Inversietaalmodel: hoe AI tekst terugleest uit cijfers

Bijgewerkt: 12 augustus 2026 · 5 min leestijd

Stel je voor: een politietekenaar die, zonder ooit de dader te hebben gezien, toch een herkenbaar portret tekent — puur op basis van een reeks getallen die iemand anders over die persoon heeft genoteerd. Zoiets doet een inversietaalmodel, maar dan met tekst in plaats van gezichten. Het is een gespecialiseerd AI-model dat probeert de oorspronkelijke tekst te reconstrueren uit de 'digitale vingerafdruk' die een ander taalmodel daarvan heeft achtergelaten, zoals een reeks cijfers (een zogeheten embedding) of de kansen die een model toekent aan mogelijke volgende woorden.

Dat klinkt abstract, maar het raakt de kern van hoe moderne AI-systemen werken. Taalmodellen zetten tekst voortdurend om in getallen om er iets mee te kunnen rekenen — voor zoekmachines, chatbots of aanbevelingssystemen. Lange tijd namen ontwikkelaars aan dat die getallen op zichzelf onschuldig zijn: je kunt er niet zomaar de oorspronkelijke zin uit terughalen. Onderzoek naar inversietaalmodellen laat zien dat die aanname vaak niet klopt, met gevolgen voor privacy en beveiliging van AI-systemen.

Wat is het precies?

Om te begrijpen wat een inversietaalmodel doet, moet je eerst weten wat een embedding is. Wanneer een taalmodel een zin verwerkt, zet het die om in een lijst getallen (een vector) die de betekenis van de tekst wiskundig vastlegt. Zinnen met een vergelijkbare betekenis krijgen vergelijkbare getallenreeksen. Dit soort embeddings wordt op grote schaal gebruikt, bijvoorbeeld om documenten te doorzoeken of om een chatbot relevante informatie te laten opzoeken (een techniek die 'retrieval-augmented generation' heet).

Een inversietaalmodel draait dit proces om: het krijgt alleen de getallenreeks te zien en probeert daaruit, stap voor stap, de tekst te reconstrueren die tot die reeks heeft geleid. Dat gebeurt meestal niet in één keer, maar iteratief: het model doet een eerste gok, vergelijkt de embedding van die gok met de originele embedding, en past de tekst steeds verder aan totdat beide zo goed mogelijk overeenkomen. Onderzoekers noemden dit proces 'gecontroleerde generatie via correctie'.

Er bestaat ook een tweede variant, die niet uitgaat van embeddings maar van de kansverdeling die een taalmodel produceert over het volgende woord (of preciezer: het volgende 'token', een stukje tekst waarin het model taal opknipt). Uit die kansen — vaak 'logprobabilities' of logprobs genoemd — blijkt verrassend veel informatie te zitten over de tekst die het model zojuist heeft gelezen, inclusief verborgen instructies die een gebruiker normaal nooit te zien krijgt.

Wat wil men ermee bereiken?

Onderzoekers ontwikkelen inversietaalmodellen om twee redenen, die nauw met elkaar verweven zijn. De eerste is defensief: door aan te tonen dat embeddings of modeluitvoer meer informatie lekken dan gedacht, dwingen onderzoekers bedrijven om hun systemen beter te beveiligen. Dit soort werk valt onder wat wel 'red teaming' heet: bewust kwetsbaarheden opsporen voordat kwaadwillenden dat doen.

De tweede reden is privacy-onderzoek in bredere zin. AI-modellen worden getraind op enorme hoeveelheden tekst, soms inclusief persoonlijke gegevens die per ongeluk zijn meegenomen. Inversietechnieken helpen onderzoekers en toezichthouders te begrijpen hoeveel van die trainingsdata een model onbedoeld heeft 'onthouden' en zou kunnen prijsgeven — een risico dat relevant is voor wetgeving zoals de AVG (privacywetgeving) en de Europese AI-verordening.

Daarnaast speelt praktisch belang mee: veel bedrijven bieden embeddings aan via een API (een interface waarmee andere software erbij kan), bijvoorbeeld voor zoekfuncties in eigen applicaties. Als blijkt dat die embeddings te herleiden zijn tot de originele, mogelijk gevoelige tekst — denk aan medische notities of interne bedrijfsdocumenten — dan verandert dat de risicoafweging voor wie zulke diensten gebruikt.

Voorbeelden uit de praktijk

Het bekendste voorbeeld is Vec2Text, gepresenteerd in 2023 door onderzoekers van Cornell University (John X. Morris en collega's). Zij lieten zien dat embeddings van OpenAI's toen veelgebruikte model text-embedding-ada-002 met een apart getraind taalmodel voor een groot deel konden worden teruggerekend naar de oorspronkelijke zinnen, soms vrijwel woordelijk. Dit was voor veel mensen in de sector een eye-opener, omdat embeddings tot dan toe als relatief veilig werden beschouwd.

Dezelfde onderzoeksgroep publiceerde kort daarna werk over promptreconstructie: door alleen te kijken naar de kansen die een taalmodel toekent aan mogelijke volgende woorden, konden zij verborgen systeeminstructies (de 'prompt' die een chatbot onzichtbaar meekrijgt van de bouwer) met aanzienlijk succes reconstrueren.

Los van embeddings is er het aanverwante fenomeen van training data-extractie. Onderzoekers rond Nicholas Carlini (destijds verbonden aan Google) lieten in 2021 zien dat het taalmodel GPT-2 onder specifieke omstandigheden losse fragmenten van zijn trainingsdata woordelijk kon reproduceren, waaronder namen, e-mailadressen en telefoonnummers die toevallig in de trainingsset hadden gestaan.

De term 'model inversion' zelf is ouder en komt oorspronkelijk niet uit de taalmodel-wereld: onderzoekers als Matt Fredrikson toonden rond 2015 al aan dat je uit een gezichtsherkenningsmodel een herkenbare, gemiddelde afbeelding van iemands gezicht kon reconstrueren, puur op basis van hoe het model op verschillende invoerbeelden reageerde. Het werk aan taalmodellen bouwt voort op dat idee, toegepast op tekst in plaats van beeld.

Hoe ver is de techniek?

Inversie van embeddings en logprobs is een actief en relatief jong onderzoeksveld: de kernpublicaties dateren van 2023 en 2024. De resultaten zijn indrukwekkend voor de modellen die destijds zijn getest, maar de mate van succes hangt sterk af van het specifieke model, de lengte van de tekst en hoeveel toegang de aanvaller heeft (bijvoorbeeld: kan hij de embedding-API onbeperkt bevragen, of maar een paar keer).

Een belangrijke kanttekening is dat dit veld snel verandert. Aanbieders van embeddingdiensten reageren op dit soort onderzoek door bijvoorbeeld minder gedetailleerde informatie terug te geven (zoals afgeronde in plaats van exacte kansen), of door toegang tot ruwe embeddings te beperken. Daardoor is niet gegarandeerd dat een aanval die in 2023 goed werkte, in 2026 nog even effectief is tegen de nieuwste modellen — en andersom kunnen nieuwe aanvalstechnieken weer verder gaan dan wat hier beschreven is. Voor lezers is het belangrijk te beseffen dat concrete succespercentages uit onderzoekspapers snel verouderen en dat dit een kat-en-muisspel is tussen aanvals- en verdedigingsonderzoek.

Een ander obstakel is dat de meeste gepubliceerde technieken zijn getest in gecontroleerde onderzoeksomstandigheden, vaak met open of goed gedocumenteerde modellen. Hoe goed vergelijkbare aanvallen werken tegen de nieuwste, grote commerciële systemen — die vaak extra beveiligingslagen hebben — is minder goed gedocumenteerd in open literatuur.

Wie werken eraan?

Het onderzoek naar inversietaalmodellen wordt vooral gedreven door universitaire onderzoeksgroepen, met een prominente rol voor Cornell University (onder meer via onderzoekers als John X. Morris en Vitaly Shmatikov) en, voor het aanverwante werk aan training data-extractie, onderzoekers verbonden aan Google en later ook Carnegie Mellon University, waar Matt Fredrikson het oorspronkelijke concept van model inversion mee ontwikkelde.

Grote AI-bedrijven zoals OpenAI, Google DeepMind en Microsoft Research volgen dit werk actief, deels omdat hun eigen embedding- en taalmodeldiensten er rechtstreeks door worden geraakt, en zetten het soms in bij intern red-teaming van hun producten. Op beleidsniveau besteedt het Amerikaanse standaardisatie-instituut NIST aandacht aan dit soort aanvallen in zijn taxonomie van kwetsbaarheden in AI-systemen (adversarial machine learning), waarin model inversion wordt genoemd naast verwante risico's als membership inference (kunnen achterhalen of specifieke data in de trainingsset zat) en data-extractie. Ook internationale beleidsorganen zoals de OESO, via het OECD.AI-platform, volgen privacyrisico's van AI-systemen als onderdeel van bredere richtlijnen voor verantwoorde AI.