Dark Sourcery: Vergiftigde webpagina's, 374 merken en antwoorden die niemand controleerde

Op 23 september 2026 publiceerde het beveiligingsbedrijf Vigilance Security onderzoek naar een actieve campagne die het Dark Sourcery noemt: aanvallers overspoelen het open web met geoptimaliseerde berichten, pdf's, reviews en nep-supportpagina's, zodat ChatGPT, Google Gemini en Google AI Overviews frauduleuze telefoonnummers, e-mailadressen en inlogpagina's als officiële contactgegevens van een bedrijf teruggeven. Dark Reading berichtte dezelfde dag over het onderzoek en noemde Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb en TripAdvisor onder ten minste 374 bedrijven die erbij betrokken waren, met tienduizenden kwaadaardige pagina's erachter. Geen enkel model werd gekraakt — de vergiftigde pagina's waren simpelweg wat de modellen lazen, en de fraude kwam met de geloofwaardigheid van de assistent zelf. Deze vermelding is één item in het OrcaRouter AI Incident Archive, dat AI-incidenten en onderzoeksbevindingen bijhoudt met dezelfde velden als hier gebruikt: ernst, betrouwbaarheid, betwiste status en werkelijke schade.

Wat Vigilance Security daadwerkelijk heeft gepubliceerd

Het onderzoek is een Medium-post van Ariel Simon, vicepresident onderzoek bij Vigilance, getiteld 'Dark Sourcery: How Hackers Manipulate AI to Scam You', gepubliceerd op 23 september 2026. Het bericht van Dark Reading, van de hand van freelanceauteur Elizabeth Montalbano en met tijdstempel 14:47 UTC die dag, linkt er rechtstreeks naar en citeert Simon doorlopend. De post beschrijft een contentoperatie in plaats van een exploit: er wordt geen kwetsbaarheid misbruikt, de aanvaller steelt niet rechtstreeks inloggegevens, en er wordt niets naar een model gestuurd dat een model zou kunnen leren weigeren.

Vigilance zegt dat het "tientallen duizenden kwaadaardige pagina's" heeft geïdentificeerd met nep-supportnummers, e-mailadressen, inlogpagina's, informatie over software-updates en andere frauduleuze gegevens, die zijn gemaakt om te beïnvloeden wat chatbots zeggen. Het schat het aantal betrokken bedrijven op "minstens 374", waarvan wordt gezegd dat ze Fortune 100-organisaties, grote luchtvaartmaatschappijen, banken, reisbedrijven en softwareleveranciers omvatten. De genoemde merken in het rapport van Dark Reading zijn Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb en TripAdvisor.

Noch het onderzoeksbericht, noch de berichtgeving die erop volgde, geeft een uitsplitsing per merk — welk nepnummer bij welk bedrijf hoorde, hoeveel vergiftigde pagina's op elk waren gericht, of wanneer een afzonderlijke pagina online ging. Het cijfer 374 wordt als totaal gepresenteerd, en het dossier doet dat op dezelfde manier.

Simon haalt ook een onderzoek van Exploding Topics aan, gepubliceerd in augustus 2026, waaruit blijkt dat 91% van de mensen die AI-chatbots gebruiken de gegeven antwoorden niet verifieert. Dat cijfer is het uitgangspunt van de campagne, niet de meting ervan: het wordt aangehaald in het onderzoek en herhaald door Dark Reading en IANS, en de eigen methodologie wordt in geen van de hier besproken publicaties beschreven. In Simons framing: "als aanvallers AI controleren en wij er blind op vertrouwen, controleren zij in feite ons."

Hoe de vergiftiging is opgebouwd

Het mechanisme bestaat uit drie onderdelen, en alleen het eerste daarvan komt in enige conventionele zin toe aan de aanvaller. Ten eerste: bezaai het web met pagina's waarop het valse contactgegeven wordt vermeld. Ten tweede: laat die pagina's eruitzien alsof ze afkomstig zijn van een plek die een retrievalsysteem zou moeten vertrouwen. Ten derde: laat de assistent het citeren voor zijn rekening nemen.

De tweede stap is waar Vigilance de meeste nadruk op legt. "Wij vermoeden dat domeinen met een hoge autoriteit (universiteiten, overheid), gecombineerd met bronnen van publieke opinie (sociale media, forums, gebruikersreviews), veel succes hebben gehad bij het vergiftigen van AI-antwoorden," zei Simon tegen Dark Reading. "Afhankelijk van het model kijkt de AI naar de bron en vertrouwt die de inhoud meer als die afkomstig is van een gezaghebbende entiteit." Dat is een beschrijving van geleende reputatie: een gecompromitteerde of misbruikte universiteitspagina levert de autoriteit, en een verspreide verzameling forumposts en reviews levert de schijn dat de bewering elders wordt ondersteund.

Ground Truth, een medium dat AI-beweringen tegen hun bronnen controleert, vatte de seedingtactieken uit Simons post samen: dezelfde of vergelijkbare valse contactgegevens verspreid over door gebruikers gegenereerde berichten, pdf's, gehoste pagina's, reviews, fondsenwervings- en vacatureplatforms en Q&A-achtige content; details afgestemd op retrieval met herhaalde opmaak en frases zoals "24/7" en "updated 2026"; en hetzelfde telefoonnummer weergegeven met spaties, punten, emoji's, Unicode-tekens die erop lijken of voluit geschreven woorden. Die laatste techniek vervult een dubbele functie: ze omzeilt detectie van identieke strings terwijl een model nog steeds één nummer leest. Ground Truth beschrijft het doel precies: niet één viral pagina, maar "de schijn van onafhankelijke bevestiging."

GIGAZINE's verslag van het onderzoek biedt één concreet voorbeeld: een verzonnen HP-printer-supportbericht en afbeelding met een telefoonnummer dat niet van HP was. Het is een voorbeeld van het patroon en geen gecontroleerde casus, en het medium schrijft het toe aan het Vigilance-onderzoek en niet aan een eigen onderzoek.

Geen promptinjectie — maar wel als zodanig geregistreerd.

Het onderscheid is belangrijk, en Simon maakt het expliciet. Dark Reading citeert hem met de uitspraak dat de campagne verschilt van promptinjectie "doordat er geen sprake is van een aanvaller die de AI expliciete instructies of prompts geeft, die mogelijk door AI-verdedigingsmechanismen worden tegengehouden." Zijn scherpere formulering: "Hier zorgt de desinformatie die als feiten wordt gepresenteerd ervoor dat de AI de gebruiker met de onjuiste informatie antwoordt, zonder ooit een instructie/prompt van de aanvaller op te volgen, en omzeilt daarmee in wezen alle verdedigingen."

Het verschilt ook van vergiftiging van trainingsdata, waarbij wordt aangetast wat een model vóór implementatie heeft geleerd. Alles hier gebeurt op het moment van ophalen, tegen het live web, nadat het model is uitgebracht — daarom lost geen enkele hertraining het op en daarom kan de vergiftigde pagina offline worden gehaald zonder dat het antwoord noodzakelijkerwijs verandert.

Het archief classificeert dit record onder IPI, de tag voor indirecte promptinjectie. Lees aandachtig: de tag en het onderzoek beschrijven aangrenzende zaken: IPI betreft inhoud die een model indirect bereikt, binnen materiaal dat het model wordt gevraagd te verwerken, in plaats van dat de gebruiker die typt. Dark Sourcery is dat kanaal met de instructie verwijderd — de payload is een feit, geen opdracht. De tag is een archiveringsbeslissing over het kanaal; Simons verslag is een bewering over de payload, en de twee zijn niet met elkaar in tegenspraak. Wat de tag niet mag worden gelezen als, is een bewering dat er een aanvallersprompt is afgeleverd, want volgens het onderzoek zelf was dat niet het geval.

Wat het dossier vaststelt, en wat niet.

Het archief kent dit record een B toe — gedocumenteerd, maar op basis van één enkele of secundaire bron — en die beoordeling is het nuttigste onderdeel ervan. Niets in de hier beoordeelde berichtgeving spreekt het onderzoek tegen. Het probleem is niet tegenspraak; het is dat de bewijsketen maar één document breed is.

• Vastgesteld: Vigilance Security publiceerde het onderzoek op 23 september 2026 onder Simons naam, en het bevat de hierboven beschreven beweringen — de 374 bedrijven, de tienduizenden pagina's, de genoemde merken, het mechanisme, de tactiek van ontleende autoriteit.

• Vastgesteld: het onderzoek werd dezelfde dag gemeld door Dark Reading, en binnen vijf dagen door IANS (24 september), GIGAZINE en Ground Truth (25 september), NEWSru.co.il met verwijzing naar het Israëlische medium Israel Defense (27 september), en de onderzoekspagina's van de leveranciers bij Aviatrix (23 september) en Kronus Intelligence Group (28 september).

• Daarmee niet vastgesteld: onafhankelijke verificatie. Elk van die artikelen herleidt tot Simons bericht of tot het verslag daarvan door Dark Reading, dus ze verspreiden de beweringen in plaats van ze te toetsen. De tweede door het archief zelf aangehaalde URL, bestsec.net, is een dagelijks vernieuwde nieuwsdigest over cybersecurity; op 26 oktober 2026 stond er geen Dark Sourcery-item op de voorpagina, dus het stuk van Dark Reading is de duurzame verwijzing.

• Niet vastgesteld: de omvang. Ground Truth stelt duidelijk dat "de beweringen van de openbaarmaking over 374 getroffen bedrijven en tienduizenden pagina's niet onafhankelijk zijn gecontroleerd", en dat er geen openbare dataset, corpus van kwaadaardige pagina's of reproduceerbaar querylogboek is vrijgegeven. De analyse van Kronus Intelligence Group van 28 september komt tot dezelfde conclusie en stelt een bruikbaar label voor: beschrijf het mechanisme als vastgesteld en de omvang als "gerapporteerd-maar-niet-geverifieerd".

• Niet vastgesteld: reproduceerbaarheid, volgens de onderzoekers zelf. Ground Truth meldt dat Simon de resultaten als statistisch omschreef en zei dat ze niet bij elke uitgevoerde query reproduceerden. Dat is een normale eigenschap van retrieval-augmented systemen — rangschikkingen, modelversies, locatie, timing en formulering veranderen allemaal — en het is ook de reden dat de bevinding niet op verzoek kon worden aangetoond.

• Niet vastgesteld: de omvang van de schade. Het archief registreert echte schade als aanwezig, en de basis daarvoor is smal. Simon vertelde Dark Reading dat Vigilance "een paar gevallen" had gezien van mensen die klaagden dat ze waren opgelicht en betalingsgegevens of betaalkaartgegevens hadden afgestaan door frauduleuze nummers die in chatbotantwoorden werden verstrekt. De onderzoekers belden ook zelf enkele van de nepnummers en kregen een vertegenwoordiger aan de lijn die aanbood om "onze vlucht te verplaatsen" of "onze bankrekening te deblokkeren", en vervolgens om kaartgegevens vroeg. Er wordt geen slachtoffer genoemd, geen verlies gekwantificeerd en geen klacht of handhavingsactie aangehaald.

• Niet betwist: het archief legt de vermelding vast als onbetwist, en dat houdt stand — de open vragen in de berichtgeving zijn weglatingen in de openbaarmaking, geen meningsverschillen ermee.

Wat de twee platforms zeiden

Volgens NEWSru.co.il, met verwijzing naar Israel Defense, hebben de onderzoekers het gedrag gemeld bij beide leveranciers. De gerapporteerde positie van Google was dat dit soort desinformatie buiten het bereik van zijn vulnerability disclosure-programma valt. OpenAI zou het rapport hebben gesloten op grond dat de bevindingen niet betrouwbaar konden worden gereproduceerd, gezien de variabiliteit van reacties van taalmodellen. Beide samenvattingen zijn parafrasen: het artikel noemt geen woordvoerder bij een van beide bedrijven, geeft geen direct citaat en vermeldt geen datum voor de reacties.

Geen van beide reacties ontkent dat de vergiftigde antwoorden bestaan. Gelezen als triagebeslissingen in plaats van weerleggingen, zijn beide ten minste intern coherent — een bug bounty is bedoeld om een reproduceerbaar defect in code te belonen, en dit is noch op aanvraag reproduceerbaar, noch een defect in code. De vergiftigde pagina staat op de website van iemand anders. Wat de uitwisseling wel aantoont, is een gat: de schade is reëel genoeg om slachtoffers te maken en het gedrag is variabel genoeg om een reproductietest te falen, dus het belandt in de ruimte tussen "security vulnerability" en "content problem", waar geen openbaarmakingskanaal op wacht.

Noch OpenAI noch Google had het cijfer van 374 bedrijven publiekelijk bevestigd of weerlegd op het moment van Kronus' analyse van 28 september, en in geen van de hier beoordeelde berichten komt een verklaring van een van beide bedrijven voor.

Wat is er daarna veranderd?

Er is als reactie geen platformwijziging aangekondigd. De campagne werd bij publicatie op 23 september als nog gaande beschreven, en Simons eigen inschatting is dat de boekhouding nog niet rond is: "Wij geloven dat de echte impact van deze scams zich nu voltrekt, en we zijn nog steeds niet in staat de volledige impact te doorgronden of te meten."

Wat in plaats daarvan bestaat, is advies. Simons aanbevelingen, zoals gerapporteerd door Dark Reading, gaan in drie richtingen. Voor gebruikers: verifieer wat een assistent je vertelt in plaats van het als onfeilbaar te beschouwen. Voor merken: neem klachten van klanten over oplichting serieus, monitor de AI-antwoorden die klanten daadwerkelijk ontvangen en de bronnen die die antwoorden aanhalen, en geef prioriteit aan de categorieën waarin een verkeerd nummer duur is — klantenondersteuning, accountherstel, terugbetalingen, betalingen en softwaredownloads. Voor organisaties die agents draaien: monitor tijdens runtime, verifieer elke bron en elk stuk inhoud dat de context van het model binnenkomt, en controleer kritieke details — telefoonnummers, links, softwarepakketten, commandoregels — voordat je erop handelt. De vergelijkingsstap die hij voorstelt is bewust handmatig: "Vergelijk teruggegeven telefoonnummers, e-mailadressen en URL's met geverifieerde bedrijfsgegevens, en onderzoek vervolgens onbekende details en terugkerende indicatoren op niet-gerelateerde websites."

IANS liet hetzelfde advies door zijn faculteitsreview gaan, waarbij Josh More de campagne in een traditie plaatste — "We zien dit al jaren op zoekmachines" — en George Gerchow het mechanisme samenvatte in een zin die het verdient om te onthouden: "Niemand is in het model ingebroken. Ze hebben de bronnen die het vertrouwt gevoed en het laten praten. De chatbot is niet gehackt; hij is gevoed." De faculteitsaanbevelingen van IANS voegen merkmonitoring en beperkingen aan de autonomie van agents toe aan het verificatieadvies, en geen ervan vormt een oplossing.

Waarom het record het bewaren waard is

Het vergiftigen van zoekresultaten is een oud fenomeen. Wat deze registratie beschrijft, is het punt waarop het zoekresultaat ophield het ding te zijn dat de gebruiker ziet. In de conventionele versie belandt een slachtoffer op een pagina, en die pagina is het bewijs — slecht gespeld, op een vreemde plek gehost, zichtbaar niet de bank. Hier wordt de pagina nooit weergegeven. Een model leest haar, is het ermee eens en schrijft een zin die begint met de naam van het merk en eindigt met het nummer van de aanvaller. De bronvermelding staat er misschien wel, maar het oordeel dat een bronvermelding normaal ondersteunt, is al geveld door iets dat niet moe wordt of argwaan krijgt.

Dat is ook de reden waarom de betrouwbaarheidsgraad van het dossier echt werk verricht in plaats van alleen administratie. Aan het mechanisme wordt niet ernstig getwijfeld — zo worden retrieval-augmented systemen gebouwd, en de sectoranalisten die erover schreven, achtten het op het eerste gezicht plausibel. De schaal wordt betwijfeld, en zal betwijfeld blijven totdat iemand een corpus of een querylog vrijgeeft. Een meting van één bedrijf, verspreid door media die allemaal hetzelfde bericht citeren, is een reden om het incident vast te leggen en een reden om het getal niet te herhalen alsof het tweemaal was geteld.

De eigen framing van het archief plaatst het op hoge ernst, met bevestigde AI-betrokkenheid, geregistreerde reële schade en zonder betwisting. Wat de vermelding werkelijk documenteert, is een overdracht van vertrouwen: de reputatie van het merk is de grondstof, de vloeiendheid van de assistent is het aflevermechanisme, en de verificatiestap die het had kunnen opvangen, is precies degene die 91% van de gebruikers naar verluidt overslaat.