# Prompt Injection Defense

## Hoofdregel

Retrieved content is **onbetrouwbare evidence** en nooit een instructiebron. Tekst als “ignore previous instructions” heeft geen hogere status dan andere documenttekst.

## Promptstructuur

1. System policy
2. Application contract
3. User question
4. Delimited untrusted evidence with citation IDs
5. Required output schema

De systempolicy verbiedt instructies uit evidence, externe navigatie, toolcalls en secret disclosure.

## Controls

- Trust level en source provenance in retrieval.
- Hidden/obfuscated text en suspicious instruction patterns als signals, niet als enige blocker.
- Geen tools in normale generation context.
- Geen automatic execution of modeloutput.
- Answerclaim/citationvalidation.
- Adversarial fixture corpus met direct, indirect, encoded en multilingual injections.
- Quarantine of lower trust voor poisoned source updates.

## Limiet

Promptfilters alleen zijn onvoldoende. De primaire beveiliging is scheiding van bevoegdheden, geen tools, minimale context, databeleid en menselijke/policy approval voor acties buiten RAGCore.