Persistente prompt-injectie: LLM-geheugen maakt een aanval blijvend

Prompt-injectie was lang een probleem met een harde levensduur: de sessie. Zodra een gebruiker een nieuw gesprek opent, verdwijnt de kwaadaardige instructie uit de context. Langetermijngeheugen verbreekt die grens. Een aanval die één keer in het geheugen van een model belandt, overleeft elke volgende sessie en kan zich binnen een organisatie naar andere gebruikers verspreiden.

Een nieuwe paper van de Universidade de São Paulo en UDESC brengt dit aanvalsvlak systematisch in kaart. De auteurs testten drie grote platforms, ChatGPT Instant 5.3, Claude Sonnet 4.6 en Gemini 3 Flash, en tonen aan dat alle vier aanvalsdoelen die NIST onderscheidt (integriteit, beschikbaarheid, privacy en misbruik) collectief haalbaar zijn via zogeheten memory injection.

Het mechanisme: geheugen als persisterend aanvalsvlak

In een traditionele chatbot is een prompt-injectie een incident in één gesprek. Met persistent geheugen is dat anders. De aanval hoeft maar één keer te worden opgeslagen als herinnering, project, skill of organisatie-instructie, en hij wordt bij elk volgend gesprek opnieuw in de context geladen. Zelfs een volledig nieuwe sessie start daardoor al gecompromitteerd.

De auteurs identificeren vijf aanvalsvectoren die in de praktijk werken: persoonlijke herinneringen, door de gebruiker bewerkbare systeemprompts (op account-, project- of organisatieniveau), skills, projecten en via het Model Context Protocol (MCP) verbonden bronnen. Sommige aanvallen verlopen direct via een query, andere indirect via externe content zoals PDF-bestanden die in een project worden opgenomen.

Bij Claude is de impact het grootst. Gedeelde geheugenfeatures (projecten, organisatie-instructies en skills) maken het mogelijk dat één gebruiker instructies injecteert in de omgeving van een andere gebruiker binnen dezelfde organisatieworkspace. De paper rapporteert daarbij ook exfiltratie van gebruikersprompts als gevolg.

Resultaten per platform

De experimentele resultaten laten een consistent beeld zien. Voor alle drie platforms slaagden beschikbaarheidsaanvallen (het model consequent "offline, probeer opnieuw" laten antwoorden op onschuldige vragen) en integriteitsschendingen. Alleen privacygerichte aanvallen slaagden bij ChatGPT en Gemini niet, terwijl Claude door zijn gedeelde geheugen juist op alle vier doelen scoorde.

De auteurs beoordelen de impact met het DREAD-risicomodel. De schade kan ernstig zijn, met conversatie-exfiltratie, denial of service, verspreiding van desinformatie en het genereren van schadelijke content als gevolg. De exploitability is hoog: de aanval gebruikt native geheugenfeatures en vereist geen technische expertise, alleen natuurlijke taal.

Epistemische classificatie

Claim	Type	Bewijssterkte
Alle vier NIST-aanvalsdoelen zijn collectief haalbaar op de drie geteste platforms	Empirisch ondersteund	Demonstratie op drie commerciële diensten
Gedeeld geheugen bij Claude maakt compromittatie van meerdere gebruikers mogelijk	Empirisch ondersteund	Gedemonstreerd via projecten en organisatie-instructies
Bijna de helft van de voorgestelde mitigaties is nog niet geïmplementeerd	Empirisch ondersteund	Tabel III, per-dienst vergelijking per juni 2026
De aanval is uitvoerbaar door niet-experts	Hypothese	DREAD-inschatting van de auteurs, niet gemeten
Scenario 5 (aanval via CSRF) is haalbaar	Niet aangetoond	Theoretisch mogelijk, maar in dit werk niet geslaagd

Wat de paper niet test

De demonstraties zijn een proof-of-concept op drie specifieke platformversies, geen uitputtende audit. De auteurs benadrukken dat aanvallen door de non-deterministische aard van LLM's niet exact reproduceerbaar zijn met dezelfde input, al zouden vergelijkbare inputs wel moeten werken. De CSRF-route (scenario 5) bleek in de praktijk geblokkeerd door bestaande verdedigingen en is daarmee niet bewezen. De privacy-aanvallen slaagden bovendien niet op ChatGPT en Gemini, wat de reikwijdte per platform nuanceert.

Ook de DREAD-beoordeling is een inschatting van de auteurs, geen empirische meting. Het aantal getroffen gebruikers varieert sterk per scenario en ligt doorgaans lager dan bij model- of RAG-poisoning, juist omdat die laatste aanvallen alle gebruikers van een systeem kunnen raken.

Wat te doen

De simpelste verdediging is ook de meest effectieve: langetermijngeheugen uitschakelen en sessies volledig isoleren. Waar geheugen toch nodig is, leiden de auteurs een set mitigaties af uit OWASP-beveiligingsprincipes:

• Geheugen standaard uitzetten, met een waarschuwing bij het inschakelen (security by default).
• Geen geheugen toestaan vanuit onvertrouwde bronnen zoals PDF's of MCP-content, of dit via een menselijke controle laten bevestigen (least privilege).
• Gedeelde geheugenfeatures vermijden, of elke wijziging laten goedkeuren door elke getroffen gebruiker.
• Herinneringen filteren op prompt-injectie vóór opslag, bij voorkeur in meerdere lagen (defense in depth).
• Een expliciete fail-safe bieden die het systeem terugbrengt naar een veilige staat, niet alleen "verwijder alle herinneringen".

De vergelijking van mitigaties per dienst laat zien dat ongeveer de helft van deze maatregelen per juni 2026 nog niet is geïmplementeerd. Alleen Claude zet geheugen standaard uit, maar is tegelijk het enige platform dat geheugencreatie vanuit onvertrouwde bronnen toestaat.

Voor Nederlandse organisaties die LLM's met persistent geheugen inzetten, raakt dit direct aan de eisen rond dataminimalisatie en toegangsbeheer in BIO2 en NIS2. Een geheugenfeature die standaard aanstaat en aanvalsinstructies kan persisteren, is een risico dat in een risicoanalyse expliciet moet worden geadresseerd, niet als restpost.

Zie ook

• Vier plekken waar de vertrouwensgrens van agents lekt
• Taal is een beveiligingsvlak: hoe agent-guards omzeild worden via vertaling
• Versleutelde skills: hoe gecodeerde instructies agents besmetten zonder detectie

Bronnen

• Combining Long-Term Memory and LLMs Comes at a High Cost (arXiv:2610.28810), Correia et al., Universidade de São Paulo en UDESC, 20 oktober 2026
• Datasets en aanvalsartefacten, GitHub