Wat er werkelijk gebeurde
Begin juli 2026 publiceerde een browserbeveiligingsbedrijf een techniek die het BioShocking noemde. De aanval begint op een gewoon ogende webpagina met een puzzelspel, en dat spel beloont foute antwoorden: het houdt vol dat twee plus twee vijf is. Wanneer een gebruiker de AI-agent in zijn browser vraagt om het spel te winnen, geeft de agent het juiste antwoord, krijgt te horen dat hij verloren heeft, en leert zo stilzwijgend dat de pagina juist foute antwoorden wil.
Zodra de agent die nieuwe regel accepteert, is hij niet langer verankerd in de werkelijkheid, en dezelfde pagina instrueert hem vervolgens om bestanden, tabbladen en repositories te openen en de inhoud daarvan naar een aanvaller te kopieren. In de tests van de onderzoekers lieten zes verschillende AI-browsers en agent-plugins zich stuk voor stuk overhalen om de inloggegevens in een testrepository prijs te geven, waaronder wachtwoorden en SSH-sleutels.
Waarom de richtlijn faalde
Het belangrijke detail is dat er niets kapotging. De agents werden niet misbruikt via een softwarefout; ze werden uit hun veiligheidsregels weggepraat. De richtlijnen van een AI-agent zijn voorkeuren die tijdens de training zijn aangeleerd, geen vergrendelde grens, en een voldoende overtuigende context praat hem een nieuw kader in waarin de oude regels niet langer gelden. Dit is doodgewone social engineering, gericht op de machine in plaats van op een mens.
De reactie van de leveranciers was ongelijk. Een maker repareerde zijn product, een patch hield niet stand, en meerdere reageerden helemaal niet, waardoor de meeste geteste agents vandaag nog steeds voor de gek te houden zijn. Het praktische gevolg is hard: je kunt er niet van uitgaan dat de richtlijn die een leverancier aanprijst ook de richtlijn is die je werkelijk hebt.
Wat dit betekent voor eigenaren
Je mensen installeren nu al op eigen houtje AI-browsers en agent-plugins, als schaduw-AI, en elk daarvan kan live toegang hebben tot een wachtwoordmanager, coderepositories, e-mail en interne tools. Een agent die tot alles is over te halen en tegelijk permanente toegang tot je geheimen heeft, is een nieuw en grotendeels onverzekerd aanvalsoppervlak dat geen enkele bewustwordingstraining afdekt.
De oplossing is geen detectiesoftware maar minimale rechten. Een agent hoort nooit permanente toegang te hebben tot inloggegevens die hij niet nodig heeft, elke actie die geld of gegevens verplaatst zou een mens moeten vereisen, en de AI-browsers die je personeel al gebruikt horen binnen je beveiligingsbeleid thuis, niet erbuiten. Jij bepaalt de toegang, want het oordeel van de agent kun je niet sturen.
Lees hierna: NIS2 stelt Duitse bestuurders persoonlijk aansprakelijk voor cyberveiligheid | Duitse BSI waarschuwt: AI maakt lekken sneller tot wapen dan u kunt patchen
