AI-agents worden slimmer en hun aanvalsoppervlak groeit

Op het moment dat AI-agents namens u vergaderingen gingen plannen, code gingen uitvoeren en op het web gingen surfen, veranderde het gesprek over cyberbeveiliging. Niet langzaam, maar in één nacht.

Wat eerst een beperkt, voorspelbaar softwaresysteem was, werd plotseling iets dat redeneert, plant en acties onderneemt via tools en API’s waarvan het een jaar geleden nauwelijks wist dat ze bestonden.

Dat is echt spannend, en het is ook echt angstaanjagend, omdat het aanvalsoppervlak dat daarbij hoort enorm is, en de meeste organisaties beginnen pas te begrijpen wat het betekent om agents toe te laten in hun infrastructuur.

Van chatbots naar uitvoerders

De oorspronkelijke belofte van AI was eenvoudig: stel een vraag, krijg een antwoord. Dat is nog steeds waar voor de meeste consumenteninteracties, maar het is niet wat er gebeurt in enterprise-implementaties. Tegenwoordig krijgen agents inloggegevens, API-sleutels en de mogelijkheid om data te verwijderen, te creëren en te annoteren, en daadwerkelijke handelingen uit te voeren in systemen met echte gevolgen.

De verschuiving gebeurde snel. In minder dan twee jaar gingen AI-agents van tekstgeneratoren naar het mogelijk maken om soepel werkende multi-agentsystemen te draaien. Ze lezen e-mails, activeren workflows, ondervragen databases en soms beheren ze andere agents onder hen. Dat niveau van toegang vereiste vroeger een langdurig aankoopproces en een menselijke tussenkomst. Nu volstaan een configuratiebestand en een paar API-aanroepen.

Meer toegang betekent meer blootstelling

Traditionele software-aanvallen hebben een enigszins voorspelbaar profiel. Er is een bekende ingang, een bekende kwetsbaarheid, een bekende patch. AI-agents breken dat model omdat ze vanuit hun ontwerp dynamisch zijn. Ze volgen geen statisch codepad. Ze redeneren over wat ze vervolgens moeten doen, waardoor hun gedrag moeilijker te voorspellen en veel moeilijker te controleren achteraf is.

Die onvoorspelbaarheid is nuttig voor het uitvoeren van taken. Het is ook een voordeel voor iedereen die het systeem probeert te exploiteren. Wanneer een agent kan beslissen, halverwege een taak, om een extern API aan te roepen of een derdepartijtool in te schakelen, is er geen duidelijke grens te verdedigen.

Beveiligingsteams zijn gewend om bekende oppervlakken te beschermen en Kubernetes-kosten te controleren. Agents blijven nieuwe oppervlakken en exploits ontdekken, en niemand brengt ze in realtime in kaart. Voordat je het weet, kan iemand de inloggegevens kapen en de controle over uw hele AI-“organisme” overnemen met één beweging.

Promptinjectie is de nieuwe SQL-injectie

Als er één aanvalsvector is die beveiligingsonderzoekers blijven noemen, is het prompt-injectie. Het idee is eenvoudig: in plaats van een codekwetsbaarheid te exploiteren, manipuleert een aanvaller de instructies die een agent via zijn invoer ontvangt. Een kwaadwillige instructie ingebed in een webpagina, een document of zelfs een e-mail kan de acties van de agent omleiden.

Wat dit bijzonder gevaarlijk maakt, is dat agents vaak precies doen wat ze worden opgedragen. Ze verwerken inhoud van het web, van gebruikersberichten, van derdepartijtools. Elke inhoud is een potentieel injectieoppervlak. Een agent die een gecompromitteerd document leest en vervolgens API-aanroepen doet op basis van de inhoud, is gekaapt, en die zal waarschijnlijk niets loggen dat de keten van oorzaak en gevolg duidelijk maakt.

De verdedigingen hier zijn echt, maar onvolledig. Het sandboxen van agentacties, het beperken van de tools die een agent in bepaalde contexten kan aanroepen, en het opnemen van menselijke checkpoints in workflows met ingrijpende gevolgen verkleinen het risico. Ze elimineren het niet. En de meeste organisaties hebben zelfs de basis nog niet geïmplementeerd.

Het vertrouwensprobleem binnen multi-agentsystemen

Multi-agentsystemen introduceren een laag complexiteit die gemakkelijk onderschat kan worden. Wanneer één agent meerdere anderen coördineert, is er een vertrouwenshiërarchie in het spel. De coördinator geeft instructies door, en sub-agents volgen ze. Als die coördinator wordt gecompromitteerd, is elke ondergeschikte agent feitelijk ook gecompromitteerd, en de omvang van de schade groeit razendsnel.

Er is ook het probleem van te ruime bevoegdheden. Agents krijgen vaak meer toegang dan nodig omdat het gemakkelijker is om brede toegang van tevoren te geven dan om deze iteratief te verfijnen. Een onderzoeksagent heeft geen schrijftoegang tot een productiedatabase nodig.

Een planningsagent heeft geen toegang tot financiële records nodig. Het is waar dat het geruststellend voelt als alles met elkaar verbonden is, maar het is gewoon te riskant om de opbrengsten op peil te houden zonder dat ze afnemen. Maar de grenzen worden in de praktijk vaag, en principes van minimale rechten die in theorie goed werken, worden stilzwijgend verlaten in de haast om te publiceren.

Hoe redelijke beveiliging er hier uitziet

Er is geen op zichzelf staande oplossing die agent-implementaties veilig maakt. Het is een gelaagd probleem en het heeft een gelaagde reactie nodig. Organisaties die dit goed doen, beginnen meestal met toegangscontrole: geef elke agent een duidelijk afgebakende, beperkte reikwijdte en bouw reviewstappen in elke actie die gevoelige systemen of externe diensten aanraakt.

Observeerbaarheid is net zo belangrijk als preventie. Als een agent iets onverwachts doet, hebben teams een volledig spoor nodig van de instructies die de agent ontving, de tools die de agent aanriep en de resultaten die hij teruggaf. De meeste logging-instellingen zijn niet gebouwd met die mate van granulariteit in gedachten, en het retrofitten ervan achteraf is pijnlijk. Het is de extra moeite waard om dit vanaf het begin in te bouwen.

Testen vanuit het perspectief van een aanvaller wordt ook te weinig ingezet. Red teaming van agents, met name het injecteren van kwaadwillige instructies en het observeren van de gevolgen, brengt kwetsbaarheden aan het licht die statische codecontrole nooit zal vinden. Het is oncomfortabel om over na te denken, maar de mensen die deze systemen uiteindelijk zullen proberen te exploiteren, voeren zulke tests al uit. Hun voor zijn is de enige verstandige zet.

Tot slot

AI-agents zullen een groter deel worden van hoe organisaties opereren, en die verschuiving is al goed op gang. Het beveiligingsgesprek moet hiermee meegaan, en snel. De risico’s zijn echt, de aanvalsvectoren zijn nieuw, en het venster om hierop vooruit te lopen, wordt smaller.

Het begrijpen van het bedreigingslandschap voor autonome AI-systemen is niet langer optioneel. Het is een van de belangrijkste dingen die beveiligings- en engineersteams nu kunnen doen, en de klok is al gestart om het goed te doen.