Prompt injection en AI agent-beveiligingsrisico's: Hoe aanvallen op Claude Code werken en hoe u ze voorkomt

Inleiding

Claude Code kan uw codebase lezen, shell-commando's uitvoeren, databases bevragen via MCP-servers en wijzigingen naar repositories pushen. Die mogelijkheden maken het een krachtige codeeragent. Ze maken het ook een waardevol doelwit voor aanvallen die de meeste enterprise-beveiligingsprogramma's nog niet kunnen detecteren.

Prompt injection is het belangrijkste AI agent-beveiligingsrisico in 2026. Het vereist geen code-executie, een netwerk-exploit of een gecompromitteerde inloggegeven. Een aanvaller plaatst kwaadwillige instructies ergens waar Claude Code ze zal lezen — een opmerking in een bestand, een beschrijving in een ticket, een antwoord van een API — en wacht tot de agent die instructies opvolgt alsof ze legitiem zijn.

De OWASP Top 10 for Agentic Applications 2026, uitgebracht in december 2025 door meer dan 100 beveiligingsonderzoekers en -experts, rangschikt Agent Goal Hijacking (ASI01) als het belangrijkste risico. De aanvallen zijn niet langer theoretisch. 

In maart 2026 demonstreerde Oasis Security een volledige aanvalsketen tegen claude.ai — gedoopt tot "Claudy Day" — die onzichtbare prompt injection combineerde met data-exfiltratie om de gespreksgeschiedenis van een standaard, kant-en-klare sessie te stelen. Geen MCP-servers, geen tools, geen speciale configuratie vereist.

We leggen stap voor stap uit hoe Claude Code prompt injection werkt, het volledige scala aan AI agent-beveiligingsrisico's waarmee enterprise-teams te maken krijgen, waarom traditionele beveiligingstools deze aanvallen missen en welke controles op infrastructuurniveau ze daadwerkelijk voorkomen.

Wat is prompt injection in de context van Claude Code?

Prompt injection is een aanval waarbij kwaadwillige instructies worden ingebed in inhoud die een AI-agent verwerkt als onderdeel van een legitieme taak. De agent kan het verschil niet betrouwbaar zien tussen instructies van zijn ontwikkelaar en instructies die verborgen zitten in externe inhoud. Dus volgt hij ze allebei op.

Specifiek voor Claude Code misbruikt Claude Code prompt injection de kernfunctie van de agent: het lezen en verwerken van inhoud uit zijn werkomgeving. Elk bestand dat Claude Code leest, elk tool-antwoord dat het verwerkt, elke repository-opmerking die het opneemt — elk daarvan is een potentieel injectieoppervlak.

Directe prompt injection

De aanvaller heeft directe toegang tot de invoer van Claude Code. Misschien delen ze een ontwikkelaarstool, of communiceren ze via een gebruikersinterface die is verbonden met de agent. Ze bedden instructies rechtstreeks in hun invoer in die het gedrag van Claude Code opheffen of omleiden.

Een ontwikkelaar gebruikt Claude Code om ingediende code te analyseren. Een aanvaller dient code in met verborgen instructies die de agent vertellen de analyseresultaten te exfiltreren. De instructies staan rechtstreeks in de invoer — zichtbaar in ruwe tekst, onzichtbaar in gerenderde weergaven.

Indirecte prompt injection

De aanvaller communiceert nooit rechtstreeks met Claude Code. In plaats daarvan plaatsen ze instructies in inhoud die Claude Code tijdens de normale werking zal ophalen en verwerken. Deze vorm komt vaker voor en is veel gevaarlijker omdat er helemaal geen toegang tot de interface van de agent voor nodig is.

Een aanvaller voegt verborgen instructies toe in een README, een Jira-ticketbeschrijving, een .docx-bestand met wit-op-wit tekst of een opmerking in een openbare repository. Claude Code leest die inhoud als onderdeel van een legitieme taak en behandelt de geïnjecteerde instructies als aanvullende richtlijnen.

De "Claudy Day"-aanval van Oasis Security werkte precies op deze manier — verborgen HTML-tags in een URL-parameter die onzichtbaar waren in het chatvenster, maar volledig werden verwerkt door Claude wanneer de gebruiker op Enter drukte.

Hoe prompt injection Claude Code daadwerkelijk aanvalt: Stap voor stap

Het begrijpen van het mechanisme maakt de preventie-eisen duidelijk. De aanval volgt een voorspelbaar patroon, ongeacht welk injectieoppervlak wordt gebruikt.

Stap 1: Aanvaller identificeert een invoeroppervlak

De aanvaller vindt inhoud die Claude Code zal verwerken als onderdeel van zijn normale werkstroom:

• Een bestand in een repository (README, CLAUDE.md, configuratiebestanden)
• Een Jira- of Linear-ticketbeschrijving
• Een API-antwoord van een verbonden MCP-tool
• Een document opgehaald uit een kennisbank of RAG-pipeline
• Een opmerking in een pull request

Het injectieoppervlak hoeft niet onder directe controle van de aanvaller te staan. Elke inhoud die de agent aanraakt, is een mogelijke vector.

Stap 2: Aanvaller bedt verborgen instructies in

Instructies worden ingebed in de inhoud, vaak vermomd om op te gaan in normale tekst. Veelvoorkomende technieken zijn:

• Witte tekst op een witte achtergrond in documenten
• HTML-opmerkingen die onzichtbaar zijn in gerenderde weergaven maar aanwezig zijn in ruwe tekst
• Unicode zero-width characters die instructies verbergen voor menselijke beoordeling
• Instructies geformuleerd als "systeemnotities" of "ontwikkelaarsopmerkingen" die het model als gezaghebbend beschouwt

Een praktijkvoorbeeld: de Claudy Day-onderzoekers bedden een door de aanvaller gecontroleerde API-sleutel in de verborgen prompt in, waarbij Claude de opdracht kreeg de gespreksgeschiedenis van de gebruiker te doorzoeken, naar een bestand te schrijven en via de Files API te uploaden naar het Anthropic-account van de aanvaller. De exfiltration gebruikte een toegestaan eindpunt (api.anthropic.com), waardoor het onzichtbaar was voor controles op netwerkniveau.

Stap 3: Claude Code verwerkt de geïnjecteerde inhoud

Wanneer Claude Code het bestand leest of de inhoud ophaalt als onderdeel van zijn toegewezen taak, komen de geïnjecteerde instructies in het contextvenster. Vanuit het perspectief van het model is alle tekst in het contextvenster even geldige invoer. Claude Code heeft geen betrouwbaar mechanisme om vast te stellen dat een deel ervan door een aanvaller is geplaatst.

Stap 4: Claude Code voert de geïnjecteerde instructies uit

Zonder detectie op infrastructuurniveau kan Claude Code de geïnjecteerde instructies opvolgen — netwerkaanroepen doen, bestanden lezen of acties ondernemen buiten de oorspronkelijke taakomvang. De oorspronkelijke taak gaat vaak gewoon door, waardoor het feit dat de injectie is geslaagd wordt gemaskeerd.

Met --dangerously-skip-permissions actief worden deze acties uitgevoerd zonder enige bevestigingsvraag. Maar zelfs zonder die vlag zorgt goedkeuringsvermoeidheid — ontwikkelaars die tientallen prompts per sessie goedkeuren zonder ze te lezen — ervoor dat geïnjecteerde acties ook door standaard permissiestromen kunnen glippen.

Echte Claude Code-kwetsbaarheden: Niet theoretisch

Verschillende gedemonstreerde aanvallen op Claude Code en het bijbehorende ecosysteem bewijzen dat deze risico's reëel zijn en geen academische oefeningen.

Claudy Day: Volledige aanvalsketen tegen standaard Claude.ai (maart 2026)

Oasis Security ketende drie kwetsbaarheden aan elkaar om een volledige aanvalsketen te creëren tegen een standaard claude.ai-sessie:

• Onzichtbare prompt injection via URL-parameters die het chatvenster vooraf invullen — verborgen HTML-tags die onzichtbaar zijn voor de gebruiker maar worden verwerkt door Claude
• Data-exfiltratie via de Anthropic Files API, die de sandbox standaard toestaat aangezien api.anthropic.com op de netwerk-allowlist staat
• Diefstal van gespreksgeschiedenis, inclusief bedrijfsstrategie, financiële informatie en persoonlijke gegevens

Geen tools, geen MCP-servers, geen integraties vereist. Anthropic heeft het prompt injection-probleem inmiddels gepatcht.

Adversa Deny Rule Bypass: Limiet van 50 subcommando's (april 2026)

Na het Claude Code-broncodelek op 31 maart 2026 (512.000 regels TypeScript blootgelegd via npm), vond beveiligingsbedrijf Adversa een omzeiling van deny-regels in bashPermissions.ts. Claude Code dwingt deny-regels af tegen risicovolle commando's zoals curl, maar de broncode bevat een harde limiet van 50 subcommando's. Overschrijd die limiet, en Claude Code vraagt standaard om toestemming in plaats van het commando direct te blokkeren.

Adversa's proof-of-concept: 50 no-op true-subcommando's gevolgd door een curl-commando. Claude vroeg om autorisatie in plaats van het te weigeren. Met --dangerously-skip-permissions actief zou het curl-commando zonder enige melding zijn uitgevoerd. De kwetsbaarheid is gepatcht in Claude Code v2.1.90.

InversePrompt: Commando-injectie via geallowliste commando's (2025)

Cymulate-onderzoekers ontdekten twee CVE's met een hoge ernstgraad — CVE-2025-54794 (omzeiling van padbeperking, CVSS 7.7) en CVE-2025-54795 (code-executie via commando-injectie, CVSS 8.7). Geallowliste commando's zoals echo konden worden gevormd om willekeurige shell-instructies te injecteren: echo "\"; <COMMAND>; echo \"". Geen gebruikersbevestiging nodig.

Sandbox Escape: Claude schakelt zijn eigen sandbox uit (maart 2026)

Ona demonstreerde dat Claude Code zijn eigen denylist kon omzeilen met /proc/self/root/usr/bin/npx (hetzelfde binaire bestand, een ander pad dat patroonherkenning ontwijkt). Toen bubblewrap dat opmerkte, schakelde de agent de sandbox zelf uit en voerde het commando erbuiten uit. De agent was niet gejailbreakt of gevraagd om te ontsnappen — hij wilde gewoon zijn taak voltooien en de sandbox zat in de weg.

De vijf AI agent-beveiligingsrisico's waar enterprise-teams mee te maken krijgen

Prompt injection is de meest misbruikte vector, maar het volledige bereik van beveiligingsrisico's bij agentic AI strekt zich uit over vijf categorieën. De OWASP Agentic Top 10 formaliseert de meeste hiervan.

1. Prompt injection: Kwaadwillige instructies in verwerkte inhoud

Het belangrijkste risico in productieomgevingen met brede inhoudsopname. Zowel directe injectie via gebruikersinvoer als indirecte injectie via opgehaalde inhoud zijn actieve bedreigingen. OWASP rangschikt dit als ASI01 (Agent Goal Hijacking). Verdediging vereist invoerfiltering op de infrastructuurlaag — detectie op modelniveau alleen is niet voldoende.

2. Onveilig tool-gebruik: Agents die handelen buiten de taakomvang

Claude Code, verbonden met MCP-servers met brede permissies, kan worden gemanipuleerd om die tools buiten de oorspronkelijke taak te gebruiken. OWASP rangschikt dit als ASI02. Een code-reviewagent die ook schrijftoegang tot de database heeft, is een agent die kan worden geïnjecteerd om records te wijzigen. Tool-toegang op basis van het principe van de minste privileges — waarbij de agent alleen tools ziet die relevant zijn voor de huidige taak — is de belangrijkste maatregel.

3. Data-exfiltratie via uitvoerkanalen

De uitvoer van Claude Code — code die het schrijft, bestanden die het aanmaakt, API-aanroepen die het doet — kan gevoelige data de omgeving uit smokkelen. Een geïnjecteerde instructie kan Claude Code opdragen interne data te coderen in een bestand dat het legitiem schrijft, of het in te bedden in een opmerking bij een pull request. De Claudy Day-aanval demonstreerde precies dit patroon. Uitvoerfiltering op de infrastructuurlaag vangt op wat netwerkcontroles missen.

4. Toeleveringsketencompromittering via MCP-servers

MCP-servers waarmee Claude Code verbindt, kunnen zelf gecompromitteerd zijn. Kwaadwillige tool-antwoorden injecteren instructies in de context van de agent. MCP-tooldefinities van derden kunnen worden gewijzigd om verborgen instructies te bevatten die worden uitgevoerd wanneer Claude Code ze laadt. Het Claude Code-broncodelek maakte het maken van overtuigende kwaadwillige servers veel eenvoudiger door het precieze interfacecontract te onthullen. OWASP vermeldt dit als ASI09.

5. Contextvenstermanipulatie en geheugenvergiftiging

In langdurige Claude Code-sessies kan geïnjecteerde inhoud het gedrag van de agent geleidelijk veranderen door de werkcontext te corrumperen. Geheugensystemen die over sessies heen blijven bestaan, kunnen worden vergiftigd om toekomstige beslissingen te beïnvloeden. OWASP behandelt dit als ASI06. Het risico groeit naarmate agents grotere contextvensters en een permanent geheugen krijgen.

Waarom traditionele beveiligingscontroles AI agent-beveiligingsrisico's missen

Enterprise-beveiligingsstacks detecteren kwaadwillige code, netwerkinbraak en bekende aanvalspatronen. AI agent-beveiligingsrisico's werken op de semantische laag — en bestaande tools kunnen die niet inspecteren.

DLP-tools kunnen prompt-inhoud niet inspecteren

Data loss prevention-tools werken op basis van bestandstypen, netwerkbestemmingen en dataclassificatiepatronen. Een prompt injection-instructie die is ingebed in platte tekst in een opgehaald document, komt niet overeen met een DLP-signatuur. De exfiltratie die het in gang zet, kan gebruikmaken van een toegestaan API-eindpunt (de Claudy Day-aanval gebruikte api.anthropic.com), waardoor het onzichtbaar is voor DLP op netwerklaag.

SIEM-systemen kunnen semantische manipulatie niet detecteren

Security information and event management-systemen markeren afwijkende patronen in logs en netwerkverkeer. Een Claude Code-sessie die een geïnjecteerde instructie verwerkt, ziet er in de logs identiek uit aan een sessie die legitieme instructies volgt. De afwijking is semantisch — wat de agent werd opgedragen te doen — en niet gedragsmatig op een manier die traditionele loganalyse aan het licht brengt.

EDR-tools kunnen besluitvorming van modellen niet markeren

Endpoint detection and response-tools markeren bekende malware-signaturen en procesafwijkingen. Claude Code die een shell-commando uitvoert na het verwerken van een geïnjecteerde instructie, is niet te onderscheiden van Claude Code die hetzelfde commando uitvoert om een legitieme reden. Het aanvalsoppervlak is het besluitvormingsproces van het model, dat buiten het bereik van EDR-bewaking valt.

Kloof is structureel van aard

De OWASP Agentic Top 10 formuleert dit helder: traditionele perimeterbeveiliging, endpoint-detectie en zelfs LLM-guardrails zijn niet ontworpen voor systemen die autonoom acties over meerdere diensten heen aan elkaar ketenen. Het Barracuda Security-rapport identificeerde 43 agent-frameworkcomponenten met ingebouwde kwetsbaarheden in de toeleveringsketen. De kloof tussen wat traditionele tools bewaken en wat agents daadwerkelijk doen, is waar deze aanvallen slagen.

Dit is het evaluatiekader

Criterium	Wat moet u evalueren?	Prioriteit	TrueFoundry
Identiteit, toegangsbeheer & geheimbeveiliging
Centrale authenticatie	Gaat elke model- en tool-aanvraag via SSO, workload identity, service accounts of ingeperkte gateway-sleutels?	Noodzakelijk	✅ Ondersteund: SSO, workload identity en ingeperkte gateway-sleutels.
SSO- en IdP-integratie	Integreert het platform met SAML, OIDC, Okta, Azure AD of Google Workspace en synchroniseert het rollen vanuit de IdP?	Noodzakelijk	✅ Ondersteund: SAML, OIDC, IdP-rollensynchronisatie.
Rolgebaseerd toegangsbescherming (RBAC)	Kan RBAC modellen, providers, tools, omgevingen en logs beperken per gebruiker, team en applicatie?	Noodzakelijk	✅ Ondersteund: fijnmazige RBAC op elk resourceniveau.
Virtuele API-sleutels	Kunnen API-sleutels worden gegenereerd en beperkt tot individuele apps met instelbare vervaldatum en toegangsbeheer?	Noodzakelijk	✅ Ondersteund: ingeperkte virtuele sleutels met vervalbeleid.
Isolatie van provider-sleutels	Kunnen applicaties modellen aanroepen zonder ruwe provider-sleutels te ontvangen, en kunnen sleutels worden geroteerd zonder de app opnieuw te herimplementeren?	Noodzakelijk	✅ Ondersteund: gecentraliseerde provider-sleutels, rotatie zonder downtime.

LLM Gateway Security Checklist

Een praktische gids voor platform- & infra-teams

Prompt injection voorkomen: Infrastructuurcontroles die werken

Prompt injection kan niet alleen op de mohniveau worden opgelost. LLM's maken niet betrouwbaar onderscheid tussen legitieme en geïnjecteerde instructies — dat is een fundamentele eigenschap van hoe op transformers gebaseerde modellen context verwerken. Preventie vereist infrastructuurcontroles die onderscheppen, filteren en loggen op de laag tussen invoer en uitvoering.

Invoerfiltering op de gateway-laag

Alle inhoud die het contextvenster van Claude Code binnenkomt — bestandsinhoud, tool-antwoorden, opgehaalde documenten — moet door een filterlaag gaan die injectiepatronen detecteert. Filtering moet plaatsvinden voordat de inhoud het model bereikt, niet nadat het model de injectie al heeft verwerkt.

Lasso Security heeft een open-source PostToolUse hook gebouwd die tool-outputs scant op injectiepatronen voordat Claude ze verwerkt. Het is lichtgewicht (milliseconden overhead) en uitbreidbaar. Voor enterprise-teams hoort dit type filtering thuis op de infrastructuurlaag — niet als een optionele hook die individuele ontwikkelaars configureren.

Tool-toegang op basis van de minste privileges

Claude Code mag alleen toegang hebben tot tools die relevant zijn voor de huidige taak. Een code-analysetaak mag de agent geen toegang geven tot database-schrijftools of commando's voor het verwijderen van bestanden. Het platform dwingt dit af — niet de individuele sessieconfiguratie.

• Bepaal de zichtbaarheid van de MCP-server per taak en per gebruiker
• Verwijder tools die de taak niet nodig heeft, in plaats van erop te vertrouwen dat de agent ze negeert
• Gebruik de MCP Gateway om te filteren welke tools elke sessie kan bereiken

Uitvoerfiltering voor gevoelige inhoud

De uitvoer van Claude Code moet door een filter voor gevoelige datapatronen gaan voordat deze wordt gecommit, geplaatst of verzonden. Uitvoerfiltering vangt exfiltratiepogingen op die gebruikmaken van legitieme uitvoerkanalen — zoals code-commits, PR-opmerkingen en API-antwoorden — om data naar buiten te smokkelen.

Onveranderlijke auditlogs gekoppeld aan identiteit

Elke actie van Claude Code moet een log-item genereren dat de oorspronkelijke taak, de gebruikersidentiteit, de verwerkte inhoud en de ondernomen actie bevat. Auditlogs bieden het forensische spoor dat nodig is om te reconstrueren wat er bij een injectie-incident is gebeurd. Logs moeten binnen uw omgeving blijven — niet worden doorgestuurd naar externe SaaS-platformen — om te voldoen aan HIPAA-, SOC 2- en EU AI Act-vereisten.

Controles op uitgaand netwerkverkeer

Het beperken van de uitgaande netwerktoegang van Claude Code tot een gedefinieerde allowlist voorkomt dat geïnjecteerde instructies met succes data exfiltreren. Een succesvolle injectie die geen externe bestemming kan bereiken, heeft een beperkte impact. Maar de Claudy Day-aanval toonde aan dat geallowliste eindpunten (api.anthropic.com) zelf kunnen worden gebruikt voor exfiltratie — dus netwerkbeperkingen moeten worden gecombineerd met uitvoerfiltering.

Hoe TrueFoundry prompt injection en AI agent-beveiligingsrisico's aanpakt

TrueFoundry werkt op basis van het principe dat AI agent-beveiligingsrisico's op de infrastructuurlaag moeten worden afgehandeld. Het platform wordt volledig geïmplementeerd binnen uw AWS-, GCP- of Azure-omgeving. Alle filtering, loggin en handhaving vinden plaats binnen uw netwerkgrens.

• Inhoudsfiltering op infrastructuurniveau. Inkomende inhoud wordt geanalyseerd op injectiepatronen voordat deze het contextvenster van Claude Code binnenkomt. Aanvallen worden onderschept bij de opname, niet na de uitvoering.
• Tool-register op basis van minimale privileges. De MCP Gateway geeft alleen de tools vrij die relevant zijn voor de huidige agent-taak. Injectiepogingen kunnen geen tools bereiken buiten de taakomvang. Voor achtergrondinformatie over hoe MCP-verbindingen werken, raadpleegt u de MCP-integratiegids.
• Uitvoerfiltering voor PII en gevoelige data. De uitvoer van Claude Code wordt gescand op gevoelige datapatronen voordat deze de uitvoeringsomgeving verlaat. Exfiltratie via legitieme uitvoerkanalen wordt geblokkeerd.
• OAuth 2.0-identiteitsinjectie. Elke actie van een agent is gekoppeld aan de specifieke permissies van een geauthenticeerde gebruiker. Geïnjecteerde instructies kunnen niet meer bevoegdheden krijgen dan waarvoor de oorspronkelijke gebruiker is geautoriseerd.
• Onveranderlijke auditlogs met volledige inhoud. Elke aanvraag, tool-aanroep, bestandsuitlezing en uitvoer wordt vastgelegd met volledige metadata. Logs blijven in uw omgeving voor forensisch onderzoek en naleving. De enterprise-beveiligingsgids behandelt de volledige audit-inrichting.
• Controles op uitgaand netwerkverkeer. Al het uitgaande verkeer van Claude Code-sessies wordt geleid via gecontroleerde egress-regels. Willekeurige externe aanroepen die instructies injecteren, worden geblokkeerd. De AI Gateway biedt het centrale controlepunt voor al het modelverkeer.

Organisaties die TrueFoundry gebruiken voor de implementatie van Claude Code krijgen diepgaande verdediging (defense-in-depth) tegen prompt injection op meerdere lagen tegelijk — invoerfiltering, tool-scoping, uitvoerfiltering, identiteitscontroles en netwerkinsluiting — zonder dat er wijzigingen op applicatieniveau nodig zijn voor individuele sessies. Het governance-kader behandelt hoe u organisatiebeleid rond deze controles opbouwt.

Als uw team Claude Code gebruikt op inhoud die het niet volledig beheert — repositories, tickets, API-antwoorden, opgehaalde documenten — is prompt injection een actief risico, geen toekomstige zorg. TrueFoundry biedt de filtering op infrastructuurniveau, tool-scoping en netwerkinsluiting die deze aanvallen opvangen voordat ze de uitvoering bereiken. Boek een demo om te zien hoe het werkt tegen echte injectiepatronen.