De website die je AI samenvat, kan je AI ook opdrachten geven

Je AI leest de hele dag teksten die je niet zelf hebt geschreven

Denk even mee. Je hebt een assistent die inkomende mail samenvat. Of een workflow die de website van een nieuwe leverancier doorleest voordat je belt. Of een agent die pdf-bijlagen uitpakt en de bedragen eruit haalt. Handig, want dat is precies het soort werk dat niemand leuk vindt.

Maar er zit een aanname onder die bijna niemand hardop maakt: dat die tekst alleen informatie bevat. Dat de mail, de website of de bijlage iets is om te lezen, niet om naar te luisteren. Voor een mens klopt dat. Jij leest een offerte en denkt er het jouwe van. Een AI-assistent leest diezelfde offerte en ziet er letters in staan die net zo goed een opdracht kunnen zijn. Er zit geen scheidsrechter tussen "dit is de tekst die je moet samenvatten" en "dit is wat je nu gaat doen".

Vorige week werd pijnlijk duidelijk hoe ver dat kan gaan.

Wat een onderzoeker voor elkaar kreeg met één zin

Beveiligingsonderzoeker Johann Rehberger publiceerde in augustus 2026 een uitwerking waarin hij een AI-programmeerassistent zover krijgt dat die code van een onbekende uitvoert. Zijn enige opdracht aan het systeem was: vat deze website even samen.

De keten die daarop volgde is bijna komisch in zijn geduld. De website weigert eerst netjes te antwoorden op de manier waarop de assistent het vraagt, waardoor de assistent overstapt op een ander gereedschap dat minder streng is. Vervolgens krijgt hij een archiefbestand met versleutelde inhoud en een kant-en-klaar programmaatje om het uit te pakken. Dat programmaatje weigert de assistent, want dat vertrouwt hij niet. Maar dan schrijft hij zelf een uitpakker, en precies die zelfgeschreven code wordt het pad waarlangs de aanval binnenkomt.

In zijn tests lukte dat in 60 tot 80 procent van de pogingen op een kleine steekproef. Het opvallendste zit in de reactie: een eerder uitbestede evaluatie had voor dezelfde modus 0,00 procent geslaagde aanvallen gerapporteerd. De leverancier bevestigde daarna dat het gedrag werkt zoals bedoeld, en dat de ingebouwde rem een gemaksfunctie is die zijn best doet, geen beveiligingsgrens. De echte grens, zeggen ze zelf, zijn de rechten van het account en het netwerk waarin het draait.

Dat is geen sneer naar die ene leverancier. Het is de eerlijkste zin uit het hele verhaal, en hij geldt voor elke tool die je gebruikt.

Dit is geen hackerprobleem, het is een kantoorprobleem

Er kwam vorige week meer voorbij in dezelfde richting. Onderzoekers van Check Point beschreven op 31 augustus 2026 hoe instructies verstopt in versleutelde inhoud de rem van AI-assistenten omzeilden, waarna één assistent gespreksgegevens prijsgaf en een andere teksten maakte die hij normaal weigert. En in dezelfde week beschreven twee onderzoeksbureaus hoe een criminele groep een AI-programmeerhulp inzette bij inbraken. Dat laatste is trouwens iets anders: daar was de AI het gereedschap van de aanvaller, niet het slachtoffer. Het is goed om die twee uit elkaar te houden.

Het patroon dat overblijft is wel hetzelfde. Zodra een AI iets leest dat niet van jou komt, kan die tekst gedrag beïnvloeden. En dat verandert de vraag die je jezelf moet stellen. Niet: is deze tool veilig? Maar: als deze automatisering iets geks doet, hoe ver komt hij dan?

De vier plekken waar dit bij een MKB-bedrijf binnenkomt

In een klein bedrijf hoef je daar geen studie van te maken. Er zijn maar een paar plekken waar tekst van buiten je systemen binnenwandelt:

1. Inkomende mail, zeker als een assistent of workflow hem leest, categoriseert of samenvat.
2. Bijlagen: pdf's, facturen, cv's, offertes. De tekst in een pdf is voor een AI gewoon tekst.
3. Websites die je laat samenvatten of uitlezen, bijvoorbeeld voor concurrentie-onderzoek of leveranciers-check.
4. Formulieren en berichten van klanten die rechtstreeks in een geautomatiseerde route belanden.

Loop die vier af en je hebt binnen een uur in kaart waar het bij jou zit. Bouw je met een tool als n8n, dan zie je het letterlijk in je flow staan: elke node die iets van buiten binnenhaalt, is zo'n plek. We legden eerder uit hoe zo'n workflow in elkaar zit.

Wat je eraan doet zonder er een project van te maken

De reflex is om te zoeken naar een tool die dit oplost. Die is er niet, en de leveranciers zeggen dat inmiddels zelf. Wat wel werkt is saai en goedkoop:

• Geef de automatisering alleen de rechten die de taak nodig heeft. Een workflow die mail samenvat, hoeft niet te kunnen versturen. Een agent die facturen leest, hoeft niet bij je personeelsmap te kunnen. Dit is de belangrijkste maatregel, en de enige die ook werkt tegen aanvallen die nog niet bedacht zijn. We schreven er een praktische aanpak over in geef je AI-agent alleen toegang tot wat de taak vraagt.
• Zet een mens voor elke stap naar buiten. Verzenden, betalen, publiceren, verwijderen. Klaargezet is niet hetzelfde als verzonden, en dat verschil is hier je hele vangnet.
• Scheid lezen en doen. Laat de automatisering die externe tekst inleest niet dezelfde zijn als die met je boekhouding of je CRM mag praten. Twee kleine stappen met een mens ertussen zijn veiliger dan één slimme keten.
• Wees terughoudend met "voer maar uit"-standen. De gemakstand waarin je niet meer per stap goedkeurt, is precies de stand waarin dit soort ketens doorlopen. Op je eigen laptop met een testproject is dat prima. Op een machine die bij klantgegevens kan, niet.

Wat je hieruit niet moet concluderen

Niet: AI is te gevaarlijk om in te zetten. Dat is dezelfde denkfout als geen mail meer gebruiken vanwege phishing. De bedrijven die hier last van krijgen zijn niet de bedrijven die automatiseren, maar de bedrijven die automatiseren zonder ooit te hebben opgeschreven wat een systeem mag.

En ook niet: dit is opgelost zodra de volgende versie uit is. De onderzoeker gebruikte geen exotisch lek. Hij gebruikte precies de eigenschap die een AI-assistent nuttig maakt, namelijk dat hij zelf bedenkt hoe hij een obstakel omzeilt. Die eigenschap gaat er niet uit.

Waar je vanmiddag mee kunt beginnen

Pak één automatisering die iets van buiten inleest. Stel er drie vragen bij:

1. Wat leest dit systeem in dat niet van ons komt?
2. Wat kan het daarna aanraken: welke mappen, welke koppelingen, welke accounts?
3. Als het iets doet wat we niet bedoelden, waar zouden we dat zien?

Kun je vraag 3 niet beantwoorden, dan is dat het eerste wat je regelt, nog voor de rest. En kom je bij vraag 2 op een lijst die langer is dan je verwachtte, dan heb je je middag gevonden.

Wij lopen dit bij klanten door als een afgebakende ronde van een paar uur, met een lijstje aan het eind in plaats van een rapport. Benieuwd hoe ver jouw automatiseringen komen als er iets misgaat? We kijken het graag samen met je door.