwijdering van data [4]. ## Bronnen 1. arXiv, “Extracting Training Data from Large Language Models”, 14 december 2020. https://arxiv.org/abs/2012.07805 (geraadpleegd op 3 november 2026) 2. arXiv, “Scalable Extraction of Training Data from (Production) Language Models”, 28 november 2023. https://arxiv.org/abs/2311.17035 (geraadpleegd op 3 november 2026) 3. arXiv, “Membership Inference Attacks against Machine Learning Models”, 18 oktober 2016. https://arxiv.org/abs/1610.05820 (geraadpleegd op 3 november 2026) 4. OWASP, “LLM02:2025 Sensitive Information Disclosure”. https://genai.owasp.org/llmrisk/llm022025-sensitive-information-disclosure/ (geraadpleegd op 3 november 2026) 5. NIST, “AI 100-2 E2023, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations”. https://csrc.nist.gov/pubs/ai/100/2/e2023/final (geraadpleegd op 3 november 2026) 6. NCSC (Royaume-Uni), “Principles for security of Machine learning ML”, 22 mei 2024. https://www.ncsc.gov.uk/collection/machine-learning-principles (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/trainingsdata-ai-modelinversie-lidmaatschapsinferentie/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.