Hoe de hoax in elkaar zat

De r/poisonai-campagne bouwde drie lagen van vals bewijs die eruitzagen als een legitieme nieuwsgebeurtenis:

• Tientallen verzonnen rouwberichten op Reddit verspreid over meerdere threads, waardoor de indruk ontstond van wijdverbreide discussie en verdriet .
• Nep-screenshots van Truth Social (Trumps eigen sociale platform), die eruitzagen als officiële berichten van de president .
• WKNA News, een 'pink slime'-site die zich voordeed als een legitieme lokale nieuwszender in West Virginia . De site publiceerde meerdere verzonnen artikelen met data van 9 tot 22 juni 2026, met koppen als 'Rabies awareness emphasized following death of JD Vance' en 'Questions surrounding death of J.D. Vance and White House illness' . De AI noemde deze pagina's als geloofwaardige bronnen .

Welke AI-systemen werden misleid

DuckDuckGo's AI Search Assist-functie (Duck.ai) vertelde gebruikers vol vertrouwen dat Trump op 7 juni 2026 aan hondsdolheid was overleden en dat Vance hem was voorgegaan in de dood . Het produceerde een vol antwoordvenster met citaten uit de nepartikelen van WKNA News, naast een niet-gerelateerd, echt ABC News-artikel over een rabiësslachtoffer in Ohio dat als 'bewijs' werd gebruikt . Brave's AI-zoekfunctie trapte in dezelfde hoax en gaf het verzonnen verhaal weer .

Beide AI-systemen namen de geplante content van Reddit en de nepsite op en presenteerden deze als waarheid, omdat het verhaal uit meerdere bronnen leek te komen .

Waarom het werkte: de WARP-aanval van Cornell Tech

Een preprint van onderzoekers van Cornell Tech (Tingwei Zhang, Harold Trieu en collega's), in mei 2026 op arXiv geplaatst, verklaart precies de kwetsbaarheid die r/poisonai uitbuitte . Het paper — getiteld 'Deep-Research Agents Can Be Poisoned via User-Generated Content' — introduceerde een aanval genaamd WARP (Web Agent Retrieval Poisoning) .

Belangrijke bevindingen uit het onderzoek:

• Een enkele passage van ongeveer 13 woorden die in een door gebruikers gegenereerde pagina (Reddit, Wikipedia, Quora) wordt geplaatst, is voldoende om een deep-research AI-agent naar door de aanvaller gekozen content te sturen .
• Verzonnen producten verschenen in 38 tot 62% van de AI-gegenereerde antwoorden wanneer de gemanipuleerde tekst over meerdere threads was verspreid . In een test zorgde een zin van 15 woorden die een verzonnen cryptomunt genaamd 'BananaCoin' promootte, in een enkele Reddit-thread ervoor dat AI-agenten deze als echt aanbevolen, waarbij ze de gemanipuleerde post zelf als bron aanhaalden .
• Deep-research agenten halen 17 tot 23% van alle webpagina's van door gebruikers gegenereerde content-sites, wat een geconcentreerd aanvalsoppervlak creëert . Een tegenstander die een enkele veelgebruikte UGC-pagina manipuleert, kan de resultaten voor veel gerelateerde queries beïnvloeden .

Het directe verband

De r/poisonai-campagne is een praktische demonstratie van de exacte kwetsbaarheid die het Cornell Tech-paper beschrijft. De subreddit maakte gebruik van hetzelfde mechanisme: AI-zoekagenten die op grote schaal door gebruikers gegenereerde content opnemen en vertrouwen, zonder onderscheid te maken tussen gezaghebbende bronnen . Omdat AI-onderzoeksagenten Reddit, sites met een lage geloofwaardigheid en forums in ongeveer de helft van alle queries als bronnen gebruiken, creëerde een gecoördineerde zaai-campagne over meerdere threads de schijn van consensus, die de AI behandelde als bevestiging .

Het incident bewijst dat de bevinding van Cornell Tech geen laboratoriumartefact is: dezelfde techniek met 13 woorden, opgeschaald met meerdere threads en een 'pink slime'-site, heeft productie-AI-systemen die door miljoenen mensen worden gebruikt, succesvol gecompromitteerd .

Het aanhoudende probleem

De hoax slaagde omdat AI-zoekmachines niet betrouwbaar onderscheid kunnen maken tussen echte gebruikersdiscussies en gecoördineerde desinformatiecampagnes, vooral wanneer valse content wordt gedeeld op meerdere, ogenschijnlijk onafhankelijke bronnen . De WKNA News-site host nog steeds de verzonnen artikelen, wat aantoont hoe persistent deze gemanipuleerde content in de geïndexeerde web is . Zowel DuckDuckGo als Brave hebben het incident erkend, maar de onderliggende kwetsbaarheid — AI-agenten die door gebruikers gegenereerde content als gezaghebbend beschouwen — blijft op architectuurniveau ongepatcht .

Hoe de hoax in elkaar zat

De r/poisonai-campagne bouwde drie lagen van vals bewijs die eruitzagen als een legitieme nieuwsgebeurtenis:

• Tientallen verzonnen rouwberichten op Reddit verspreid over meerdere threads, waardoor de indruk ontstond van wijdverbreide discussie en verdriet .
• Nep-screenshots van Truth Social (Trumps eigen sociale platform), die eruitzagen als officiële berichten van de president .
• WKNA News, een 'pink slime'-site die zich voordeed als een legitieme lokale nieuwszender in West Virginia . De site publiceerde meerdere verzonnen artikelen met data van 9 tot 22 juni 2026, met koppen als 'Rabies awareness emphasized following death of JD Vance' en 'Questions surrounding death of J.D. Vance and White House illness' . De AI noemde deze pagina's als geloofwaardige bronnen .

Welke AI-systemen werden misleid

DuckDuckGo's AI Search Assist-functie (Duck.ai) vertelde gebruikers vol vertrouwen dat Trump op 7 juni 2026 aan hondsdolheid was overleden en dat Vance hem was voorgegaan in de dood . Het produceerde een vol antwoordvenster met citaten uit de nepartikelen van WKNA News, naast een niet-gerelateerd, echt ABC News-artikel over een rabiësslachtoffer in Ohio dat als 'bewijs' werd gebruikt . Brave's AI-zoekfunctie trapte in dezelfde hoax en gaf het verzonnen verhaal weer .

Beide AI-systemen namen de geplante content van Reddit en de nepsite op en presenteerden deze als waarheid, omdat het verhaal uit meerdere bronnen leek te komen .

Waarom het werkte: de WARP-aanval van Cornell Tech

Een preprint van onderzoekers van Cornell Tech (Tingwei Zhang, Harold Trieu en collega's), in mei 2026 op arXiv geplaatst, verklaart precies de kwetsbaarheid die r/poisonai uitbuitte . Het paper — getiteld 'Deep-Research Agents Can Be Poisoned via User-Generated Content' — introduceerde een aanval genaamd WARP (Web Agent Retrieval Poisoning) .

Belangrijke bevindingen uit het onderzoek:

• Een enkele passage van ongeveer 13 woorden die in een door gebruikers gegenereerde pagina (Reddit, Wikipedia, Quora) wordt geplaatst, is voldoende om een deep-research AI-agent naar door de aanvaller gekozen content te sturen .
• Verzonnen producten verschenen in 38 tot 62% van de AI-gegenereerde antwoorden wanneer de gemanipuleerde tekst over meerdere threads was verspreid . In een test zorgde een zin van 15 woorden die een verzonnen cryptomunt genaamd 'BananaCoin' promootte, in een enkele Reddit-thread ervoor dat AI-agenten deze als echt aanbevolen, waarbij ze de gemanipuleerde post zelf als bron aanhaalden .
• Deep-research agenten halen 17 tot 23% van alle webpagina's van door gebruikers gegenereerde content-sites, wat een geconcentreerd aanvalsoppervlak creëert . Een tegenstander die een enkele veelgebruikte UGC-pagina manipuleert, kan de resultaten voor veel gerelateerde queries beïnvloeden .

Het directe verband

De r/poisonai-campagne is een praktische demonstratie van de exacte kwetsbaarheid die het Cornell Tech-paper beschrijft. De subreddit maakte gebruik van hetzelfde mechanisme: AI-zoekagenten die op grote schaal door gebruikers gegenereerde content opnemen en vertrouwen, zonder onderscheid te maken tussen gezaghebbende bronnen . Omdat AI-onderzoeksagenten Reddit, sites met een lage geloofwaardigheid en forums in ongeveer de helft van alle queries als bronnen gebruiken, creëerde een gecoördineerde zaai-campagne over meerdere threads de schijn van consensus, die de AI behandelde als bevestiging .

Het incident bewijst dat de bevinding van Cornell Tech geen laboratoriumartefact is: dezelfde techniek met 13 woorden, opgeschaald met meerdere threads en een 'pink slime'-site, heeft productie-AI-systemen die door miljoenen mensen worden gebruikt, succesvol gecompromitteerd .

Het aanhoudende probleem

De hoax slaagde omdat AI-zoekmachines niet betrouwbaar onderscheid kunnen maken tussen echte gebruikersdiscussies en gecoördineerde desinformatiecampagnes, vooral wanneer valse content wordt gedeeld op meerdere, ogenschijnlijk onafhankelijke bronnen . De WKNA News-site host nog steeds de verzonnen artikelen, wat aantoont hoe persistent deze gemanipuleerde content in de geïndexeerde web is . Zowel DuckDuckGo als Brave hebben het incident erkend, maar de onderliggende kwetsbaarheid — AI-agenten die door gebruikers gegenereerde content als gezaghebbend beschouwen — blijft op architectuurniveau ongepatcht .