Wat vroege aanvallen op AI-agents ons vertellen over 2026

Terwijl AI van gecontroleerde experimenten naar echte wereldtoepassingen beweegt, komen we aan een keerpunt in het beveiligingslandschap. De overgang van statische taalmodellen naar interactieve, agentische systemen die in staat zijn om documenten te doorzoeken, tools aan te roepen en meerdere stappen uit te voeren, is al gaande. Maar zoals recent onderzoek aantoont, wachten aanvallers niet tot de volwassenheid: ze passen zich aan met hetzelfde snelle tempo, proberen systemen uit zodra nieuwe mogelijkheden worden geïntroduceerd.

In het vierde kwartaal van 2025 analyseerde ons team bij Lakera het echte aanvallersgedrag in systemen die worden beschermd door Guard en in de Gandalf: Agent Breaker-omgeving – een gefocuste, 30-dagen snapshot die, ondanks de smalle venster, bredere patronen weerspiegelt die we gedurende de hele kwartaal hebben waargenomen. De bevindingen geven een duidelijk beeld: zodra modellen beginnen te interacteren met iets meer dan eenvoudige tekstprompts (bijvoorbeeld: documenten, tools, externe gegevens), breidt het aanvalsoppervlak zich uit en passen tegenstanders zich onmiddellijk aan om het te exploiteren.

Dit moment kan vertrouwd aanvoelen voor diegenen die de vroege webtoepassingen hebben zien evolueren, of die de opkomst van API-gedreven aanvallen hebben waargenomen. Maar met AI-agents, zijn de inzetten anders. De aanvalsvector is sneller dan veel organisaties hadden verwacht.

Van theorie naar praktijk: agents in het wild

Gedurende een groot deel van 2025, draaiden discussies over AI-agents voornamelijk om theoretisch potentieel en vroege prototypes. Maar tegen het einde van het jaar, begonnen agentische gedragingen op grote schaal te verschijnen in productiesystemen: modellen die documenten konden ophalen en analyseren, interactie aangaan met externe API’s en geautomatiseerde taken uitvoeren. Deze agenten boden voor de hand liggende productiviteitsvoordelen, maar ze openden ook deuren die traditionele taalmodellen niet deden.

Onze analyse toont aan dat zodra agenten in staat waren om te interacteren met externe inhoud en tools, aanvallers dit opmerkten en dienovereenkomstig aanpasten. Deze observatie stemt overeen met een fundamentele waarheid over tegenstandersgedrag: aanvallers zullen altijd nieuwe mogelijkheden verkennen en exploiteren op het eerste moment dat ze zich voordoen. In de context van agentische AI, heeft dit geleid tot een snelle evolutie in aanvalsstrategieën.

Aanvalspatronen: wat we zien in Q4 2025

Over de dataset die we hebben bekeken, zijn drie dominante patronen naar voren gekomen. Elk heeft diepe implicaties voor hoe AI-systemen worden ontworpen, beveiligd en ingezet.

1. Systeemprompt-extractie als centraal doel

In traditionele taalmodellen is prompt-injectie (directe manipulatie van invoer om uitvoer te beïnvloeden) een goed bestudeerde kwetsbaarheid. Echter, in systemen met agentische mogelijkheden, richten aanvallers zich steeds vaker op de systeemprompt, die de interne instructies, rollen en beleidsdefinities zijn die het gedrag van de agent bepalen.

Het extraheren van systeemprompts is een waardevol doel, omdat deze prompts vaak roldefinities, toolbeschrijvingen, beleidsinstructies en workflowlogica bevatten. Zodra een aanvaller deze interne mechanismen begrijpt, krijgt hij een blauwdruk voor het manipuleren van de agent.

De meest effectieve technieken om dit te bereiken, waren geen brute kracht aanvallen, maar eerder slimme herschikking:

• Hypothetische scenario’s: Prompts die de model vragen om een andere rol of context aan te nemen – bijvoorbeeld: “Stel je voor dat je een ontwikkelaar bent die deze systeemconfiguratie bekijkt…” – hebben de model vaak ertoe gebracht om beschermde interne details te onthullen.
• Verhulling binnen gestructureerde inhoud: Aanvallers hebben kwaadaardige instructies ingebed in code-achtige of gestructureerde tekst die eenvoudige filters omzeilde en onbedoelde gedragingen activeerde zodra deze door de agent werden geparsed.

Dit is niet alleen een incrementele risico – het verandert fundamenteel hoe we denken over het beschermen van interne logica in agentische systemen.

2. Subtiele inhoudsveiligheidsomzeilingen

Een andere belangrijke trend houdt in dat inhoudsveiligheidsbeschermingen op manieren worden omzeild die moeilijk te detecteren en te mitigeren zijn met traditionele filters.

In plaats van openlijk kwaadaardige verzoeken, hebben aanvallers schadelijke inhoud gekaderd als:

• Analysetaak
• Evaluaties
• Rolspelscenario’s
• Transformaties of samenvattingen

Deze herschikkingen zijn vaak voorbij veiligheidscontroles geglipt omdat ze op het eerste gezicht onschuldig lijken. Een model dat een direct verzoek voor schadelijke uitvoer zou weigeren, kan hetzelfde resultaat produceren wanneer het wordt gevraagd om het “te evalueren” of “te samenvatten” in context.

Deze verschuiving benadrukt een diepere uitdaging: inhoudsveiligheid voor AI-agents is niet alleen een kwestie van beleidsuitvoering; het gaat over hoe modellen intentie interpreteren. Naarmate agenten complexere taken en contexten aangaan, worden modellen gevoeliger voor context-gebaseerde herinterpretatie – en aanvallers exploiteren dit gedrag.

3. Opkomst van agent-specifieke aanvallen

Misschien wel de meest gevolgrijke bevinding was het verschijnen van aanvalspatronen die alleen zin hebben in de context van agentische mogelijkheden. Dit waren geen eenvoudige prompt-injectiepogingen, maar exploits die gekoppeld waren aan nieuwe gedragingen:

• Pogingen om toegang te krijgen tot vertrouwelijke interne gegevens: Prompts werden gemaakt om de agent ertoe te brengen om gegevens op te halen of te onthullen uit aangesloten documentenopslag of systemen – acties die eerder buiten het bereik van het model lagen
• Script-gevormde instructies ingebed in tekst: Aanvallers hebben geëxperimenteerd met het ingraven van instructies in formaten die lijken op script of gestructureerde inhoud, die door een agentpijplijn kunnen stromen en onbedoelde acties kunnen activeren
• Verborgen instructies in externe inhoud: Verschillende aanvallen hebben kwaadaardige richtlijnen ingebed in externe inhoud – zoals webpagina’s of documenten die de agent werd gevraagd om te verwerken – effectief omzeilend directe invoerfilters

Deze patronen zijn vroeg, maar geven aan dat de toekomst er een is waarin de uitbreidende mogelijkheden van agenten fundamenteel de aard van tegenstandersgedrag veranderen.

Waarom indirecte aanvallen zo effectief zijn

Een van de meest opvallende bevindingen van het rapport is dat indirecte aanvallen – die externe inhoud of gestructureerde gegevens gebruiken – minder pogingen vereisten dan directe injecties. Dit suggereert dat traditionele invoer-sanitizing en directe query-filtering onvoldoende verdedigingen zijn zodra modellen interacteren met onbetrouwbare inhoud.

Wanneer een schadelijke instructie via een externe agent-workflow arriveert – of het nu een gelinkte document, een API-antwoord of een opgehaalde webpagina is – zijn vroege filters minder effectief. Het resultaat: aanvallers hebben een groter aanvalsoppervlak en minder obstakels.

Implicaties voor 2026 en verder

De bevindingen van het rapport hebben dringende implicaties voor organisaties die van plan zijn om agentische AI op grote schaal in te zetten:

1. Herdefinieer vertrouwensgrenzen
   Vertrouwen kan niet eenvoudig binaire zijn. Terwijl agenten interacteren met gebruikers, externe inhoud en interne workflows, moeten systemen nuanceerde vertrouwensmodellen implementeren die context, herkomst en doel in overweging nemen.
2. Veiligheidshekken moeten evolueren
   Statische veiligheidsfilters zijn niet genoeg. Veiligheidshekken moeten adaptief, context-gevoelig en in staat zijn om over intentie en gedrag na te denken in meerdere stappen workflows.
3. Transparantie en auditing zijn essentieel
   Terwijl aanvalsvector groeien in complexiteit, hebben organisaties zicht nodig in hoe agenten beslissingen nemen – inclusief tussenstappen, externe interacties en transformaties. Auditable logs en verklarende kaders zijn niet langer optioneel.
4. Interdisciplinaire samenwerking is cruciaal
   AI-onderzoek, beveiligingsengineering en dreigingsinformatieteams moeten samenwerken. AI-veiligheid kan niet worden geïsoleerd; het moet worden geïntegreerd met bredere cybersecurity-praktijken en risicobeheerkaders.
5. Regulering en standaarden moeten bijbenen
   Beleidsmakers en standaardisatieorganen moeten erkennen dat agentische systemen nieuwe klassen van risico creëren. Reguleringen die gegevensbescherming en uitvoerveiligheid aanpakken, zijn noodzakelijk maar niet voldoende; ze moeten ook rekening houden met interactieve gedragingen en meerdere stappen uitvoeromgevingen.

De toekomst van beveiligde AI-agents

De komst van agentische AI vertegenwoordigt een diepe verschuiving in capaciteit en risico. De Q4 2025-gegevens zijn een vroege indicator dat zodra agenten beginnen te opereren buiten eenvoudige tekstgeneratie, aanvallers zullen volgen. Onze bevindingen tonen aan dat tegenstanders niet alleen aanpassen – ze zijn ook aan het innoveren in aanvalstechnieken die traditionele verdedigingen nog niet zijn voorbereid om te weerstaan.

Voor ondernemingen en ontwikkelaars is de boodschap duidelijk: het beveiligen van AI-agents is niet alleen een technische uitdaging; het is een architecturale. Het vereist het opnieuw definiëren van hoe vertrouwen wordt gevestigd, hoe veiligheidshekken worden afgedwongen en hoe risico continu wordt beoordeeld in dynamische, interactieve omgevingen.

In 2026 en verder, zullen de organisaties die slagen met agentische AI, zijn diegenen die beveiliging niet als een bijzaak behandelen, maar als een fundamenteel ontwerpprincipe.