Kort samengevat: on-device LLM-risico via omnivore inference en vanuit de browser bereikbare lokale endpoints
- De privacymythe: Productmarketing verkoopt on-device inference als privacywinst omdat de prompt nooit de cloud raakt. De werkelijkheid is een omnivoor model met toegang tot het bestandssysteem, het klembord, de browser en tools, dat één prompt injection verwijderd is van een operator worden binnen je device.
- De blootstelling: Chrome downloadde in mei 2026 stilletjes een Gemini Nano-model van ongeveer 4GB naar devices zonder duidelijke toestemmingsprompt, prompt injection staat op LLM01 in de OWASP Top 10 voor LLM Applications, en cside client-side security monitort welke third-party scripts en extensies vanuit de browser een lokaal model-endpoint kunnen bereiken.
- Zet de grenzen: Als je lokale AI-uitrol geen expliciete permissies, minimale telemetrie, netwerkisolatie van het model-endpoint en zicht op browserscripts heeft, lever je een geprivilegieerd lokaal proces met een publieke voordeur. Zet de grenzen voordat het model achtergrondinfrastructuur wordt.
Weinig tijd? Bekijk cside's in-browser Magecart- en skimmerblokkering. Dit dekt alles hieronder in één deployment.
AI-inference op het apparaat komt terecht in besturingssystemen, browsers en productiviteitstools. Dat verandert het securitymodel. Gevoelige data kan dichter bij de gebruiker blijven, maar het model komt ook dichter bij bestanden, browserstatus, klembordinhoud en lokale systeemtools.
Twee gebeurtenissen uit mei 2026 laten zien waarom dit nu belangrijk is. Securityonderzoeker Alexander Hanff meldde dat Google Chrome een Gemini Nano-model van ongeveer 4GB downloadde naar apparaten zonder duidelijke toestemmingsprompt. Rond dezelfde periode kregen Claude Desktop-browserintegraties kritiek, omdat lokale browserbruggen kunnen uitbreiden wat een AI-assistent kan bereiken.
On-device inference zelf is niet het probleem. Krachtige lokale modellen hebben dezelfde securitydiscipline nodig als elk geprivilegieerd lokaal proces: expliciete permissies, strikte inputgrenzen, controleerbare telemetrie en zichtbaarheid in de browserlaag.
Wat omnivore inference verandert
"Omnivore inference" is een nuttige term voor dit probleem. Lokale modellen worden waardevol omdat ze meer context kunnen verwerken: bestanden, klemborddata, browsergeschiedenis, zichtbare pagina-inhoud, lopende processen en apparaatstatus.
Die context maakt de assistent nuttig. Ze maakt de assistent ook een doelwit van hoge waarde.
Wanneer een lokaal model met brede permissies draait, hoeft een aanvaller de databron niet meer direct te stelen. Hij kan proberen het model te sturen om de data voor hem te lezen, samen te vatten, te transformeren of te versturen.
De browser is het voor de hand liggende ingangspunt
De browser is waar veel onbetrouwbare input samenkomt met geprivilegieerde lokale tooling. Een kwaadaardige pagina, gecompromitteerde browserextensie of third-party script dat via een supply-chain-aanval wordt geladen, kan allemaal input voor het model worden.
Als een lokale LLM een lokaal endpoint of browserbrug blootstelt zonder sterke autorisatie, wordt willekeurige client-side JavaScript een risico. Een script kan proberen het model te bevragen, het vragen om gevoelige lokale context samen te vatten, of het richting een toolcall duwen die de gebruiker nooit bedoelde.
Daarom hoort client-side security bij het securityverhaal van lokale AI. Securityteams moeten weten welke scripts in de browser draaien, wat ze laden, en of ze gedrag vertonen buiten hun verwachte rol.
Waarom promptinjectie lokaal een grotere impactradius heeft
Promptinjectie is het hoogst gerangschikte risico in de OWASP Top 10 for LLM Applications. In een cloudchatbot kan een succesvolle injectie output manipuleren, toegankelijke context lekken of policycontrols omzeilen.
Bij een lokaal model kan de impact groter zijn. Als het model toegang heeft tot het bestandssysteem, de browser, command execution of netwerktools, verschuift de aanval van "wat kan het model zeggen?" naar "wat kan het model doen?".
Tooltoegang maakt van het model een operator
Tooltoegang is de grens die telt. Een bestand lezen, een HTTP-verzoek sturen, in een browser klikken of een command uitvoeren verandert het model van tekstgenerator in operator.
Een geïnjecteerde instructie hoeft het besturingssysteem niet rechtstreeks te misbruiken. Ze hoeft alleen een vertrouwde modelinterface te bereiken die al toestemming heeft om te handelen.
Het eigen Mythos Preview-materiaal van Anthropic toont zowel de defensieve belofte als het risico. Project Glasswing is opgebouwd rond het gebruik van Mythos-klasse redenering om ernstige kwetsbaarheden te vinden en te verhelpen. Tegelijkertijd heeft Anthropic aangegeven dat een sterkere capaciteit om kwetsbaarheden te patchen ook een sterkere exploitatiecapaciteit impliceert. Berichtgeving over Mythos-tests beschreef autonome exploit chaining onder gecontroleerde omstandigheden, inclusief browser- en sandbox-escape-werk.
Niet elk lokaal model verandert in een exploitplatform, maar permissiegrenzen worden belangrijker naarmate de capaciteit toeneemt.
Hoe telemetrie van lokale LLMs nog steeds gevoelige data kan lekken
On-device inference wordt vaak neergezet als privacywinst. De ruwe prompt, het bestand of het document hoeft niet naar een cloudmodel-endpoint te reizen. Voor teams in de zorg, juridische sector, finance en enterprise engineering is dat een echt voordeel.
Maar lokaal betekent niet stil.
Telemetrie, diagnostische logs, modelprestatiemetingen, updatechecks, crashrapporten en integratiemetadata kunnen het apparaat nog steeds verlaten. Deze stromen worden vaak behandeld als operationele data, niet als gevoelige data.
De schaduw van lokale inference
Een model dat privédocumenten of coderepositories leest, kan gevoelige sporen produceren, zelfs wanneer ruwe prompts lokaal blijven. Foutmeldingen kunnen fragmenten bevatten. Gebruikspatronen kunnen activiteit onthullen. Diagnostische payloads kunnen bestandsnamen, extensiestatus, promptcategorieën of modelroutingdata bevatten.
Lokale inference-tools zijn al onder de loep genomen vanwege gebruikstelemetrie en privacydefaults. Voor gereguleerde teams heeft telemetrie classificatie, retentiecontroles en een auditpad nodig. Het kan niet worden behandeld als onschuldige bijvangst.
De privacywinst is nog steeds echt
On-device inference lost een echt probleem op. Gevoelige data hoeft niet voor elke taak naar een third-party inference-API te worden gestuurd. Dat vermindert blootstelling aan cloudretentiebeleid, compromittering aan de kant van de provider, diefstal van API-credentials en onderschepping van modelverkeer.
Voor securityproducten creëert dit een krachtige ontwerpoptie. Een lokaal model kan code, scripts, browseractiviteit en endpointgedrag inspecteren zonder elk artefact naar een leverancier te sturen.
Het privacymodel is sterk wanneer de implementatie gedisciplineerd is. Het valt uiteen wanneer downloads stilletjes gebeuren, integraties installeren zonder duidelijke gebruikersintentie, de telemetriescope vaag is, of lokale endpoints bereikbaar zijn vanuit onbetrouwbare browsercontent.
Wat endpointsecurity met LLMs kan doen
On-device inference opent ook een defensieve route die traditionele endpointtools moeilijk kunnen evenaren. Signatuursystemen detecteren bekende patronen. Heuristiek markeert verdachte kenmerken. Beide kunnen nieuwe, verhulde of meerstapsaanvallen missen.
Een lokaal model dat code begrijpt, kan redeneren over intentie. Het kan een script inspecteren en vragen wat het script probeert te bereiken, niet alleen of het overeenkomt met een bekende indicator.
| Mogelijkheid | Traditionele AV/EDR | Endpointsecurity met LLM |
|---|---|---|
| Detectie van nieuwe malware | Afhankelijk van signatures | Semantisch codebegrip |
| Analyse van verhulde scripts | Beperkte heuristiek | Redenering op intentieniveau |
| Meerstapsaanvalsketens | Analyse per event | Analyse op sequentieniveau |
| Zero-day-ontdekking | Grotendeels reactief | Proactief redeneren over gedrag |
| Omgaan met false positives | Regels afstellen | Contextbewuste triage |
Dit is de goede versie van dezelfde architectuur. Een lokaal securitymodel kan browserextensies inspecteren voordat ze worden uitgevoerd, third-party scripts analyseren tijdens runtime, en gedrag markeren dat lijkt op credential harvesting of data-exfiltratie.
Het verschil tussen een defensieve agent en een extractietool zit in de trust boundary rond input, tools en output.
Controls die securityteams moeten eisen
On-device inference heeft een securitymodel nodig voordat het achtergrondinfrastructuur wordt.
- Expliciete permissies. Lokale modellen mogen geen standaardtoegang krijgen tot bestanden, klemborddata, browsercontent of processtatus. Permissies moeten zichtbaar, granulair en intrekbaar zijn.
- Sterke controles op de modelinterface. Behandel elke modelinput als potentieel kwaadaardig. Verdediging tegen promptinjectie hoort thuis op de interface- en toollaag, niet alleen binnen de modelprompt.
- Telemetrielimieten. Houd telemetrie minimaal, gedocumenteerd en auditable. Sta niet toe dat diagnostische payloads gebruikersdata, bestandsinhoud of gevoelige lokale context bevatten.
- Netwerkisolatie. Lokale model-endpoints mogen niet bereikbaar zijn vanuit willekeurige browserverzoeken. Het lokale endpoint is geen publieke API.
- Zichtbaarheid van browserscripts. Monitor de third-party scripts, extensies en geïnjecteerde content die kunnen interageren met lokale AI-tooling. Als je de browserruntime niet kunt vertrouwen, kun je geprivilegieerde lokale modellen er niet veilig aan blootstellen.
Hoe cside past
cside monitort de browserruntime: de scripts die laden, de code die wordt uitgevoerd, de domeinen die ze contacteren en het gedrag dat verandert na deployment. Dat is belangrijk omdat de browser een van de meest waarschijnlijke plekken is waar lokale AI-tooling onbetrouwbare input tegenkomt.
Voor teams die on-device AI inzetten of evalueren, helpt cside client-side security om de operationele vraag te beantwoorden: wat gebeurt er werkelijk in de browser voordat het een geprivilegieerd lokaal model, checkoutflow, loginformulier of gevoelige gebruikerssessie bereikt?
On-device inference zal securitytools verbeteren. Het zal ook nieuwe aanvalsroutes creëren. De uitkomst hangt af van de vraag of teams permissiegrenzen en runtimezichtbaarheid bouwen voordat lokale modellen weer een onzichtbare afhankelijkheid worden.
