In september 2025 maakte Anthropic bekend dat een door de staat gesponsorde dreigingsacteur een AI-coderingsagent gebruikte om een autonome cyberspionagecampagne uit te voeren tegen 30 mondiale doelen. De AI voerde 80-90% van de tactische operaties zelf uit, voerde verkenningen uit, schreef exploitcode en probeerde zijwaartse bewegingen met machinesnelheid uit te voeren.
Dit incident is zorgwekkend, maar er is een scenario dat beveiligingsteams nog meer zorgen zou moeten baren: een aanvaller die helemaal niet door de kill-keten hoeft te lopen, omdat hij een AI-agent heeft gecompromitteerd die al in jouw omgeving leeft. Eén die al de toegang, de machtigingen en een legitieme reden heeft om elke dag tussen uw systemen te gaan.
Een raamwerk gebouwd voor menselijke bedreigingen
De traditionele cyberkill-keten gaat ervan uit dat aanvallers elke centimeter toegang moeten verdienen. Het is een model dat in 2011 door Lockheed Martin is ontwikkeld om te beschrijven hoe tegenstanders van een aanvankelijk compromis naar hun uiteindelijke doel gaan, en het heeft vorm gegeven aan de manier waarop beveiligingsteams sindsdien over detectie denken.
De logica is simpel: aanvallers moeten een reeks stappen voltooien en verdedigers kunnen de keten op elk moment onderbreken. Elke fase die een aanvaller moet doorlopen, is een nieuwe kans om hem te vangen.
Een typische inbraak doorloopt verschillende fasen:
- Initiële toegang (uitbuiten van een kwetsbaarheid, enz.)
- Volharding zonder waarschuwingen te activeren
- Verkenning om de omgeving te begrijpen
- Zijwaartse beweging om waardevolle gegevens te bereiken
- Escalatie van bevoegdheden wanneer de toegang niet voldoende is
- Exfiltratie terwijl DLP-controles worden vermeden
Elke fase creëert detectiemogelijkheden: eindpuntbeveiliging kan de initiële lading opvangen, netwerkmonitoring kan ongebruikelijke laterale bewegingen opmerken, identiteitssystemen kunnen een escalatie van bevoegdheden signaleren en SIEM-correlaties kunnen afwijkend gedrag tussen systemen met elkaar verbinden. Hoe meer stappen een aanvaller zet, hoe groter de kans dat er een draad struikelt.
Dit is de reden waarom geavanceerde dreigingsactoren als LUCR-3 en APT29 zwaar investeren in stealth, waarbij ze wekenlang van het land leven en opgaan in het normale verkeer. Zelfs dan laten ze artefacten achter: ongebruikelijke inloglocaties, vreemde toegangspatronen, kleine afwijkingen van het basisgedrag. Deze artefacten zijn precies wat moderne detectiesystemen moeten vinden.
Het probleem hier is echter dat AI-agenten dit draaiboek niet echt volgen.
Wat een AI-agent al heeft
AI-agenten werken fundamenteel anders dan menselijke gebruikers. Ze werken op verschillende systemen, verplaatsen gegevens tussen applicaties en zijn continu actief. Als een aanvaller wordt gecompromitteerd, omzeilt hij de hele kill-keten; de agent zelf wordt de kill-keten.
Bedenk waartoe een AI-agent doorgaans toegang heeft. De activiteitengeschiedenis is een perfecte kaart van welke gegevens er bestaan en waar deze zich bevinden. Het haalt waarschijnlijk uit Salesforce, pusht naar Slack, synchroniseert met Google Drive en werkt ServiceNow bij als onderdeel van de normale workflow. Het kreeg bij de implementatie brede machtigingen, vaak toegang op beheerdersniveau voor meerdere applicaties, en het verplaatst al gegevens tussen systemen als onderdeel van zijn taak.
Een aanvaller die die agent compromitteert, erft alles onmiddellijk. Ze krijgen de kaart, de toegang, de machtigingen en een legitieme reden om gegevens te verplaatsen. Elke fase van de moordketen die beveiligingsteams jarenlang hebben leren detecteren? De agent slaat ze standaard allemaal over.
De dreiging speelt zich al af
De OpenClaw-crisis heeft ons laten zien hoe dit er in de praktijk uitziet:
Ongeveer 12% van de vaardigheden op de publieke markt was kwaadaardig. Een kritieke RCE-kwetsbaarheid maakte een compromis met één klik mogelijk. Meer dan 21.000 gevallen werden openbaar gemaakt. Maar het engerste deel was waartoe een gecompromitteerde agent toegang had zodra deze was verbonden met Slack en Google Workspace: berichten, bestanden, e-mails en documenten, met een permanent geheugen voor alle sessies.
Het grootste probleem is dat beveiligingstools zijn ontworpen om abnormaal gedrag te detecteren. Wanneer een aanvaller de bestaande workflow van een AI-agent gebruikt, ziet alles er normaal uit. De agent heeft toegang tot de systemen waartoe hij altijd toegang heeft, verplaatst de gegevens die hij altijd verplaatst en werkt op de tijdstippen waarop hij altijd actief is.
Dit is het detectiegat waarmee beveiligingsteams worden geconfronteerd.
Hoe Reco de zichtbaarheidskloof dicht
Verdedigen tegen gecompromitteerde AI-agents begint met weten welke agenten in uw omgeving actief zijn, waar ze verbinding mee maken en welke machtigingen ze hebben. De meeste organisaties hebben geen inventaris van de AI-agenten die in aanraking komen met hun SaaS-ecosysteem. Dit is precies het soort probleem waarvoor Reco is gebouwd.
Ontdek elke AI-agent in het spel
Reco’s Agentic AI Security ontdekt elke AI-agent, ingebedde AI-functie en AI-integratie van derden in uw SaaS-omgeving, inclusief schaduw-AI-tools die zijn verbonden zonder IT-goedkeuring.
Kaarttoegangsbereik en explosieradius in kaart brengen
Voor elke agent brengt Reco in kaart met welke SaaS-apps hij verbinding maakt, welke rechten hij heeft en tot welke gegevens hij toegang heeft. De SaaS-naar-SaaS-visualisatie van Reco laat precies zien hoe agenten integreren in uw applicatie-ecosysteem, waarbij giftige combinaties aan het licht komen waarbij AI-agenten systemen met elkaar verbinden via MCP-, OAuth- of API-integraties, waardoor er toestemmingsstoringen ontstaan die geen enkele applicatie-eigenaar zou autoriseren.
Markeer doelen, dwing de minste privileges af
Reco identificeert welke agenten uw grootste blootstelling vertegenwoordigen door het toestemmingsbereik, de systeemoverschrijdende toegang en de gegevensgevoeligheid te evalueren. Agenten die verband houden met opkomende risico’s worden automatisch gelabeld. Van daaruit helpt Reco u bij het op maat maken van de toegang via identiteits- en toegangsbeheer, waardoor direct wordt beperkt wat een aanvaller kan doen als een agent wordt gecompromitteerd.
Detecteer afwijkende agentactiviteit
De bedreigingsdetectie-engine van Reco past identiteitsgerichte gedragsanalyse toe op AI-agenten op dezelfde manier als op menselijke identiteiten, waarbij normale automatisering in realtime wordt onderscheiden van verdachte afwijkingen.
Wat dit betekent voor uw team
De traditionele kill-keten ging ervan uit dat aanvallers moesten vechten voor elke centimeter toegang. AI-agenten zetten die veronderstelling volledig omver.
Eén gecompromitteerde agent kan een aanvaller legitieme toegang, een perfecte kaart van de omgeving, brede machtigingen en ingebouwde dekking voor gegevensverplaatsing geven, zonder een enkele stap die op een inbraak lijkt.
Beveiligingsteams die zich nog steeds uitsluitend richten op het detecteren van menselijk aanvallergedrag zullen dit missen. De aanvallers zullen de bestaande workflows van uw AI-agenten besturen, onzichtbaar in het lawaai van normale operaties.
Vroeg of laat zal een AI-agent in uw omgeving het doelwit zijn. Zichtbaarheid is het verschil tussen vroegtijdig signaleren en ontdekken tijdens de incidentrespons. Reco geeft u binnen enkele minuten inzicht in uw gehele SaaS-ecosysteem.
Lees hier meer: Vraag een demo aan: ga aan de slag met Reco.
