Het antwoord op de vraag ‘hoe beveilig ik mijn AI-tools?’ is: behandel AI-output als onbetrouwbare input en beperk de toegangsrechten van je AI-systemen tot het absolute minimum. Dit betekent dat je nooit klakkeloos vertrouwt op wat een AI-model genereert en dat je zorgvuldig controleert welke data je AI-tools mogen inzien en gebruiken.

Wat er aan de hand is

Large language models (LLM’s) zijn geen speelgoed meer. Ze lezen je e-mails, raadplegen live databases en voeren acties uit in productieomgevingen. Een kwaadwillende prompt kan daardoor echte schade aanrichten. Volgens een blogartikel van n8n, een platform voor workflowautomatisering, is de aanvalsoppervlakte van AI-systemen fundamenteel anders dan bij klassieke softwarefouten. Het gaat niet alleen om de netwerkrand, maar ook om de redenering van het model, de trainingsdata en de tools waarmee het verbonden is.

De Open Worldwide Application Security Project (OWASP) heeft een industriebrede standaard gedefinieerd voor de meest voorkomende AI-bedreigingen. De drie belangrijkste risico’s die het artikel benoemt zijn directe prompt-injectie, indirecte prompt-injectie en het lekken van gevoelige informatie. Bij directe prompt-injectie schrijft een aanvaller input die het model als nieuwe instructie leest in plaats van als data. Bij indirecte prompt-injectie zit de kwaadaardige instructie verstopt in content die het model later verwerkt, zoals een webpagina of een PDF. Gevoelige informatie kan lekken via outputs, logs of traces, inclusief persoonsgegevens en API-sleutels.

Wat dit betekent

Voor een MKB’er betekent dit dat de AI-tools die je inzet voor klantenservice, administratie of marketing niet alleen een kans zijn, maar ook een risico. Een chatbot die gekoppeld is aan je klantdatabase kan door een slim geformuleerde vraag gevoelige informatie prijsgeven. Een AI-assistent die je e-mails samenvat kan per ongeluk vertrouwelijke afspraken delen met de verkeerde persoon. Het probleem is dat LLM’s instructies en content door elkaar verwerken, zonder ingebouwde scheiding tussen de twee. Dat maakt ze kwetsbaar op een manier die traditionele software niet is.

De impact is niet abstract. Als een AI-systeem dat jij gebruikt een API-sleutel lekt of een SQL-query uitvoert met ongecontroleerde parameters, kan dat leiden tot datalekken, financiële schade en reputatieverlies. Het artikel noemt ook dat een model blind vertrouwen in output kan leiden tot het uitvoeren van gegenereerde code of het renderen van ruwe HTML, wat weer nieuwe aanvalsvectoren opent.

Hoe je dit kunt toepassen

Als je een chatbot op je website hebt staan… overweeg om de toegang van de chatbot tot je systemen sterk te beperken. Geef de chatbot alleen de rechten die nodig zijn voor de taak, niet meer. Een chatbot die alleen productinformatie mag geven, hoeft geen toegang te hebben tot klantgegevens of bestelsystemen. Je zou kunnen instellen dat de chatbot geen acties mag uitvoeren, alleen informatie mag opzoeken.

Als je AI gebruikt voor het verwerken van binnenkomende documenten… zoals het samenvatten van offertes of het classificeren van supporttickets, wees je bewust van indirecte prompt-injectie. Een kwaadaardige instructie kan verstopt zitten in een PDF of een webpagina die je AI-systeem verwerkt. Een mogelijkheid is om documenten uit onbekende bronnen eerst te laten scannen door een systeem dat geen acties kan uitvoeren, voordat ze in je hoofdworkflow terechtkomen.

Als je AI inzet voor interne processen… zoals het genereren van rapporten of het opstellen van e-mails, behandel de output dan als onbetrouwbaar. Laat een medewerker de gegenereerde tekst controleren voordat deze wordt verzonden of uitgevoerd. Je zou kunnen afspreken dat AI-gegenereerde content nooit direct wordt gepubliceerd of verzonden zonder menselijke goedkeuring.

Als je een AI-agent gebruikt die zelfstandig taken uitvoert… zoals het inplannen van afspraken of het bijwerken van CRM-systemen, beperk dan de autonomie. Het artikel noemt ’excessive agency’ als een risico: een agent met te veel tools, rechten of autonomie voor zijn taak. Overweeg om elke actie die de agent wil uitvoeren eerst te laten bevestigen door een mens, of beperk het aantal systemen waarmee de agent kan communiceren.

Als je twijfelt over de beveiliging van je AI-workflow… begin dan met een inventarisatie. Welke AI-tools gebruik je, welke data hebben ze nodig, en welke acties kunnen ze uitvoeren? Een optie is om voor elke tool vast te stellen wat het minimale toegangsniveau is dat nodig is voor de taak. Dat is de kern van LLM-beveiliging: niet alles dichtgooien, maar precies bepalen wat nodig is en de rest afsluiten.

Bron: Blog