Naar de inhoud
NLEN
Een radarscherm in een donkere controlekamer met oplichtende stippen rond een gestileerd neuraal netwerk

LLM-beveiligingsradar: hacks, trucs en exploits

Door · — geschreven met AI-ondersteuning (Claude Opus 5.5); feiten gecontroleerd tegen de bronnen onderaan

In de eerste twee weken van november 2026 ging het in de beveiligingswereld opvallend vaak over taalmodellen zelf: een prompt-injectie die tot aan de publicatierechten van een officieel OpenAI-pakket reikte, een achterdeur die in zeven neuronen past, en een reeks lekken in MCP-koppelingen. Voor deze radar doorzochten we X op meldingen over LLM-hacks, trucs en exploits en legden we wat overbleef naast de primaire bronnen. Hieronder staat wat klopt, wat het betekent en wat je ermee doet. Aanvalsdetails laten we bewust weg.

Eén issue op GitHub, bijna een vergiftigde release

Onderzoekers van het Franse Depi beschreven op 11 november hoe ze via een gewone GitHub-issue de AI-agent konden beïnvloeden die bij openai/codex automatisch issues labelt. Die prompt-injectie was het begin van een keten: code-uitvoering in de zandbak van de workflow, inloggegevens uit de bouwomgeving en uiteindelijk een route naar de publicatiepipeline van het officiële npm-pakket @openai/codex. Een echte aanvaller had zo een toekomstige versie kunnen vergiftigen. Dat is niet gebeurd: OpenAI dichtte het lek na de melding en er is geen kwaadaardige release gemeld.

Les: een agent die tekst van buitenstaanders leest én rechten heeft in je bouwstraat, is een aanvalsroute. Geef zulke agents geen geheimen en geen schrijfrechten. Meer over het mechanisme: prompt injection uitgelegd.

Een achterdeur van zeven neuronen

Microsoft Research liet op 10 november zien dat je een open model een verborgen achterdeur kunt geven door minder dan tien zelden gebruikte neuronen aan te passen, zonder het model opnieuw te trainen. De techniek heet Lazarus. Bij één getest model volstonden zeven neuronen: verscheen een bepaalde tekenreeks in de vraag of in de uitvoer van een tool, dan gaf het model in ruim 98% van de gevallen het commando van de aanvaller, met de rechten van de agent. Zonder die trigger gedroeg het zich normaal.

Les: een modelbestand is software van een leverancier. Download modellen bij de oorspronkelijke uitgever, controleer de hash, bewaar goedgekeurde versies in een eigen register en beperk wat een agent mag uitvoeren en waar hij naartoe mag verbinden.

Gestolen API-sleutel maakt van een codeeragent een implant

Darktrace toonde in een labtest hoe een aanvaller met een gestolen Claude-API-sleutel en toegang tot een ontwikkelmachine de codeeragent Claude Code op afstand kan aansturen. Het geheugen van het platform diende als commandokanaal en de bestands-API als uitweg voor data; al het verkeer ging naar het gewone adres van de leverancier en viel dus niet op. Volgens Darktrace is dit geen lek in het platform en is het niet in het wild gezien.

Les: behandel API-sleutels als wachtwoorden met een bankpas eraan. Gebruik kortlevende sleutels met een beperkt bereik en een bestedingslimiet, en draai agents niet met uitgeschakelde toestemmingsvragen op een machine waar ook je sleutels staan.

MCP: handig, en deze maand vaak lek

Het Model Context Protocol, waarmee assistenten met tools en data praten, dook in vrijwel elke beveiligingsupdate op. Microsoft repareerde op 10 november een lek in Visual Studio Code (CVE-2026-120779, score 9,6): een kwaadaardige MCP-server kon via een melding een commando laten uitvoeren zodra de gebruiker klikte. De reparatie zit in versie 1.145.3. Tegelijk verschenen in de malwarelijst van GitHub pakketten die zich als MCP- of Claude-onderdeel voordoen, zoals @rclaude/darwin-x64; wie zo'n pakket installeerde, moet de machine als overgenomen beschouwen.

Les: een MCP-server is code met jouw rechten. Koppel alleen servers waarvan je de herkomst kent, werk je editor bij, zet lokale MCP-servers niet open voor het netwerk en vertrouw "alleen-lezen" pas als je het hebt getest.

Houdt de zandbak het?

Perplexity liet twaalf modellen proberen uit SPACE te breken, de virtuele machines waarin zijn computeragents draaien. Geen enkel model bereikte de host. De netwerkbeperkingen omzeilen lukte vijf topmodellen wel in alle pogingen, zolang ze de broncode mochten inzien. Die twee zwakke plekken zijn gedicht; vergelijkbare problemen vond Perplexity bij acht van tien andere zandbakplatforms, die zijn ingelicht.

Les: isolatie werkt, maar de netwerkrand is het zwakke punt. Voor een homelab: geef een agent een eigen gebruiker of VM en een lijst met toegestane bestemmingen. Zie bescherm je homelab.

AI vindt de lekken nu ook zelf

Anthropic beschreef eind oktober hoe een nog niet uitgebracht onderzoeksmodel vijf complete aanvalsketens vond in Chrome, Safari, Android, Windows en Linux, waaronder een lek in de Linux-kernel (CVE-2026-98432) waarmee een aanvaller zonder inloggen of interactie root kon worden op servers met multipath-TCP. De leveranciers kregen negentig dagen en hebben gepatcht. Het goede nieuws: verdedigers vinden zulke fouten nu sneller. Het slechte: aanvallers met vergelijkbare modellen ook. Dat past bij de trend in onze vooruitblik naar 2030: het venster tussen patch en misbruik krimpt.

Wat op X rondgaat, met een korrel zout

Wat je deze week doet

  1. Werk Visual Studio Code bij naar 1.145.3 of nieuwer en loop je gekoppelde MCP-servers na.
  2. Controleer of er onbekende pakketten met "mcp" of "claude" in de naam in je projecten of globale npm-map staan.
  3. Vervang langlevende API-sleutels door kortlevende met een limiet; haal sleutels uit prompts, notities en repo's.
  4. Laat agents die issues, mail of webpagina's lezen niet in dezelfde stap geheimen gebruiken of iets publiceren.
  5. Download modellen alleen bij de uitgever en leg de hash vast.

Zo is deze radar gemaakt

We doorzochten X met veertien zoekvragen over prompt-injectie, jailbreaks, MCP, codeeragents, modelvergiftiging en lokale modelservers (1 tot en met 13 november 2026, 367 berichten). Berichten zonder herleidbare bron zijn niet als feit opgenomen. Elk item hierboven is nagelezen bij de onderzoeker of leverancier zelf. Eerdere, grotere gevallen staan in de incidenten.

Bronnen