AI-agents evolueren in rap tempo van experimentele technologie naar systemen die zelfstandig taken uitvoeren, beslissingen nemen en toegang hebben tot kritieke bedrijfsdata en -systemen. Daarmee ontstaat een nieuw veiligheidsvraagstuk, waarschuwt Filip Verloy, Field CTO EMEA & APJ bij Rubrik. We spraken hem over de risico’s van agentic AI en hoe organisaties die kunnen beperken.
De verwachtingen rond agentic AI zijn hooggespannen. Volgens onderzoekers van Capgemini kunnen AI-agents tegen 2028 wereldwijd tot 450 miljard dollar aan economische waarde genereren. Niet gek dan ook, dat financiële instellingen staan te popelen om deze technologie te omarmen.
Verloy waarschuwt echter dat de risico’s van een te snelle integratie aanzienlijk zijn. “Op geen enkel moment in het verleden hebben we een technologie uitgerold die zó krachtig is geworden in zó’n korte tijd.”
Die kracht schuilt in het autonome karakter van de technologie. Waar traditionele AI vooral inzichten oplevert en generatieve AI content creëert, ondernemen AI-agents daadwerkelijk actie. Het zijn systemen die zelfstandig handelen op basis van vooraf bepaalde doelen, samenwerken met andere systemen, leren van de resultaten en zich aanpassen aan veranderende omstandigheden.
Juist die brede actieradius maakt AI-agents volgens Verloy kwetsbaar. Hun invloed strekt zich uit over processen, applicaties, data en tal van andere systemen. “Daardoor ontstaat de grootste uitbreiding van het aanvals- en risicovlak sinds de opkomst van de publieke cloud. En dat geldt niet alleen voor externe aanvallen – óók de interne risico’s zijn groot.”
De ultieme insider
Om hun taken uit te voeren, krijgen AI-agents toegang tot uiteenlopende databronnen en systemen. Daarbij maken ze vaak gebruik van de identiteit en toegangsrechten van de gebruiker die de agent inschakelt. Dat creëert volgens Verloy een fundamenteel risico: een agent kan immers meer rechten krijgen dan voor de uitvoering van een specifieke taak noodzakelijk is.
Daarnaast schuilt er een gevaar in het onvoorspelbare gedrag van AI-agents. Een agent kan een opdracht anders interpreteren dan bedoeld en vervolgens zelfstandig acties uitvoeren met mogelijk grote gevolgen. “Je kunt niet echt voorspellen hoe die AI-agent de vraag gaat interpreteren en wat hij allemaal gaat doen, waardoor het snel kan mislopen.”
“Eén verkeerde prompt kan een database aanpassen of zelfs volledig verwijderen.”
Ook extern ontstaan nieuwe risico’s. Wanneer een kwaadwillende toegang krijgt tot een AI-agent, kan die agent volgens Verloy worden gebruikt als een soort ultieme insider. “Als je die agent kunt manipuleren, hoef je al die andere traditionele stappen van een aanval niet meer te doen; je laat het over aan de agent die overal toegang toe heeft.”
De risico’s zijn volgens Verloy niet theoretisch. “Als je op Google zoekt naar AI- of agentic-breaches, kom je vrijwel dagelijks nieuwe voorbeelden tegen – voorbeelden waar je vooraf nooit rekening mee had gehouden. Zo kan één verkeerde prompt ertoe leiden dat een database wordt aangepast of zelfs volledig verwijderd. De risico’s zijn enorm én reëel.”
Van if-then naar probabilistisch
Dat brengt Verloy bij wat volgens hem de belangrijkste reden is waarom AI-agents fundamenteel verschillen van eerdere vormen van automatisering. “Traditionele geautomatiseerde workflows waren grotendeels deterministisch”, zegt hij. “Bij citizen development en klassieke workflowautomatisering legde je vooraf vaste ‘if-then’-regels vast: als dit gebeurt, voer dan die actie uit.”
Bij AI-agents ligt het verloop niet volledig vooraf vast. Ze interpreteren de opdracht, plannen hun aanpak, selecteren zelf de benodigde tools en voeren vervolgens acties uit. “Ze gedragen zich daardoor meer als een stagiair of medewerker dan als software.”
Dat maakt agentic workflows probabilistisch in plaats van deterministisch. “Een agent kan 99 van de 100 keer dezelfde route kiezen en de honderdste keer een andere workflow volgen, omdat de context anders is. Juist die onvoorspelbaarheid vergroot het aanvalsoppervlak.”
Een voorbeeld daarvan is indirecte prompt injection. Daarbij worden kwaadaardige instructies verborgen in content die een agent verwerkt, zoals een document, e-mail of webpagina. De agent kan die instructies vervolgens interpreteren als onderdeel van de opdracht en ernaar handelen.
“Zo kan een agent bijvoorbeeld onbedoeld worden aangezet om informatie naar een externe bestemming te sturen. Dat risico bestaat bij traditionele workflows niet op dezelfde manier, omdat die niet zelfstandig de betekenis van verwerkte content interpreteren en daar hun gedrag op aanpassen.”
Voor financiële instellingen is dat extra relevant. Regelgeving zoals DORA en NIS2 stelt immers ook eisen aan de beveiliging, weerbaarheid en beheersing van de systemen en processen waarin AI-agents worden ingezet.
“Maar een agent die aan een klantenbestand is gekoppeld, kan door een verkeerde interpretatie gegevens van de ene klant prijsgeven aan iemand die daar geen recht op heeft. Agents houden zich dan niet altijd goed aan wettelijke regels – niet bewust, maar omdat ze de context of de persoon met wie ze communiceren verkeerd interpreteren.”
Kat-en-muisspel met regelgeving
Daarmee ontstaat volgens Verloy een complex kat-en-muisspel tussen innovatie, security en regelgeving. Toezichthouders en securityteams proberen de risico’s beheersbaar te houden, terwijl de technologie zich razendsnel blijft ontwikkelen.
“Een half jaar geleden was de regelgeving nog vooral gericht op user prompting, omdat dit destijds als het meest voorkomende risico werd gezien. Vandaag de dag zie je dat user prompting op termijn wordt vervangen door loop engineering.”
“Je wil juist dat een AI-agent toegang heeft tot veel gevoelige data en krachtig kan handelen.”
Daarbij is er niet langer voortdurend directe interactie tussen een gebruiker en een agent. In plaats daarvan wordt vooraf een doel of statement of intent vastgelegd, waarna een team van agents zelfstandig gedurende langere tijd aan een opdracht kan werken. “Je laat een team van agents dagenlang werken en uiteindelijk komt daar een bepaalde output uit. Hoe ga je dat in regels vastleggen? Dat is enorm lastig.”
Tegelijkertijd staat het inperken van een agent haaks op het idee achter de technologie. “Je wil juist dat een AI-agent toegang heeft tot veel gevoelige data en krachtig kan handelen. Je wil immers een autonome agent die slimmer én sneller handelt dan jijzelf, anders heeft het geen waarde.”
De mens als bottleneck
Om de risico’s te beperken, grijpen securityteams vaak terug op een human-in-the-loop-aanpak. Daarbij moet een mens expliciet toestemming geven voor iedere beslissing die potentieel risicovol is.
Dat klinkt veilig, maar kan volgens Verloy juist nieuwe problemen veroorzaken. “Een agent kan tientallen of honderden keren toestemming nodig hebben om een bepaalde tool of dataset te gebruiken. Daardoor ben je enorm veel tijd kwijt aan het handmatig verlenen van toestemming en doe je de potentiële efficiëntiewinst van AI-agents grotendeels teniet.”
Daarnaast kan ‘approval fatigue’ ontstaan. “Als je elke twee minuten toestemming moet geven, klik je na een half uur gewoon op ‘ja’ zonder de aanvraag nog te lezen. Ben je dan veiliger? Nee. Heb je meer werk? Ja.”
Toch verwacht Verloy niet dat bedrijven vanwege deze problemen een stap terug zullen doen. “De potentie van de technologie en de druk vanuit het management om AI-agents te benutten zijn daarvoor simpelweg te groot. De uitdaging is om die voordelen gecontroleerd naar andere processen te brengen én tooling te ontwikkelen die op een verantwoorde en veilige manier met de technologie meebeweegt.”
Identity, visibility en recoverability als basis
Om AI-agents wél veilig in te kunnen zetten, moeten organisaties volgens Verloy bij de basis beginnen: identity, visibility en recoverability.
Identiteit vormt volgens hem een groot probleem. Een agent die namens een medewerker opereert, krijgt in veel gevallen dezelfde rechten als die medewerker. “Als die agent namens jou de hele dag kan handelen, heeft hij toegang tot alle systemen waar jij bij kunt, terwijl dat voor die specifieke taak helemaal niet nodig is.”
Daar zijn nieuwe technische oplossingen voor nodig. “Wij spelen daar met Rubrik onder meer op in met technologie uit de recente overname van Strata Security. Daarmee kunnen agents tijdelijke tokens krijgen die alleen toegang geven tot de systemen en data die voor een specifieke taak noodzakelijk zijn. Na bijvoorbeeld tien of twintig minuten vervalt die toegang automatisch.”
Daarnaast moeten organisaties beter zicht krijgen op de AI-agents die binnen hun omgeving actief zijn. Uit onderzoek van Rubrik blijkt dat in Nederland slechts 17 procent van de organisaties zegt volledig zicht te hebben op de agents in de eigen omgeving.
“Het is niet voldoende om alleen vast te stellen dát er iets fout is gegaan.”
“Bedrijven weten vaak wel welke agents ze hebben. Maar als je doorvraagt, blijkt al snel dat ze niet precies weten welke tools die agents gebruiken, tot welke data ze toegang hebben en onder welke identiteiten ze opereren. Het percentage organisaties dat daadwerkelijk volledig zicht heeft, ligt dan waarschijnlijk nog een stuk lager.”
De derde cruciale pijler is recoverability. Veel organisaties hebben volgens Verloy nog geen goed antwoord op de vraag wat er moet gebeuren nadat een agent een fout heeft gemaakt. Een agent kan immers in korte tijd grote hoeveelheden data aanpassen of verwijderen.
“Het is dus niet voldoende om alleen vast te stellen dát er iets fout is gegaan. Organisaties moeten ook kunnen reconstrueren wat de agent precies heeft gedaan en die handelingen vervolgens kunnen terugdraaien. Precies dat ontbreekt nog bij het overgrote deel van de bedrijven.”
Daarom is het essentieel dat organisaties ervan uitgaan dat het altijd mis kan gaan. “Je moet een infrastructuur bouwen waarin een niet-perfecte AI-agent veilig kan opereren.”
De laatste 20 procent
Precies op dat snijvlak van innovatie, security en regelgeving positioneert Rubrik zich als leverancier van de technische infrastructuur voor AI-agents. Voor de organisatorische en procesmatige kant werkt het bedrijf samen met partners. “Wij leveren software en technologie, met daaromheen een partner-ecosysteem dat samen met de klant naar die procesmatige kant kijkt.”
De software van Rubrik moet organisaties daarbij zo veel mogelijk ondersteunen. “Als we 80 procent van de governance out of the box kunnen afdekken, kan het partner-ecosysteem zich richten op de ‘last mile’: de resterende 20 procent.”
Juist die ‘last mile’ is volgens Verloy vaak het moeilijkste deel, omdat het afhankelijk is van de organisatie en de sector. Het gaat dan bijvoorbeeld om beleid, processen, risicoafwegingen, compliance en de praktische inrichting.
“Aan het eind van de rit worden AI-agents waarschijnlijk alleen maar autonomer. De uitdaging voor financiële instellingen is dus niet om die ontwikkeling tegen te houden, maar om ervoor te zorgen dat krachtige agents kunnen opereren binnen een infrastructuur die sterk genoeg is om hun fouten en misbruik op te vangen.”