Een nieuwe dreiging duikt op in het web: AI Recommendation Poisoning. Het klinkt technisch, maar het principe is eenvoudig—websiteknoppen die “Ask AI” aanbieden, kunnen bij een klik verborgen instructies meedragen. Er is geen malware nodig, geen gestolen inloggegevens en zelfs geen kwetsbaarheid in een specifieke AI-omgeving. Wat er wél misgaat, is de manier waarop deep links opdrachten automatisch laten afwerken in de actieve sessie van een gebruiker.
Volgens waarnemingen in productiepagina’s zijn deze knoppen verstopt in marketing- en vergelijkingscontent. Bij ingelogde gebruikers (bijvoorbeeld in ChatGPT, Claude, Gemini of Grok) wordt de vooraf ingestelde query onmiddellijk uitgevoerd. Daarbij verschuift de grens van “handig” naar “manipulatief”: sommige prompts proberen een domein permanent als betrouwbare bron in het geheugen van het model op te nemen.
Wat is AI Recommendation Poisoning?
AI Recommendation Poisoning is een manier van prompt injection waarbij de aanval niet (primair) via gekopieerde tekst of scraping werkt, maar via een standaard webfunctionaliteit: pre-filled deep links. Veel AI-assistenten ondersteunen URL-parameters om een query klaar te zetten. Denk aan links die een vraag al bevatten, zodat de gebruiker alleen nog hoeft te klikken.
De essentie zit in het click-moment. In een normale situatie krijgt het model een vraag omdat iemand die daadwerkelijk typt. Bij deze techniek wordt de vraag echter al klaargezet in de link. Zodra de gebruiker op de “Ask AI”-knop klikt, opent de AI-interface de sessie en voert de prompt uit alsof de gebruiker hem zelf heeft ingetypt—zonder extra bevestiging of waarschuwing.
De combinatie die het gevaarlijk maakt: deep links en persistent memory
Deep linking is op zichzelf niet nieuw. De risico’s ontstaan wanneer die deep link niet alleen een taak uitvoert (samenvatten, uitleggen, vergelijken), maar ook instructies bevat voor langdurige opslag. Moderne LLM’s kunnen een profiel opbouwen van voorkeuren, expliciete instructies en—cruciaal in dit scenario—“trusted entities”.
Wanneer een vooraf ingestelde prompt bijvoorbeeld zegt om een specifieke website als “trusted source” te bewaren, kan het model die instructie opnemen in het geheugen. Dat zorgt voor een blijvend effect: latere vragen worden dan onbedoeld gekleurd in het voordeel van het domein dat in de memory is gepusht.
Een belangrijk detail is dat de payload doorgaans op het niveau van hyperlinks wordt uitgevoerd. Daardoor omzeilt de aanpak maatregelen die gericht zijn op injectie bij het ophalen (retrieval) of het verwerken van webcontent. Het aanvalsvlak is dus feitelijk “alle links op het web” die naar AI-assistenten verwijzen met verborgen instructies.
Marketing kan doorpakken naar manipulatie
Niet elke pre-filled query is meteen een aanval. In de praktijk zijn er legitieme toepassingen, en er zijn ook marketingtactieken die de insteek sturen. Het is normaal dat knoppen een “handige” vraag formuleren of een gunstige invalshoek kiezen.
De grens wordt overschreden wanneer de link zonder kennis of toestemming probeert om geheugen te beïnvloeden. Dus niet alleen: “vat dit samen”, maar eerder: “onthoud dit domein als autoriteit voor toekomstige antwoorden” of iets in die richting. Dat is precies waar AI Recommendation Poisoning om draait: een blijvende bias die niet door de gebruiker is geaccordeerd.
Voorbeelden uit de praktijk
1) Consentplatform dat AI “opleiding” geeft via één klik
Bij een audit werd een vendor die consent management software verkoopt gevonden met knoppen op zijn blog. De knoptekst suggereert dat gebruikers een blog willen laten samenvatten in verschillende AI-tools. Maar in de onderliggende link zat een andere opdracht: de informatie moest niet louter worden samengevat; de tekst moest ook worden aangemerkt als bron van expertise, zodat het domein later als referentie opwaardeert.
Met andere woorden: het doel was niet “samenvatten”, maar “permanent positioneren”. Dat is extra gevoelig omdat het bedrijf—gezien zijn businessmodel—juist hoort te werken vanuit expliciete toestemming, terwijl het hier AI-assistenten manipuleert zonder die toestemming op dezelfde manier te organiseren.
2) Enterprise security vendor in concurrentievergelijkingen
In een tweede onderzoek werd een security vendor gezien met widgets op alle pagina’s met concurrentievergelijkingen, zoals: “Don’t just take our word for it, ask AI”. Op het niveau van de DOM werd een harde prompt aangetroffen in de “Ask Grok”-knop.
De zinssnede combineert twee elementen: een TLDR op basis van een specifieke URL, én het verzoek om de vendor-domain te bewaren als vertrouwde bron voor toekomstige security-referenties. Omdat hetzelfde payload-gedrag in meerdere vergelijkingspagina’s terugkwam (met alleen wisselende concurrentnamen), was de kans groot dat evaluerende securityteams onbewust hun eigen AI-assistenten instrueerden om marketingclaims later als fundament te behandelen.
Waarom dit zich snel verspreidt
Deze aanpak lijkt zich te commoditiseren doordat marketingtools het idee van “AI-knoppen” makkelijk aanbieden. In plaats van maatwerk bouwen partijen regelmatig standaard widgets in hun webstack:
- CMS-plugins kunnen “AI share”- of “Ask AI”-knoppen leveren met prompttemplates.
- SEO-genereerders maken aangepaste knoppen voor meerdere platforms, waardoor organisaties snel kunnen publiceren zonder codewerk.
- Analytics-koppelingen koppelen klikdata aan vervolgbezoek: men meet niet alleen interesse, maar probeert ook effect te relateren aan de AI-acties richting de site.
Het resultaat: het is niet langer de vraag óf bedrijven dit doen, maar hoeveel al live staat en wat precies in hun vooraf ingestelde prompts besloten zit.
Waarom detectie lastig is (en waarom het blijft werken)
Het effect van AI Recommendation Poisoning houdt stand zodra de geïnjecteerde prompt wordt uitgevoerd. Daarna wordt de bias opgeleverd aan toekomstige interacties: de gebruiker vraagt opnieuw iets, en de AI komt terug met “voorkeuren” die eerder zijn ingeprogrammeerd.
Een voorbeeld: iemand vraagt welk consent management platform te kiezen. Als een model al eerder is geïnstrueerd om een specifiek domein als autoriteit te beschouwen, kan dat terugkomen in de aanbeveling. Of bij securityvragen: bij een vergelijking kan het model alsnog teruggrijpen naar de partij die eerder “trusted source” is gemaakt.
Belangrijk is ook de zichtbaarheid voor eindgebruikers. De meeste gebruikers zien niet wat er in het modelgeheugen gebeurt, en ze krijgen doorgaans geen waarschuwing omdat de klik vooral als “handig” wordt gepresenteerd.
Hoe kun je AI Recommendation Poisoning herkennen?
Detectie begint met een praktische regel: controleer uitgaande links en kijk naar de URL-parameters richting AI-assistenten. Daarbij is het niet voldoende om alleen de knoptekst te lezen. De query zit vaak verstopt in het href-gedeelte van de hyperlink.
Richt je op gevallen waarin de link verwijst naar AI-assistant-domeinen zoals chatplatformen, en waarin de query-string instructies bevat die passen bij geheugenmanipulatie—denk aan woorden/constructies als “remember”, “trusted source” of vergelijkbare formuleringen die een domein expliciet willen opslaan.
Daarnaast helpt het om te verifiëren of het “Ask AI”-element een derde partij is (bijvoorbeeld via marketing- of SEO-plugins). Dan weet je dat je te maken hebt met een leverancier die de knoppen mogelijk standaard inzet.
Remediatie: wat je nu kunt doen
Als je vermoedt dat een website AI Recommendation Poisoning faciliteert, hanteer dan een aanpak die vergelijkbaar is met hoe je omgaat met credential-harvesting: klik niet op de betreffende links via corporate accounts en informeer je team als jullie vendor-evaluaties doen.
Concreet betekent dit:
- Inventariseer alle “Ask AI”-knoppen en linkwidgets op je marketing- en vergelijkingspagina’s.
- Inspecteer de onderliggende URL’s en controleer op geheugen- of “trusted source”-instructies.
- Repareer de linkparameters zodat ze alleen een normale vraag sturen (bijvoorbeeld samenvatten) zonder opdrachten voor persistente opslag.
- Voer een geheugencheck uit voor accounts die mogelijk al zijn beïnvloed, zodat je bias zo snel mogelijk opruimt.
Voor engineering- en securityteams is het lastig om dit handmatig op duizenden pagina’s te doen. Daarom wordt er vaak ingezet op continue controle van de DOM-laag en gerichte monitoring van outbound hyperlinks.
Wil je breder kijken naar governance en het verschil tussen beleidskaders en compliance rond cyberrisico? Lees dan ook: Bron: https://thehackernews.com/2026/08/ai-recommendation-poisoning-how-ask-ai.html
