Aaron Fulkerson, CEO van OPAQUE – interviewreeks

Aaron Fulkerson, CEO van OPAQUE, is een ervaren ondernemer in bedrijfssoftware en een pionier op het gebied van open source. Al meer dan twee decennia bouwt en schaalt hij technologieplatforms die draaien om vertrouwen, data en digitale transformatie. Voordat hij in 2023 bij OPAQUE kwam, richtte hij MindTouch op en hielp hij het uitgroeien tot een veelgebruikt kennisplatform voor bedrijven, voordat NICE Systems het overnam. Later leidde hij de introductie van ServiceNow Impact, een van de snelst groeiende bedrijfsonderdelen in de geschiedenis van ServiceNow. Tijdens zijn carrière werkte Fulkerson op het snijvlak van opkomende technologieën, bedrijfssoftware en open ecosystemen. Daarnaast adviseerde hij verschillende technologische start-ups en organisaties. De laatste tijd is hij een uitgesproken pleitbezorger van Confidential AI, oftewel AI die vertrouwelijkheid waarborgt. Volgens hem worden privacy, goed bestuur en verifieerbaar vertrouwen fundamentele vereisten nu AI-systemen onderdeel worden van kritieke bedrijfsprocessen.

OPAQUE is een bedrijf op het gebied van Confidential AI dat voortkomt uit het gerenommeerde RISELab van UC Berkeley, hetzelfde onderzoeksecosysteem dat hielp bij het ontstaan van technologieën als Apache Spark en Databricks. Het bedrijf heeft een platform ontwikkeld waarmee ondernemingen AI-modellen, agenten en werkprocessen op zeer gevoelige gegevens kunnen laten werken, met cryptografisch verifieerbare garanties voor privacy en naleving van regelgeving. In plaats van organisaties te dwingen te kiezen tussen AI-innovatie en gegevensbeveiliging, gebruikt OPAQUE confidential computing, versleutelde uitvoeringsomgevingen en uitvoering met hardwareattestatie om gevoelige informatie vóór, tijdens en na AI-verwerking te beschermen. De technologie is bedoeld voor streng gereguleerde sectoren zoals de financiële sector, verzekeringen, gezondheidszorg en hightech. Tot de klanten en partners behoren ServiceNow (NOW ), Anthropic, Accenture en andere ondernemingen die AI-projecten van proefproject naar productie willen brengen zonder bedrijfseigen of gereguleerde gegevens bloot te stellen.

U hebt tijdens uw carrière meerdere bedrijfsplatforms opgebouwd en opgeschaald. Wat bracht u ertoe CEO van OPAQUE te worden en uw volgende hoofdstuk te richten op vertrouwen, privacy en AI-governance?

Ik heb bijna twee decennia bedrijfsplatforms gebouwd, eerst bij MindTouch, dat nog steeds jaarlijks door een miljard gebruikers wordt gebruikt, en daarna bij ServiceNow, waar ik hun snelst groeiende product creëerde. Beide leerden me dezelfde les: zelfs de krachtigste technologie wint alleen als mensen erop vertrouwen.

Toen ik OPAQUE-medeoprichters Raluca Ada Popa, Ion Stoica en Rishabh Poddar ontmoette, zag ik een zeldzame combinatie van talent en visie. Raluca is een van de meest vooraanstaande onderzoekers ter wereld op het gebied van privacy en beveiliging. Ion richtte Databricks mede op. Rishabh bouwde de centrale cryptografische systemen die de basis van OPAQUE werden.

Bij het RISELab van UC Berkeley hadden ze iets gecreëerd dat ik onmiddellijk herkende als een doorbraak voor een hele generatie: cryptografisch bewijs dat gegevens binnen elk AI-werkproces privé blijven. Geen beloften. Geen beleid. Bewijs.

Ik zag waar AI naartoe ging: agenten die autonoom op machinesnelheid in allerlei bedrijfssystemen handelden. En ik zag dezelfde leemte waarvoor Vint Cerf al 30 jaar waarschuwt: het ontbreken van een vertrouwenslaag. Het internet overleefde zonder zo’n laag omdat mensen als vangrail fungeerden. Het door agenten aangedreven web zal die luxe niet hebben. Dat trok me over de streep.

MCP (Model Context Protocol, een standaard waarmee AI-agenten veilig toegang krijgen tot tools, applicaties en gegevens) ontwikkelt zich tot een gemeenschappelijke basis. Hoe zal dit volgens u veranderen hoe ondernemingen AI met agenten inzetten en opschalen?

MCP is een belangrijke stap in hoe ondernemingen AI met agenten inzetten en opschalen. Zie het als een universele verbinding voor AI-werkprocessen. Het standaardiseert hoe agenten verbinding maken met tools, applicaties en gegevens, neemt concrete belemmeringen weg en versnelt het experimenteren.

Maar toegang standaardiseren maakt AI met agenten op zichzelf niet veilig of schaalbaar. Naarmate er meer verbindingen komen, met meer agenten, tools en gegevensbronnen, neemt met elke nieuwe integratie ook het oppervlak toe waarlangs gegevens kunnen weglekken. Elk verbindingspunt zonder handhaving tijdens de uitvoering is een mogelijke blootstellingsroute. Als AI-agenten met gevoelige systemen en bedrijfseigen logica werken, volstaan versleuteling van opgeslagen gegevens en netwerkcontroles niet. De beveiligingsgrens is naar de uitvoering zelf verschoven, en die verschuiving wordt urgenter naarmate het ecosysteem opschaalt.

Verifieerbaarheid op deze essentiële verbindingspunten wordt bedrijfskritiek. Ondernemingen kunnen AI met agenten opschalen als toegang volgens het MCP-model samengaat met cryptografisch bewijs van welke code werd uitgevoerd, waar dat gebeurde en welk beleid daarbij gold – vóór, tijdens en na de uitvoering. Toegang plus verifieerbaarheid. Die combinatie maakt productiegebruik mogelijk.

Nu MCP de toegang van agenten standaardiseert, waar ziet u de grootste tekortkomingen in beveiliging, beleidshandhaving en vertrouwen bij systemen die door agenten worden aangestuurd?

We hebben ons AI Leak Surface-onderzoek voor 2026 afgerond en een samenvatting van onze bevindingen gepubliceerd, ‘Een dozijn manieren waarop uw AI-stack gegevens lekt’, die hierop ingaat. We identificeerden 46 blootstellingsroutes in 8 categorieën die de volledige vertrouwensgrens van AI bestrijken: rekenverwerking, controle, applicaties en de overdrachten daartussen. En dan houden we nog geen rekening met kwaadwillende partijen. Dit zijn situaties waarin niets kapot is, de logboeken er goed uitzien en het systeem toch gegevens lekt.

De grootste tekortkomingen zitten niet in de verbindingen; dat lost MCP op. Ze zitten in wat er gebeurt nadat een agent verbinding heeft gemaakt. De meeste organisaties kunnen drie basisvragen niet beantwoorden: hoe gedraagt onze AI zich daadwerkelijk? Wie heeft er controle over? En hoe bewijzen we dat het beleid werd gehandhaafd?

Ons onderzoek liet zien dat grenzen wel worden geconfigureerd, maar nooit worden gehandhaafd. Beleid staat in een document, een configuratiebestand of een instelling bij de uitrol, maar legt het draaiende systeem geen beperkingen op. Een AI-assistent voor de directie zet wezenlijke, niet-openbare informatie in een agenda-uitnodiging. Een RAG-assistent geeft een junioranalist financiële informatie die voor de raad van bestuur bestemd is. Een SDK van een leverancier sluist in 12 maanden ongemerkt 10 miljoen query’s weg. In elk geval waren de toegangscontroles aanwezig. De gegevens lekten toch.

Zolang ondernemingen de kloof tussen geconfigureerd en gehandhaafd beleid niet dichten, standaardiseert MCP de voordeur. Maar het huis blijft onbewaakt.

Welke nieuwe privacy- en nalevingsrisico’s ontstaan wanneer AI-agenten toegang krijgen tot gevoelige systemen en bedrijfseigen gegevens, waarop ondernemingen vaak niet zijn voorbereid?

De meeste ondernemingen denken bij privacy aan opgeslagen gegevens of gegevens die worden verzonden. Dat model schiet tekort bij werkprocessen met agenten, omdat het grootste risico de blootstelling van gegevens tijdens het gebruik is.

Dit bedoel ik. Een fabrikant van sportwagens gebruikt AI langs zijn assemblagelijn. De ruwe gegevens lijken onschuldig: sensorwaarden, tijdsvolgordes en kwaliteitscontroles. Maar een groot taalmodel kan nu bedrijfseigen productieprocessen reconstrueren uit de gegevenssporen die de bedrijfsvoering achterlaat. Wat vijf jaar geleden ruis was, is nu een blauwdruk voor een concurrent.

Ons AI Leak Surface-onderzoek beschrijft dit patroon in tientallen scenario’s. Tools voor operationele telemetrie leggen standaard de volledige AI-gegevensinhoud vast. Bij een Europese bank stroomden 2,1 miljoen prompts met persoonlijk identificeerbare informatie naar een Amerikaanse SaaS-instantie omdat niemand de standaardinstellingen voor applicatiebewaking (APM) had aangepast. Het geheugen van agenten lekt context tussen sessies. Vastgelegde redeneerstappen maken complete onderzoeksdossiers zichtbaar op observabilityplatforms waartoe externe opdrachtnemers toegang hebben. Traditionele kaders voor naleving van regelgeving zijn niet ontworpen om dit soort lekken op te sporen. Ze gingen ervan uit dat mensen gegevens op menselijke snelheid verplaatsten.

Waarom wordt Confidential AI een noodzakelijke aanvulling op MCP, en hoe pakt het uitdagingen aan die toegangsstandaarden alleen niet kunnen oplossen?

MCP regelt wie toegang heeft tot wat en op welke manier, terwijl Confidential AI regelt wat er gebeurt nadat die toegang is verleend. Het zijn elkaar aanvullende lagen.

Toegangsstandaarden alleen kunnen niet voorkomen dat de beveiliging tijdens de uitvoering wordt gecompromitteerd, dat de toepassing van beleid geleidelijk afwijkt of dat gegevens zonder toestemming worden gebruikt. Zie het zo: MCP biedt een gestandaardiseerde manier om agenten met uw systemen te verbinden. Confidential AI biedt cryptografische garanties dat die agenten daarna alleen kunnen doen waarvoor ze toestemming hebben – en dat u dat kunt bewijzen.

Confidential AI biedt die garanties tijdens de uitvoering voor gegevens, identiteit, code en communicatie. Het levert verifieerbaar uitvoeringsbewijs en zorgt dat privacy en beleidshandhaving niet ophouden bij de toegangsgrens, maar doorgaan terwijl AI actief redeneert, genereert en handelt. Zonder dat is MCP een solide fundament. Maar een fundament alleen maakt een gebouw niet veilig.

Hoe ziet verifieerbaar vertrouwen er in de praktijk uit voor een onderneming die autonome AI-agenten in kritieke werkprocessen inzet?

Verifieerbaar vertrouwen betekent dat ik kan bewijzen welke code werd uitgevoerd, waar dat gebeurde, welk beleid daarbij gold, welke gegevens werden geraadpleegd en hoe het systeem zich in de loop van de tijd gedroeg.

Neem bijvoorbeeld een verzekeraar die AI-agenten gebruikt om brieven met schadevergoedingsclaims te verwerken. Vóór de uitvoering verifieert hardwareattestatie de identiteit van de agent en de integriteit van de omgeving. Tijdens de uitvoering zorgt cryptografische binding aan het beleid binnen een hardwarebeveiligde, vertrouwde uitvoeringsomgeving (Trusted Execution Environment, TEE) dat gegevens beschermd blijven en het beleid wordt gehandhaafd. Na de uitvoering legt een manipulatiebestendig auditspoor precies vast wat er gebeurde.

Het risico in werkprocessen met agenten is niet dat een agent op hol slaat. Het echte risico is dat u niet kunt aantonen of beleid werd gehandhaafd of gevoelige gegevens werden beschermd toen de agenten actief waren – vóór, tijdens en na. Dat is wat verifieerbaar vertrouwen inhoudt.

Waarom schiet traditioneel menselijk toezicht tekort als systemen met agenten op machinesnelheid werken, en hoe moeten organisaties hun governance in deze nieuwe omgeving herzien?

Decennialang had het internet een onzichtbare vangrail: wij. Mensen lezen inhoud, klikken bewust en handelen niet ongemerkt in honderd systemen tegelijk.

AI met agenten haalt die aannames van de ene op de andere dag onderuit. Agenten werken continu, nemen beslissingen op machinesnelheid en kunnen worden gemanipuleerd via omgevingen die voor mensen zijn ontworpen, maar door machines kunnen worden uitgebuit. Een kwaadwillende webpagina hoeft AI niet te misleiden zoals een mens; ze kan simpelweg instructies geven.

Bij slechts 1% risico per agent heeft een netwerk van 100 agenten 63% kans op een beveiligingsinbreuk. Schaal dat op naar duizend en de kans is 99,99%. Governance waarbij steeds een mens betrokken moet zijn, kan dat niet bijbenen. Toezicht moet verschuiven van reactieve beoordeling naar garanties tijdens de uitvoering. Dat betekent zero-trustwerkprocessen, standaard beleidshandhaving en verifieerbare uitvoering die niet afhankelijk is van een mens die achteraf de fout ontdekt.

Welke beveiligingsproblemen ziet u het vaakst wanneer ondernemingen experimenteren met AI-agenten zonder ingebouwde vertrouwenslaag?

Het patroon dat ik het vaakst zie, is dat ondernemingen agenten laten handelen en coördineren zonder cryptografische garanties voor hun gedrag. Ze verwerken gevoelig intellectueel eigendom en hopen dat het goed gaat.

Wat volgt is voorspelbaar, en we hebben de specifieke patronen vastgelegd in ons AI Leak Surface-onderzoek. Aantasting van de beveiliging tijdens de uitvoering omzeilt traditionele perimeterbeveiliging, omdat de agent al binnen het netwerk zit. Autonome agentketens veroorzaken opeenvolgende fouten. Eén uitgebuite agent veroorzaakt een domino-effect in verbonden systemen. Bedrijfseigen logica lekt via gegevenssporen die niemand dacht te moeten bewaken. Agenten verliezen het vermogen om de bedoeling van de onderneming van kwaadwillende invoer te onderscheiden, omdat verifieerbare identiteit en binding aan beleid tijdens de uitvoering ontbreken.

Dit is niet hypothetisch. We brachten 46 routes in kaart waarlangs gegevens aan de beoogde controles ontsnappen, zelfs als niets kapot lijkt. AI-agenten genereren en delen gegevens op machinesnelheid. Zonder verifieerbare beveiligingsmaatregelen tijdens de uitvoering, ingebouwd in het werkproces, verspreiden fouten zich sneller dan welk beveiligingsteam ook kan vaststellen of erop kan reageren.

Hoe combineren toonaangevende organisaties het benutten van geavanceerde AI-mogelijkheden met het beschermen van hun meest gevoelige gegevens?

Organisaties die dit goed aanpakken, zien privacy en governance als versnellers, niet als remmen. Dat is het belangrijkste inzicht.

Wat ik in de praktijk zie, is dat toonaangevende ondernemingen geavanceerde AI-mogelijkheden combineren met platforms voor Confidential AI die verifieerbare garanties bieden, niet alleen nalevingschecklists. Ze maken gevoelige gegevens beschikbaar voor AI-innovatie en zorgen tegelijkertijd dat bedrijfseigen informatie beschermd blijft, ook als werkprocessen autonoom verlopen.

Vroeger werd het voorgesteld als een keuze tussen functionaliteit en beveiliging. De organisaties die het snelst vooruitgaan, hebben die afweging volledig verworpen. Ze bouwen verifieerbaar vertrouwen in het fundament van hun AI-strategie in, zodat ze hun waardevolste gegevens kunnen benutten. Ondertussen blijven concurrenten steken in proefprojecten en laten ze AI werken met opgeschoonde datasets die nauwelijks resultaat opleveren.

Hoe verwacht u op basis van wat u nu ziet dat AI-governancemodellen voor ondernemingen zich de komende jaren ontwikkelen, wanneer systemen met agenten van proefprojecten naar volledige productie gaan?

Governance gaat van papierwerk naar bewijs. Eenvoudiger kan ik het niet zeggen. Vroege governancemodellen waren ontworpen voor software op menselijk tempo: beleid op papier, goedkeuring vóór de uitrol en beoordeling nadat er iets misging. Systemen met agenten doorbreken elk van die aannames. Ze werken continu, handelen autonoom en veroorzaken kettingreacties op machinesnelheid.

We zien dat governance verschuift naar verifieerbaarheid tijdens de uitvoering als nieuwe beveiligingsgrens, ondersteund door cryptografische garanties die gedrag gedurende elke fase van de levenscyclus van een agent aantonen – vóór, tijdens en na. Hetzelfde patroon dat we bij HTTPS zagen, wordt de standaard voor webverkeer. Niemand discussieert nog over de vraag of webverbindingen versleuteld moeten worden. Binnen een paar jaar zal niemand meer discussiëren over het verifiëren van AI tijdens de uitvoering. Het wordt een basisvereiste.

Bedankt voor het mooie interview. Lezers die meer willen weten, kunnen OPAQUE bezoeken.