AI-agenten krijgen instructies, veiligheidsregels en duidelijke grenzen mee. Toch blijkt in de praktijk dat ze soms precies datgene doen wat ontwikkelaars probeerden te voorkomen. Niet noodzakelijk omdat ze de regels bewust negeren, maar omdat ze redeneren over de opdracht en daarbij een andere weg kunnen vinden dan vooraf was voorzien.
Dat vormt een fundamenteel probleem voor de volgende generatie AI-systemen. Hoe meer autonomie een agent krijgt, hoe moeilijker het wordt om zijn gedrag volledig met instructies te controleren.
In de vijftigste aflevering van de podcast Security Intelligence wordt dat spanningsveld onderzocht. Centraal staat een ongemakkelijke vraag: wat betekenen regels eigenlijk voor software die geen eigen begrip heeft van goed en kwaad?
Een AI-agent is geen traditioneel computerprogramma
Bij klassieke software is de logica doorgaans deterministisch. Een programmeur schrijft voorwaarden en het systeem voert die uit. Wanneer A gebeurt, volgt B.
Generatieve AI werkt anders. Een AI-agent interpreteert een doel, analyseert beschikbare informatie en probeert vervolgens zelf een geschikte route naar het gewenste resultaat te vinden. Daarbij kunnen verschillende redeneringen tot verschillende acties leiden.
Juist die flexibiliteit maakt agents interessant. Ze hoeven niet voor iedere mogelijke situatie vooraf geprogrammeerd te worden. Maar dezelfde eigenschap maakt ze ook moeilijker te beveiligen.
Een regel zoals “voer deze actie nooit uit” is voor traditionele software een harde grens wanneer die technisch wordt afgedwongen. Voor een taalmodel kan dezelfde zin onderdeel zijn van een grotere verzameling instructies waarover het model redeneert. Daar ontstaat het probleem: Een agent kan een opdracht anders interpreteren dan de ontwerper had verwacht.
Regels zijn niet hetzelfde als grenzen
De discussie raakt daarmee aan een belangrijk onderscheid binnen AI-beveiliging: het verschil tussen probabilistische intelligentie en deterministische controle.
Een taalmodel is probabilistisch. Het voorspelt, interpreteert en redeneert. Een beveiligingssysteem moet daarentegen bij voorkeur voorspelbaar zijn. Een bepaalde actie is toegestaan of niet toegestaan. Daarom lijkt het steeds riskanter om belangrijke beveiligingsregels uitsluitend in prompts of systeemprompts onder te brengen.
Een agent kan bijvoorbeeld instructies krijgen om bepaalde bestanden nooit te openen of bepaalde gegevens nooit naar externe diensten te sturen. Maar wanneer dezelfde agent toegang heeft tot krachtige tools, API's, databases en externe systemen, wordt de vraag belangrijker of die beperkingen ook technisch worden afgedwongen.
De praktische beveiligingsregel wordt daardoor eenvoudig: Wat een AI-agent absoluut niet mag doen, zou hij technisch ook niet moeten kunnen doen.
AI heeft geen ingebouwd moreel kompas
Daarmee ontstaat ook een filosofischer probleem. Mensen begrijpen begrippen zoals verantwoordelijkheid, schade, toestemming en ethiek vanuit sociale en culturele context.
Software heeft dat intrinsieke begrip niet. Een AI-model kan uitgebreid uitleggen waarom een bepaalde handeling verkeerd is, maar dat betekent niet dat het op menselijke wijze begrijpt waarom die handeling verkeerd is. Het produceert gedrag op basis van training, context, instructies en technische beperkingen.
Dat maakt het gevaarlijk om veiligheid uitsluitend te baseren op de verwachting dat een model zich “verantwoordelijk” zal gedragen. De beveiliging moet daarom rondom de agent worden gebouwd. Denk aan beperkte toegangsrechten, sandboxing, authenticatie, logging, goedkeuringsmechanismen en harde controles voordat gevoelige acties daadwerkelijk worden uitgevoerd.
Agentic skills worden een nieuw aanvalsoppervlak
Een tweede probleem ontstaat bij de zogenaamde skills van AI-agenten.
Skills geven agents gespecialiseerde mogelijkheden. Ze kunnen bijvoorbeeld bestanden analyseren, websites raadplegen, code uitvoeren, databanken gebruiken of communiceren met externe diensten.
Dat maakt een agent aanzienlijk nuttiger, maar iedere nieuwe skill vergroot ook het aanvalsoppervlak. De OWASP-richtlijnen voor agentic skills laten volgens de podcast zien dat veel problemen opvallend vertrouwd klinken. Slechte toegangscontrole, onvoldoende validatie, onveilige afhankelijkheden en gebrekkige isolatie zijn geen nieuwe problemen die door AI zijn ontstaan.
Het zijn klassieke beveiligingsproblemen die nu opnieuw verschijnen in een agentische omgeving.
De skill-hub wordt de appstore van AI-agenten
Dat probleem kan groter worden wanneer organisaties skills beginnen uit te wisselen via centrale marktplaatsen of repositories.
Een medewerker hoeft dan niet langer zelf een integratie te programmeren. Een bestaande skill kan simpelweg aan een agent worden toegevoegd. Dat versnelt ontwikkeling enorm. Maar dezelfde eenvoud creëert een supply-chainrisico. Een kwaadaardige of slecht ontworpen skill kan toegang krijgen tot informatie of systemen die veel waardevoller zijn dan de ontwikkelaar oorspronkelijk had voorzien.
De beveiliging van AI-agenten verschuift daardoor van alleen het model naar het volledige ecosysteem rond dat model:
agent → skills → tools → API's → data → externe systemen.
Elke schakel kan een potentiële ingang vormen.
AI dreigt ook bug bounty-programma's te overspoelen
AI verandert ondertussen nog een ander onderdeel van cybersecurity: vulnerability research.
Modellen worden steeds beter in het analyseren van code, ontdekken van mogelijke kwetsbaarheden en automatisch schrijven van bugrapporten. Daardoor daalt de drempel om beveiligingsproblemen te zoeken drastisch.
Dat klinkt aanvankelijk positief. Meer gevonden kwetsbaarheden zouden immers tot veiligere software kunnen leiden. Maar er ontstaat een schaalprobleem. Bug bounty-programma's kunnen worden overspoeld met automatisch gegenereerde meldingen waarvan slechts een klein gedeelte daadwerkelijk relevant is.
Securityteams moeten vervolgens menselijke tijd besteden aan het beoordelen van enorme hoeveelheden AI-gegenereerde rapporten.
Het resultaat kan paradoxaal zijn: AI maakt vulnerability research productiever, terwijl tegelijkertijd het signaal tussen alle ruis moeilijker te vinden wordt.
De waarde van menselijke onderzoekers verandert
Dat hoeft niet noodzakelijk het einde van onafhankelijke securityonderzoekers te betekenen. Hun waarde kan juist verschuiven. Waar vroeger veel tijd nodig was om een potentiële kwetsbaarheid technisch te ontdekken, wordt menselijke expertise belangrijker bij het bepalen van de werkelijke impact.
Is een kwetsbaarheid daadwerkelijk exploiteerbaar? Welke systemen zijn getroffen? Welke aanvalsketen ontstaat wanneer verschillende problemen worden gecombineerd? En welke risico's verdienen onmiddellijk aandacht?
AI kan steeds meer technische patronen ontdekken. Context en beoordeling blijven daardoor mogelijk juist waardevoller.
Ook browserextensies verdienen meer aandacht
De podcast behandelt daarnaast ThreatXtension, een hulpmiddel dat is ontwikkeld om kwaadaardige browserextensies te detecteren.
Browserextensies zijn interessant vanuit beveiligingsperspectief omdat ze vaak uitgebreide rechten krijgen. Afhankelijk van de extensie kunnen ze webpagina's lezen, gegevens verwerken en interacties met websites beïnvloeden.
Wanneer organisaties steeds meer AI-tools, assistants en browseragents gebruiken, wordt ook die laag belangrijker. De browser verandert immers langzaam van een passief venster op het internet in een werkomgeving waarin AI-systemen zelfstandig informatie verzamelen en acties uitvoeren.
Een kwaadaardige extensie bevindt zich dan potentieel midden in die informatiestroom.
Van prompt engineering naar security engineering
De belangrijkste conclusie gaat daarom verder dan de vraag of AI-agenten “naar de regels luisteren”.
De ontwikkeling van agents dwingt organisaties om opnieuw na te denken over de architectuur van software.
Een betrouwbare agent ontstaat niet alleen door betere prompts te schrijven. Hij heeft een beveiligingslaag nodig waarin rechten, tools en acties expliciet worden gecontroleerd.In zo'n architectuur krijgt een agent bijvoorbeeld alleen toegang tot de minimale informatie die nodig is voor zijn taak. Gevoelige acties vereisen aanvullende toestemming. Tools worden geïsoleerd uitgevoerd. Activiteiten worden gelogd. Externe skills worden gecontroleerd voordat ze toegang krijgen tot bedrijfsomgevingen.
De intelligentie mag probabilistisch zijn.
De veiligheidsgrenzen hoeven dat niet te zijn.
Hoe autonomer de agent, hoe belangrijker de vangrails
AI-agenten zullen waarschijnlijk steeds meer verantwoordelijkheid krijgen. Ze zullen niet alleen informatie produceren, maar ook software aanpassen, transacties voorbereiden, databases raadplegen, berichten versturen en processen zelfstandig uitvoeren.
Daarmee verandert ook de centrale beveiligingsvraag. Het gaat niet langer alleen om: “Geeft het model een veilig antwoord?” De belangrijkere vraag wordt: “Wat kan dit systeem daadwerkelijk doen wanneer zijn redenering verkeerd gaat?” Dat verschil is essentieel.
De toekomst van veilige AI-agenten zal daarom waarschijnlijk minder afhangen van perfecte gehoorzaamheid en meer van goed ontworpen grenzen. Niet vertrouwen dat een agent nooit van het pad afwijkt, maar ervoor zorgen dat de gevolgen beheersbaar blijven wanneer dat toch gebeurt.
