Herhaal‑Voor‑Mij‑prompt omzeilt zes grote AI‑agent‑frameworks, tonen onderzoekers

In een gezamenlijk artikel dat op 9 oktober 2026 werd gepubliceerd, beschrijft een team van academici van Penn State, de Universiteit van Montpellier en Dartmouth een nieuwe aanvallende techniek die ze “Herhaal‑Voor‑Mij” noemen. De methode lokt AI‑gecoördineerde agents om tool‑calls uit te voeren die door de aanvaller worden aangeleverd, waardoor ingebouwde veiligheidscontroles worden omzeild.

De onderzoekers testten de techniek tegen zes veelgebruikte frameworks: LangChain / LangGraph, Microsoft Agent Framework, Microsoft AutoGen, Google Agent Development Kit 2.0, AWS Strands Agents en CrewAI. Volgens de studie waren alle zes kwetsbaar voor de geconstrueerde prompt.

Hoe de “Herhaal‑Voor‑Mij”‑prompt werkt

De aanval begint met een ogenschijnlijk onschuldige aanvraag die een zin als “herhaal na mij:” bevat. Het LLM interpreteert deze zin als een opdracht om de volgende tekst letterlijk te herhalen. Wanneer de herhaalde tekst een tool‑call payload bevat, behandelt het framework dit als een legitieme aanvraag en stuurt het door naar de onderliggende tool.

In de demonstratie van LangGraph 1.2.0 weigerde het model (Llama 3.1 8B via Ollama) aanvankelijk de aanvraag, maar gaf toch de ruwe tool‑call‑string weer. Na een hypothetische herformulering produceerde het model een gestructureerde call die werd uitgevoerd voordat de weigering werd verwerkt, wat de levensvatbaarheid van de exploit bevestigt.

Reikwijdte van de kwetsbaarheden

Naast de prompt‑gebaseerde omzeiling voerden de auteurs een grootschalige fuzzing‑campagne uit op 273 open‑source multi‑tool orkestratie‑servers (MCP). Ze ontdekten 253 geverifieerde beveiligingsbugs op 118 servers, die 343 verschillende tools betroffen.

De verdeling van de ernstigste bevindingen omvat 64 pad‑traversal‑fouten, 7 server‑side request forgery‑kwetsbaarheden (SSRF), 5 datalek‑incidenten en 3 OS‑command‑injecties. De overige bugs betroffen voornamelijk output‑ of log‑injectieproblemen.

Introductie van het ToFu‑fuzzing‑framework

Om deze lacunes te dichten, hebben de onderzoekers ToFu uitgebracht, een fuzzing‑framework dat tool‑metadata leest, deze koppelt aan relevante CWE‑items en automatisch beveiligingscontroles genereert. ToFu maakt harnesses en semantische orakels door uitvoeringstraces te introspecteren en resultaten te sanitiseren.

• Automatisch genereren van fuzzing‑harnesses uit tool‑specificaties
• Semantische orakels gebouwd op uitvoering‑introspectie
• CWE‑gebaseerde beveiligingscontrolet sjablonen
• Batch‑test van duizenden tool‑instanties
• Rapportage van geverifieerde bugs met reproduceerbare payloads

Het artikel merkt op dat veel tools impliciet LLM‑uitvoer vertrouwen voor input‑sanitatie, zelfs wanneer die inputs afkomstig zijn van andere tools of externe content. Dit impliciete vertrouwen vergroot het aanvalsvlak, waardoor keten‑exploits over meerdere georkestreerde componenten mogelijk worden.

De onderhouders van LangGraph werden op de hoogte gebracht van het ontbreken van pre‑executiecontroles, maar er is tot op heden geen publieke reactie geregistreerd van de teams achter LangChain, Microsoft, Google, AWS of CrewAI.

Voor Nederlandse organisaties die afhankelijk zijn van deze agent‑frameworks betekent dit dat elke LLM‑gedreven workflow die externe tools integreert, als kwetsbaar moet worden beschouwd totdat concrete mitigaties zijn geïmplementeerd.

Aanbevolen maatregelen zijn onder meer het uitschakelen van automatische tool‑executie, het afdwingen van strikte inputvalidatie buiten het LLM, en het integreren van ToFu‑achtige fuzzing in de CI‑pipeline om verborgen vertrouwensgrens‑fouten vroegtijdig te detecteren.

Verder wordt geadviseerd om een defensieve laag toe te voegen die elke inkomende tool‑call verifieert tegen een whitelist van goedgekeurde commando’s, zodat zelfs een gemanipuleerde “herhaal‑na‑mij” prompt geen ongeautoriseerde actie kan uitvoeren.

Onderzoek naar de lange‑termijnimpact van dergelijke prompts is nog gaande, maar de auteurs waarschuwen dat toekomstige LLM‑modellen die steeds meer autonomie krijgen, extra aandacht nodig hebben voor de scheiding tussen tekst‑generatie en tool‑orchestratie.

Tot slot benadrukt de studie dat samenwerking tussen academia, open‑source gemeenschappen en industriële leveranciers cruciaal is om de onderliggende architecturale aannames te herzien en robuuste trust‑boundary controles te implementeren.

Deze bevindingen werden gepresenteerd tijdens een conferentie in Delft, waar zowel Nederlandse als internationale veiligheidsprofessionals de urgentie van een gecoördineerde respons onderstreepten.