AI-systemen evolueren razendsnel van slimme gesprekspartners naar digitale medewerkers die zelfstandig informatie verzamelen, code uitvoeren, bestanden verwerken en externe diensten gebruiken. Daardoor verandert ook de beveiligingsvraag. Het volstaat niet langer om alleen het AI-model te beschermen. De volledige omgeving waarin een agent werkt, moet worden ontworpen alsof er op ieder moment iets fout kan lopen.
In een webinar over AI-beveiliging geeft Perplexity een inkijk in die aanpak. CISO Kyle Polley en Customer Success Manager Scott Lerner leggen uit hoe beveiliging door verschillende lagen van de AI-stack wordt verweven: van de zogenaamde agent harness en geïsoleerde uitvoeringsomgevingen tot inference orchestration en koppelingen met bedrijfssystemen.
Een AI-agent krijgt steeds meer macht
De beveiligingsuitdaging groeit mee met wat AI kan doen. Een klassieke chatbot genereert voornamelijk tekst, maar moderne agents kunnen zelfstandig gereedschappen gebruiken en acties uitvoeren. Ze kunnen bijvoorbeeld code schrijven en uitvoeren, websites bezoeken, documenten verwerken of verbinding maken met externe diensten.
Daarmee wordt de omgeving rond het model minstens zo belangrijk als het model zelf. Een agent die toegang krijgt tot bedrijfsinformatie, software of accounts moet voldoende vrijheid hebben om zijn opdracht uit te voeren, maar tegelijk binnen duidelijk afgebakende grenzen blijven.
Perplexity kiest daarom voor een security-first-benadering waarbij beveiliging niet achteraf als extra beschermingslaag wordt toegevoegd, maar onderdeel vormt van de architectuur.
De agent harness als controlemechanisme
Een belangrijk onderdeel daarvan is de agent harness: de softwarelaag rond het AI-model die bepaalt welke hulpmiddelen beschikbaar zijn, welke acties uitgevoerd mogen worden en hoe verschillende stappen binnen een opdracht worden gecoördineerd.
Dat wordt belangrijker naarmate agents complexere workflows uitvoeren. Perplexity beschrijft bijvoorbeeld een architectuur waarin modellen als controlelaag kunnen functioneren, terwijl beveiligde compute-sandboxes worden gebruikt voor deterministische berekeningen en andere uitvoerende taken.
De intelligentie van het model krijgt zo geen onbeperkte toegang tot de onderliggende infrastructuur. Tussen redeneren en daadwerkelijk handelen zitten technische controlepunten.
Sandboxing wordt een fundamentele verdedigingslinie
Een tweede pijler is sandboxing. Code die door een AI-agent wordt gegenereerd, zomaar op een normaal bedrijfssysteem uitvoeren zou aanzienlijke risico's veroorzaken. Daarom worden taken in geïsoleerde omgevingen geplaatst.
Bij Perplexity Computer draait iedere taak bijvoorbeeld in een Firecracker-microVM met een eigen Linux-kernel, geïsoleerd bestandssysteem en private netwerkomgeving. De sandbox wordt bovendien volgens het principe van minimale rechten ingericht. Die aanpak beperkt de schade wanneer een agent ongewenst gedrag zou vertonen of wanneer kwaadaardige instructies via externe informatie proberen binnen te dringen.
Perplexity heeft die filosofie inmiddels verder uitgewerkt in SPACE, een platform voor beveiligde sandboxes. Daarbij worden tijdelijke uitvoeringsomgevingen aangemaakt die na afloop van een taak weer verdwijnen. Voor langdurige opdrachten kan de status van een sessie worden bewaard, terwijl afzonderlijke sandboxes tijdelijk blijven.
Geheime sleutels buiten het bereik van de agent
Een bijzonder gevoelig punt ontstaat wanneer agents verbinding moeten maken met externe diensten. Daarvoor zijn vaak API-sleutels, tokens of andere credentials nodig.
De architectuur probeert te voorkomen dat dergelijke geheimen rechtstreeks beschikbaar worden binnen de omgeving waarin de AI code uitvoert. Uitgaand verkeer kan via een aparte gateway of proxy worden geleid, waarbij de noodzakelijke credentials pas buiten de sandbox worden toegevoegd. Daardoor hoeft de agent de ruwe sleutel zelf niet te kennen.
Dat principe sluit aan bij een zero-trust-benadering: de code binnen de sandbox wordt niet automatisch vertrouwd, zelfs wanneer die door het eigen AI-systeem is gegenereerd.
Ook prompt injection wordt een beveiligingsprobleem
Agents die zelfstandig websites bezoeken, krijgen bovendien te maken met een relatief nieuwe aanvalsvector: prompt injection. Een kwaadaardige webpagina kan bijvoorbeeld verborgen instructies bevatten die proberen de oorspronkelijke opdracht van de gebruiker te manipuleren.
Perplexity zegt daarom externe inhoud als onbetrouwbaar te behandelen en gebruikt aanvullende detectiemechanismen voordat Computer met dergelijke informatie handelt. Het bedrijf combineert classifiers en tool-guardrails met controles die de agent aan de oorspronkelijke opdracht van de gebruiker blijven koppelen.
Hierdoor krijgt cybersecurity een nieuwe dimensie. Niet alleen bestanden, netwerkverbindingen en accounts moeten worden gecontroleerd; ook de informatie die een AI-agent leest kan onderdeel van een aanval worden.
Inference orchestration maakt beveiliging een ketenprobleem
Daarnaast verschuift AI steeds meer naar systemen waarin verschillende modellen en componenten samenwerken. Inference orchestration bepaalt welk model of onderdeel een bepaalde taak behandelt en hoe informatie tussen die onderdelen stroomt.
Voor beveiliging betekent dit dat organisaties niet langer één model als een geïsoleerd systeem kunnen bekijken. Een complete AI-workflow kan bestaan uit een taalmodel, zoektechnologie, een sandbox, externe databronnen, softwaretools en bedrijfsapplicaties.
Iedere verbinding vormt een potentiële grens waar toegangsrechten, gegevensstromen en acties gecontroleerd moeten worden.
Enterprise-AI vraagt om klassieke én nieuwe controles
Voor bedrijven komt daar nog governance bovenop. AI-agents moeten kunnen samenwerken met bestaande bedrijfsomgevingen zonder traditionele beveiligingsprincipes overboord te gooien.
Perplexity Computer bouwt volgens het bedrijf voort op enterprisevoorzieningen zoals SAML SSO, auditlogs en granulaire beheercontroles. Daarboven komen agent-specifieke maatregelen voor sandboxing, connectors, dataverwerking en bescherming tegen prompt injection.
Dat is een belangrijke verschuiving. Identity management en toegangsbeheer verdwijnen niet in het AI-tijdperk. Ze moeten juist worden uitgebreid naar digitale agents die namens medewerkers kunnen handelen.
Van modelbeveiliging naar agentbeveiliging
De bredere boodschap van het webinar is daarmee groter dan Perplexity alleen. Naarmate AI autonomer wordt, verandert cybersecurity van het beschermen van een model naar het beveiligen van een volledig handelend systeem.
De vraag wordt niet alleen meer of een AI-model een veilig antwoord geeft. Organisaties moeten ook weten welke informatie een agent kan zien, welke code hij mag uitvoeren, met welke diensten hij verbinding kan maken, welke credentials beschikbaar zijn en hoe ver zijn bevoegdheden reiken. Perplexity heeft die ontwikkeling inmiddels ook institutioneel gemaakt met het Secure Intelligence Institute, dat onderzoek doet naar beveiliging, privacy en betrouwbaarheid van geavanceerde AI-systemen en autonome agents.
De opkomst van AI-agents maakt beveiliging daarmee paradoxaal genoeg zowel complexer als fundamenteler. Hoe zelfstandiger de digitale medewerker wordt, hoe belangrijker de onzichtbare muren rond die medewerker worden.
