Agentic AI verandert NHI-sprawl in een onbeheersbaar aanvalsoppervlak

Moderne cloudomgevingen zijn gebouwd op duizenden niet-menselijke referenties die stilzwijgend krachtige toegang hebben en zelden de aandacht krijgen die ze verdienen. Serviceaccounts, API-sleutels, OAuth-tokens en andere niet-menselijke referenties authenticeren stilzwijgend applicatiegedrag, maar worden vaak slecht geïnventariseerd, zelden geroteerd en moeilijk te beheren. Mandiant’s M-Trends 2026-rapport, dat is gebaseerd op meer dan 450.000 uur incidentrespons, bevestigt wat veel beveiligingsteams al jaren vermoedden: deze machine-identiteiten zijn een primaire aanvalsvector in cloudinbraken. Bedreigingsactoren verzamelen langdurige OAuth-tokens, compromitteren derdepartij-SaaS-leveranciers om harde, ingecodeerde sleutels te stelen en gebruiken vervolgens die geheimen om in omgevingen te pivoteren voor grootschalige datadiefstal. De bevinding verbaast niemand die deze ruimte volgt, maar wat beveiligingspraktijkers alarmerend vinden, is wat er bovenop het probleem wordt gelegd. Organisaties die vechten om serviceaccounts te beheren die ze al hebben, implementeren tegelijkertijd agentic AI-systemen die nieuwe niet-menselijke identiteiten creëren tegen een tempo dat pre-AI-beheerprocessen nooit konden aan. Die botsing, tussen een bekend probleem en een nieuwe versneller, is waar de blootstelling leeft.

De wiskunde van niet-menselijke identiteitsverspreiding

De verhoudingen zijn moeilijk te accepteren totdat je de wiskunde hebt doorgewerkt. Een recente studie die eerder dit jaar werd gepubliceerd, vond dat niet-menselijke identiteiten menselijke gebruikers met 82 tot 1 overtroffen in ondernemingsomgevingen. In hun Identity Security Outlook 2026-rapport meldde ManageEngine dat bijna de helft van de ondervraagde organisaties verhoudingen boven 100 tot 1 zag, met sommige sectoren die 500 tot 1 bereikten. Tussen H1 2024 en H1 2025 alleen al zag het gemiddelde bedrijf een toename van 44% in NHI-volume.

De verspreiding van niet-menselijke identiteiten in ondernemingsomgevingen was al gaande voordat agentic AI-systemen wijdverspreid werden. Deze groei werd grotendeels gedreven door de overgang naar cloudcomputing, de adoptie van microservices-architecturen en de toenemende integratie van SaaS-platforms. Agentic AI voegt echter niet alleen lineair toe aan deze bestaande uitdaging. Het zal fundamenteel de snelheid en omvang van het probleem in de toekomst veranderen. Elke agent die wordt geïmplementeerd om autonomously waarschuwingen te onderzoeken, workflows te orkestreren of toegang te krijgen tot gegevensopslag, vereist zijn eigen identiteitsinfrastructuur. Als gevolg daarvan ervaren organisaties een snelle toename van het aantal referenties, toegangstokens en machtigingsbereiken, evenals de opkomst van sub-agents die hun eigen identiteitsketens bezitten. Traditionele tools zullen waarschijnlijk niet langer in staat zijn om het aantal actieve niet-menselijke identiteiten binnen een organisatie op een bepaald moment betrouwbaar bij te houden of te kwantificeren.

Waarom dit een bedreigingsinformatieprobleem is

De wiskunde van het aanvalsoppervlak verandert wanneer agents worden betrokken. Een aanvaller die een bevoorrechte menselijke account compromitteert, heeft toegang tot één identiteit. Een aanvaller die toegang krijgt tot een verkeerd geconfigureerde agentreferentie, of de gegevens die een agent redeneert, of instructies injecteert in een agent’s invoerpijpleiding, erft de machtigingen van een autonoom systeem dat is verbonden met tientallen downstreamservices.

De incidenten materialiseren zich al. In 2025 AppOmni onthulde CVE-2025-12420 in ServiceNow’s Virtual Agent-integratie, een kwetsbaarheid die ongeautoriseerde aanvallers toeliet om elke gebruiker te imiteren met alleen een e-mailadres, MFA en SSO te omzeilen om AI-agents met beheerdersmachtigingen uit te voeren. De OpenClaw-kwetsbaarheden die in het begin van 2026 aan de oppervlakte kwamen, die een open-source AI-agentframework met meer dan 135.000 GitHub-sterren aangingen, toonden aan dat een kwaadwillige website een ontwikkelaar’s AI-agent kon overnemen zonder enige plugins of gebruikersinteractie. Mandiant’s eigen casework documenteerde bedreigingsactoren UNC6395 die OAuth-tokens stal van een SaaS-leverancier’s Salesforce-integratie om toegang te krijgen tot klantomgevingen in meer dan 700 organisaties.

De blaststraal van een identiteitscompromis is niet langer begrensd door wat één persoon kan bereiken. Het is begrensd door wat één agent was geautoriseerd om te doen, wat in veel productie-implementaties vandaag de dag betekent dat het niet praktisch begrensd is.

De beheerskloof is architectonisch

De Cloud Security Alliance en Strata Identity onderzochten beveiligingsleiders in het najaar van 2025 en vonden dat slechts 18% een hoge mate van vertrouwen uitspraken dat hun IAM-tools agentidentiteiten konden beheren. Slechts 28% konden agentacties terug traceren naar een menselijke sponsor in alle omgevingen. De belangrijkste zorgen die investeringen aandrijven, vertellen het verhaal: gevoelige datadiefstal (55%), ongeautoriseerde acties (52%), misbruik van referenties (45%) en het onvermogen om agents te ontdekken of te registreren (40%).

Deze cijfers beschrijven een omgeving waarin beveiligingsteams weten dat agents worden uitgevoerd, maar niet betrouwbaar kunnen zeggen wie ze bezit, wat ze zijn geautoriseerd om toegang te krijgen, wat ze hebben toegankelijk gemaakt of hoe ze hun referenties schoon kunnen intrekken. De identiteitskaders die de meeste ondernemingsbeveiligingsprogramma’s ondersteunen, gaan ervan uit dat acties kunnen worden toegeschreven aan een hoofdrolspeler. Wanneer een agent een sub-agent creëert, die een andere actie ketent, die een derde systeem activeert, wordt toewijzing een grafiekprobleem in plaats van een lookup. De meeste organisaties hebben geen tooling om die grafiek te doorlopen.

Cisco’s State of AI Security 2026-rapport kwantificeerde de voorbereidingskloof vanuit de andere richting: terwijl de meeste organisaties van plan waren om agentic AI te implementeren, meldden slechts 29% dat ze voorbereid waren om die implementaties te beveiligen. De overige 71% ontbreken voorbereiding niet omdat aanvallen hypothetisch zijn, maar omdat de aanvallen niet lijken op wat bestaande tools zijn ontworpen om te vangen.

Het snelheidsprobleem

Organisaties die dit het beste zullen aanpakken, zijn die welke agentidentiteit behandelen met dezelfde levenscyclusdiscipline die ze toepassen op bevoorrechte menselijke accounts. Specifiek, gedefinieerd eigendom, least-privilege-scope, roteerschema’s en een geloofwaardige kill switch. Machine-snelheidsidentiteitscreatie kan niet worden beheerd door mens-snelheids goedkeuringsprocessen. De beheerstooling moet op hetzelfde tempo opereren als de implementatietooling. Voor de meeste organisaties bestaat die tooling niet in productie. Wat ontbreekt, is niet het bewustzijn dat niet-menselijke identiteiten een risico vormen. Het is beheersinfrastructuur dat op hetzelfde kloksnelheid kan opereren als de systemen die die identiteiten creëren. Elke week dat die kloof blijft bestaan, wordt de afstand tussen wat beveiligingsteams kunnen zien en wat er daadwerkelijk wordt uitgevoerd, groter door een generatie agentimplementaties.