De beveiliging van AI-agenten doorloopt een bekende volwassenheidscurve: acceptatie, vervolgens zichtbaarheid en ten slotte controle. Maar wat we gezamenlijk hebben ontdekt, is dat het afdwingen van de minste privileges voor AI-agenten moeilijker is dan we ooit hadden gedacht. Dit is de reden waarom er zoveel benaderingen zijn, van promptfiltering tot toegangscontroles op de identiteitslaag. Waar we gezamenlijk zijn beland, is dat het begrijpen van de bedoelingen van AI-agenten essentieel is om ze te beveiligen. Het is niet gemakkelijk, maar het is de enige weg vooruit.
Organisaties benaderen deze uitdaging met verschillende niveaus van verfijning. Voor velen is het huidige doel eenvoudigweg het vinden van de AI-agenten die al in het hele bedrijf actief zijn. Dat is een noodzakelijke eerste stap. AI-agents verschijnen in SaaS-platforms, ontwikkelaarsomgevingen, cloudworkflows, klantondersteuningssystemen, productiviteitstools en interne applicaties. Sommige zijn gesanctioneerd, andere niet.
Maar ontdekking alleen is niet nuttig. AI-agenten zijn niet passief; ze redeneren, plannen, roepen tools aan, roepen API’s aan, hebben toegang tot gegevens en ondernemen actie zonder dat er een mens bij betrokken is. Het risico is niet dat een organisatie te veel agenten heeft. Het risico is dat deze agenten op verschillende systemen kunnen opereren zonder consistente identiteit, intentie, eigendom en handhaving. Er zijn ook verschillende soorten AI-agenten, die elk een andere aanpak vereisen om ze te beveiligen.
Recente richtlijnen over de zorgvuldige adoptie van agentische AI-diensten maken het punt duidelijk: agentische AI introduceert privilege-, authenticatie-, verantwoordings-, ontwerp- en gedragsrisico’s die beveiligingsteams moeten aanpakken voordat deze systemen ingebed worden in kritische workflows. Zichtbaarheid is het uitgangspunt, maar handhaving is waar het om gaat.
De zichtbaarheidsval
De meeste beveiligingsprogramma’s beginnen met de vraag: “Wat hebben we?” Dat was logisch voor de cloud, SaaS, eindpunten, identiteiten en kwetsbaarheden. Het is ook logisch voor AI-agenten.
Maar het risico dat alleen de zichtbaarheid van AI-agenten beperkt is, is groter dan in elke andere omgeving op de lijst, vanwege de snelheid waarmee AI-agenten worden gemaakt, waartoe zij toegang hebben en hoe zij kunnen worden gedeeld.
Een AI-agentinventaris die geen verbinding maakt met handhaving wordt een andere statische activalijst. Het kan aantonen dat er een agent bestaat, maar het kan u niet vertellen of de toegang van de agent gepast is, of zijn gedrag overeenkomt met zijn doel, of de eigenaar verantwoordelijk blijft, of wanneer zijn machtigingen moeten worden ingetrokken als de omstandigheden veranderen. Voor AI-agenten creëert zichtbaarheid zonder handhaving een gevaarlijk soort vertrouwen, waarbij je gemakkelijk het gevoel hebt dat je de controle hebt, terwijl de realiteit heel anders is.
Waarom AI-agenten statische toegangsmodellen doorbreken
Traditionele toegangscontrole veronderstelt een zekere mate van voorspelbaarheid. Human Identity en Access Management heeft het het gemakkelijkst, aangezien ieder persoon een functie heeft. Niet-menselijke of machine-identiteitsbeheer is complexer, maar een serviceaccount ondersteunt nog steeds een gedefinieerde werklast. Deze aannames zijn niet perfect, maar ze gaven beveiligingsteams een basis voor rollen, rechten, goedkeuringen, toegangsbeoordelingen en periodieke opschoningen.
AI-agenten zijn verre van statisch. Een agent wordt minder gedefinieerd door een vaste workflow en meer door een doel. Het kan instructies interpreteren, verschillende hulpmiddelen aanroepen en zijn acties aanpassen op basis van de context. Twee agenten met vergelijkbare machtigingen kunnen een heel ander risicoprofiel hebben, afhankelijk van wat ze allemaal proberen te bereiken.
Statische toegang is niet voldoende, omdat de kans groter is dat AI-agenten worden gebruikt op manieren die niet waren voorzien toen de toegang werd verleend. Het probleem is niet altijd kwaadwillig gedrag, maar dubbelzinnigheid die een risico met zich meebrengt, zoals een taak die verder reikt dan het oorspronkelijke doel.
De vraag die beveiligingsteams zich moeten stellen is niet alleen: “Waartoe heeft deze agent toegang?” De belangrijkste vraag is: wat mag deze agent onder deze omstandigheden met dit doel doen? Dat is een handhavingsvraag.
Handhaving begint met een beter begrip
Effectieve handhaving van AI-agenten kan niet worden gekoppeld aan een eenvoudige, niet-contextuele inventarisatie. Beveiligingsteams moeten informatie over eigenaren, consumenten, identiteiten, systemen, machtigingen en intenties met elkaar in verband brengen voordat ze betekenisvolle controles kunnen definiëren.
Dat betekent dat u een agent op verschillende dimensies moet begrijpen:
- Eigendom: Wie is eigenaar van de makelaar? (Dit kan moeilijker zijn dan je misschien denkt.)
- Consumenten: Wie gebruikt de agent?
- Identiteit: Welke identiteiten, tokens, geheimen, OAuth-toekenningen en serviceaccounts gebruikt de agent?
- Intentie: Wat moet de agent bereiken?
- Toegang: Welke systemen, applicaties, datastores, API’s en infrastructuur kan het bereiken?
- Gebruik: Wat heeft de agent feitelijk gedaan, en hoe vaak?
- Oorsprong: Hoe is de agent gemaakt?
- Levenscyclus: Is de agent actief, sluimerend of niet langer gebonden aan zijn oorspronkelijke doel?
Dit is waar veel organisaties moeite mee hebben, omdat de context van agenten verspreid is. Identiteitsgegevens bevinden zich op één plek. Cloudrechten zijn ergens anders. SaaS-integraties hebben hun eigen modellen. Infrastructuur als code kan beoogde implementatiepatronen onthullen, maar die context is zelden gecorreleerd met de rest. Eigendom kan voor de hand liggend zijn voor de persoon die de agent heeft gemaakt en onzichtbaar voor alle anderen.
Zonder correlatie wordt handhaving giswerk. Met correlatie kunnen beveiligingsteams beginnen met het definiëren van regels die weerspiegelen hoe agenten daadwerkelijk werken.
Van sanering naar regels
Veel beveiligingstools stellen handhaving gelijk aan herstel. Er wordt iets riskant gevonden en een playbook opent een ticket, verwijdert de toegang, schakelt een identiteit uit of brengt een eigenaar op de hoogte. Dat is handig, maar voor agentische AI is het niet genoeg. AI-agenten hebben handhaving nodig voor, tijdens en nadat ze actie ondernemen.
Beveiligingsteams moeten af van de vraag: “Wat moet worden verwijderd nadat het risico is gedetecteerd?” tot “Wat moet deze agent überhaupt mogen doen?” Die verschuiving verplaatst de handhaving van opruiming naar controle. Organisaties kunnen vervolgens regels definiëren zoals:
- Een klantenservicemedewerker kan de ticketgeschiedenis lezen, maar kan geen klantgegevens in bulk exporteren
- Een codeassistent kan wijzigingen voorstellen, maar kan niet doorzetten naar productie zonder een goedgekeurde workflow
- Een Cloud Operations-agent kan configuratie-drift inspecteren, maar kan geen bevoorrechte rollen wijzigen
- Een financieel agent kan rapporten genereren, maar kan geen betalingen initiëren of leveranciersgegevens wijzigen
- Een beveiligingsagent kan waarschuwingen beoordelen, maar kan geen logboeken verwijderen of detecties onderdrukken
Deze regels kunnen niet effectief binnen één AI-platform tegelijk worden beheerd. Bedrijven zullen veel agentplatforms, SaaS-native agenten, interne raamwerken, cloudservices en ontwikkelaarstools gebruiken. Elk daarvan kan zijn eigen besturingselementen, logboeken en toestemmingsmodellen hebben. Beveiligingsteams hebben een consistente manier nodig om agenten in die gefragmenteerde omgeving te besturen. Daarom moet het volgende controlevlak voor AI-agenten identiteitsgericht, contextbewust en platformonafhankelijk zijn.
De rol van opzet bij handhaving
Identiteit geeft aan wie de agent is. Machtigingen geven aan welke toegang er bestaat. Intent antwoordt waarom die toegang actief zou moeten zijn.
De intentiedimensie is essentieel. Het risico van AI-agenten kan niet alleen worden begrepen door te kijken of een API-aanroep technisch is toegestaan. Beveiligingsteams moeten evalueren of een actie aansluit bij het goedgekeurde doel van de agent.
Op opzet gebaseerde handhaving geeft organisaties een nauwkeuriger controlemodel. Het stelt beveiligingsteams in staat om van brede, statische machtigingen over te stappen naar voorwaardelijke toegang op basis van doel en context. Dat betekent niet dat elke actie handmatig moet worden goedgekeurd. Het betekent dat acties met een hoog risico beperkt moeten worden door de rol, de eigenaar, de taak, de omgeving en de verwachte uitkomst van de agent.
De OWASP Top 10 voor Agentic Applications belicht risico’s zoals identiteits- en privilegemisbruik, misbruik van tools, onveilige communicatie tussen agenten, opeenvolgende fouten en malafide agenten. Deze risico’s wijzen allemaal op dezelfde conclusie: beveiligingscontroles moeten de reden van de agent om te handelen begrijpen.
Een uniek controlevliegtuig voor Agentic AI
AI-agenten leven niet op één platform. Ze bestaan in de hele onderneming. Terwijl ‘traditionele’ machine-identiteiten werden gecreëerd door IT-, ontwikkelaars- en DevSecOps-teams, worden AI-agenten gecreëerd door mensen in elke rol in de organisatie. Sommige agenten zullen in cloudomgevingen opereren, terwijl andere lokaal zullen draaien. Sommige zullen worden ingebed in zakelijke workflows die beveiligingsteams niet rechtstreeks beheren.
Platform-voor-platform controles voor AI-agenten zullen niet worden geschaald. Elk platform kan zijn eigen agenten voorzien, maar geen enkel platform kan het volledige ondernemingsbeeld van identiteit, toegang, eigendom en levenscyclus overzien. Organisaties hebben behoefte aan een uniform controlevlak dat agenten in verschillende omgevingen kan begrijpen en consistente regels kan afdwingen.
Dat controlevlak zou drie dingen moeten doen:
- Ontdekken: Vind agenten waar ze ook zijn
- Begrijpen: Correleer agenten met identiteiten, eigenaren, toegang, infrastructuurcontext, gebruik en intentie
- Afdwingen: Pas regels toe die bepalen wat agenten kunnen doen, wanneer ze dat kunnen doen, en hoe de toegang moet veranderen als de context verandert
Bekijk hoe AI-first beveiligingsoplossingen zoals Token Security ontdekken, begrijpen en afdwingen wat uw AI-agenten op elk platform kunnen doen.
Dit is het verschil tussen het beheren van agent-wildgroei en het besturen van agent-AI. Uitbreiding vindt plaats wanneer elk platform, team en bedrijfseenheid onafhankelijk agenten creëert. Governance vindt plaats wanneer de organisatie consistente controles op die activiteit kan toepassen zonder innovatie te blokkeren.
Wat veiligheidsleiders nu moeten doen
Beveiligingsteams hoeven niet te wachten op perfecte standaarden of volledig volwassen tools voordat ze actie ondernemen. Ze kunnen nu beginnen met het bouwen van het operationele model.
De eerste stap is om de zichtbaarheid van AI-agenten niet langer als de eindstreep te beschouwen. Uiteraard vormen inventarissen van agenten de basis voor handhaving. Elke agent moet worden toegewezen aan een eigenaar, een doel, een identiteit, een reeks machtigingen en een levenscyclusstatus. Agenten die niet in eigendom zijn, moeten worden onderzocht, agenten met te veel privileges moeten de juiste grootte hebben, slapende agenten moeten met pensioen worden gestuurd, en acties met een hoog risico moeten strengere controles vereisen.
Maar uiteindelijk is het de handhaving die telt. Beveiligingsleiders moeten het bestuur van AI-agenten afstemmen op identiteits- en toegangsbeheer, cloudbeveiliging, applicatiebeveiliging en DevOps-workflows. Agentic AI is geen apart universum. Het is software met toegang, autonomie en zakelijke impact. Het hoort thuis in het bedrijfsbeveiligingsmodel, maar dat model moet evolueren.
Het AI Agent Standards Initiative van NIST wijst in dezelfde richting, met werk gericht op standaarden, protocollen, authenticatie, identiteitsinfrastructuur en veilige interacties tussen mens en agent en meerdere agenten. De markt beweegt zich in de richting van dezelfde conclusie: AI-agenten moeten worden bestuurd als actoren met autoriteit, en niet als gewone applicaties met een chatbotinterface.
Zichtbaarheid is het begin, maar handhaving is het doel.
De eerste golf van AI-agentbeveiliging ging over bewustzijn. Organisaties moesten begrijpen dat agenten de onderneming binnenkwamen en een nieuw identiteitsrisico creëerden. Die boodschap kwam terecht en elk beveiligings- en IAM-team weet dat ze zichtbaarheid nodig hebben. De volgende golf is handhaving.
Bedrijven moeten definiëren wat agenten mogen doen en regels consistent toepassen op alle platforms. Ze moeten overgaan van “Welke agenten bestaan er?” tot “Welke agenten kunnen welke acties ondernemen, onder welke voorwaarden, en wie is verantwoordelijk?”
Dat is het controlevlak dat agent AI nodig heeft. Geen ander dashboard of statische inventaris. AI-agenten worden actieve deelnemers aan bedrijfsactiviteiten. Ze schrijven code, beheren de infrastructuur, verplaatsen gegevens, updaten systemen en voeren workflows uit. De organisaties die slagen met agentische AI zullen niet degenen zijn die zomaar elke agent vinden. Zij zullen degenen zijn die elke agent goed genoeg begrijpen om af te dwingen wat hij kan doen.
