Anti-forensische prompt-injectie: bewijs dat de onderzoeker misleidt

Digitale forensiek staat op het punt LLM's te omarmen als onderzoeksassistent en autonome agent. Dat introduceert een aanval die klassieke anti-forensische taxonomieën niet kennen: prompt-injectie via het bewijs zelf. In forensisch onderzoek is het bewijs per definitie door de verdachte gecontroleerd, en de onderzoeker is verplicht het nauwkeurig te lezen. Precies die combinatie maakt de redeneerlaag van het model een nieuw doelwit, naast de klassieke doelwitten data en tools.

De paper, geaccepteerd voor DFRWS EU 2027, van onderzoekers van onder meer de University of Augsburg, KIT, Oxford en University College Dublin, werkt dit systematisch uit. De auteurs breiden het anti-forensisch model uit met de manipulatie van redeneren en presenteren een taxonomie van aanvallen via vijandig bewijs.

De omkering die het probleem creëert

Bij gewone indirecte prompt-injectie verwerkt een model onvertrouwde externe content die het eigenlijk had moeten negeren. Forensisch onderzoek keert die verhouding om: het bewijs is onvertrouwd bij constructie, en het model moet het juist grondig verwerken. Waar een klassieke prompt-injectieverdediging onvertrouwde tekst probeert te isoleren, is dat in forensiek onmogelijk, het hele materiaal is onvertrouwd.

Daar komt een tweede effect bij, dat de auteurs de perception gap noemen. Een deterministische tool, de menselijke onderzoeker en het model zien hetzelfde bewijs verschillend. Een instructie die wit-op-wit in een PDF-tekstlaag staat, is onzichtbaar voor de onderzoeker die het document in een viewer opent, maar wordt door het model gelezen als onderdeel van de tekst. Die kloof is wat een injectie het model laat bereiken zonder dat de onderzoeker het ooit ziet.

De taxonomie

De auteurs structureren de aanval als een gefacetteerde classificatie, vergelijkbaar met MITRE ATT&CK. Een aanval is een keuze langs vier dimensies: het doel (gegroepeerd naar motief), de techniek, de locatie van de payload in het bewijs en de verbergingsmethode. Locatie en verbergingsmethode zijn open verzamelingen.

Ze onderscheiden vijf technieken die het bewijs door het forensisch proces volgen: vernietiging, verbergen, obstructie, modificatie en injectie. De eerste vier zijn herinterpretaties van klassieke anti-forensiek; alleen injectie is nieuw en bestaat uitsluitend doordat generatieve modellen worden gebruikt. Het verschil tussen modificatie en injectie is scherp: modificatie plant een bewering die de lezer ten onrechte gelooft, injectie plant een instructie die de lezer gehoorzaamt. De classificatie volgt het effect op de lezer, niet de handeling van het bewerken.

Drie demonstraties maken de dreiging concreet, elk alleen aangedreven door tekst die op het inbeslaggenomen apparaat is geplant: het wijzigen van een gerapporteerde conclusie, het wegschrijven van door de aanvaller gekozen content naar de werkplek van de analist, en het veroorzaken van uitgaand netwerkverkeer.

Epistemische classificatie

Claim	Type	Bewijssterkte
De drie aanvallen slagen tegen een LLM-ondersteunde analysepipeline	Empirisch ondersteund	Proof-of-concept op gemma-4-modellen, plus gedeeltelijk op ministral, qwen en gpt-oss
De perception gap laat een injectie het model bereiken zonder dat de onderzoeker het ziet	Empirisch ondersteund	Tabel met zichtbaarheid per lezer per locatie-verbergingscombinatie
Grotere modellen slagen minder vaak, door een smal venster tussen bekwaam en wantrouwend	Empirisch ondersteund	Observatie over de geteste modellen
De taxonomie is volledig of uitputtend	Niet aangetoond	De demonstraties waren expliciet niet bedoeld om de taxonomie te valideren

Wat de paper niet test

De demonstraties zijn nadrukkelijk geen validatie van de taxonomie. De auteurs houden de drager constant, een platte tekst zonder verberging, en variëren alleen het doel en de actiecapaciteit waar de injectie doorheen escaleert. Dat is een bewuste keuze om de ernst te illustreren: de kwaadaardige content staat op de meest zichtbare plek van de taxonomie.

Belangrijker is wat er niet gemeten wordt. De experimenten gebruiken één lokaal draaiend, klein gekwantiseerd model en rapporteren uitkomsten als proof-of-concept, zonder statistische meting. De auteurs signaleren bovendien dat het succes afhangt van een keten van voorwaarden, waaronder de thinking-modus van het model, en dat vindbaarheid (of het model de notitie überhaupt leest) in veel gevallen de beperkende factor was, niet weigering.

Wat te doen

De mitigaties volgen direct uit het mechanisme. Een ingebouwde, afgebakende schrijftool in de forensische tool beperkt wat een injectie kan wegschrijven. Het leveren van beeldpixels aan het model keerde in één geval het resultaat om: het model herkende de notitie daarna als in tegenspraak met de foto's. Een preventieve injectietest, die vooraf met een bekende testinstructie controleert of de combinatie van model, client en MCP-servers stuurbaar is, werkt als continue bewaking. Least privilege en netwerkisolatie maken de resterende aanvalspaden dicht.

Voor keten-integriteit in de Nederlandse context is de kernles dat menselijke review geen vangnet is waar de perception gap actief is. Juist de gevallen waarin het model iets ziet dat de onderzoeker niet ziet, ontsnappen aan menselijke controle. Een tool of een kruiscontrole met ander bewijs moet die rol overnemen.

Zie ook

• Vier plekken waar de vertrouwensgrens van agents lekt
• Vergiftiging via de buren: waarom de vectorindex zelf een aanvalsoppervlak is
• Versleutelde skills: hoe gecodeerde instructies agents besmetten zonder detectie

Bronnen

• Prompt Injection Through Forensic Evidence (arXiv:2610.29747), Breitinger et al., DFRWS EU 2027, 21 oktober 2026