De sessie is niet de klant: De AI‑identiteitscrisis

Deze lente, Redwood Research gaf een AI‑agent gebouwd op Claude Opus 4.000, een internetverbinding en vier dagen om zoveel mogelijk geld te verdienen. In vier afzonderlijke runs verdiende de agent niets. Elke poging liep vast bij dezelfde muur: een CAPTCHA en een identiteitscontrole, dezelfde KYC‑horde die een bot tegenkomt bij het openen van een bankrekening.

Terwijl die agent bij de voordeur vastzat, verplaatste een andere populatie agents al echt geld via een ander kanaal om KYC te omzeilen. Volgens een onafhankelijke Chainalysis‑telling, verwerkten de agents die een omweg vonden meer dan 100 miljoen betalingen via Coinbase’s x402‑protocol op het Base‑netwerk begin 2026. Alles werd afgehandeld in stablecoins. Niemand maakte gebruik van een bank. Beide feiten verschijnen in dezelfde rapportage over de opkomende agenteneconomie. 

Een AI‑agent kan niet de wettelijke eigenaar van een bankrekening zijn. Het systeem gaat uit van een mens achter elke rekening, met KYC‑controles, wettelijke identiteit en aansprakelijkheid die aan een genoemde persoon zijn gekoppeld. Dus vonden de agents een manier om toch geld te verplaatsen, alleen niet via de deur die is gebouwd om een persoon te controleren.

Meer Machine Dan Mens

De operator achter een transactie is niet langer betrouwbaar menselijk, met 40% van de enterprise‑applicaties die tegen het einde van dit jaar naar verwachting worden geleverd met taak‑specifieke AI‑agents, tegenover minder dan 5% in 2025. Aan de consumentenzijde wendt 45% van de shoppers zich al tot AI voor een deel van een aankoop, zelfs terwijl de meeste nog steeds in fysieke winkels winkelen. Een andere enquête toonde aan dat 95% van de merchants al AI‑agentverkeer op hun sites ziet, terwijl slechts 20% productcatalogi heeft die een machine daadwerkelijk kan lezen.

Binnen de enterprise is de verhouding nog scherper. Een recent rapport vond dat machine‑identiteiten nu menselijke identiteiten 109 tot 1 overtreffen, tegenover 82 tot 1 een jaar eerder, en 77% van de organisaties verwacht dat die verhouding blijft stijgen. Hetzelfde rapport stelde dat 99% van de organisaties al AI‑agents heeft geadopteerd, en 40% van die agents al toegang heeft tot organisatiegegevens.

Wat een sessie werkelijk bewijst

Dit zou niets uitmaken als een login nog betekende wat het vroeger betekende. Dat is niet het geval. Een sessie die elk bestaand signaal wist, een echt apparaat, een schoon IP‑adres en een opgeloste verificatie‑challenge bewijst steeds minder wie of wat er aan de andere kant zit.

Dat is een smallere bewering dan het klinkt, en een nuttigere. Niemand betoogt dat automatisering op zich illegitiem is. Een eigen bankassistent, reis‑bot of inkoop‑agent van een persoon is ook een sessie, en een groeiend aandeel van echte sessies zal precies dat soort geautoriseerde proxy zijn in plaats van een persoon die direct typt. De infrastructuur maakt dat al frictieloos. Zodra een gebruiker een agent autoriseert via MCP, de open standaard die AI‑tools laat verbinden met een dienst en namens een gebruiker handelen, kan de agent blijven transacties uitvoeren onder die autorisatie zonder elke keer een nieuwe menselijke login. Het officiële MCP‑register noteerde meer dan 6.400 geregistreerde servers tegen februari 2026, waardoor die mijlpaal werd bereikt in iets meer dan een jaar sinds de release van het protocol in 2024.

Het probleem is dat de huidige risk‑stack geen betrouwbare manier heeft om een geautoriseerde proxy te onderscheiden van een agent die geheel zonder autorisatie handelt, omdat beide met dezelfde signalen binnenkomen.

ID‑documentcontroles en biometrische selfie‑scans bevestigen dat een document tot een persoon behoort en dat de persoon leeft. Ze bevestigen niet de echte intentie, of de digitale geschiedenis die een echte identiteit opbouwt, achter de transactie. Identiteitsverificatie moet verschuiven van het controleren van een uiterlijk naar het bevestigen van intentie via continuïteit. Een echt persoon bouwt jaren aan gewoon online gedrag op. Een agent die enkele minuten vóór een transactie wordt geprovisioneerd, kan dat niet vervalsen. Een sessie was altijd een proxy. Het was alleen vroeger een betrouwbare.

Het blinde punt dat niemand heeft geprijsd

Account‑takeover maakt al gebruik van de kloof tussen een sessie en een persoon, en daar verschijnt de verschuiving eerst in verliesdata. Een recente analyse van wereldwijde account‑takeover‑trends voor 2026 vond dat financiële rekeningen 32% van de inbreuken uitmaakten, waarbij sessie‑hijacking en vermoeidheidsaanvallen op multifactor authenticatie brute‑force login‑pogingen verdrongen als de voorkeursroute, precies omdat een gekaapte sessie al het vertrouwen erft dat een echte login heeft verdiend. Wereldwijd bedroeg identiteitsfraude $50 miljard in 2025, volgens dezelfde analyse, waarbij AI‑gedreven aanvallen alleen al naar schatting $40 miljard aan jaarlijkse bedrijfsverliezen veroorzaakten.

Die kloof is structureel, niet incidenteel. Een login‑check gebeurt één keer bij de voordeur, en alles wat volgt erft dat oordeel. Niets controleert opnieuw de tien minuten tussen een schone login en een frauduleuze overschrijving. Het dichten ervan vereist een discipline die de meeste fraud‑stacks nog niet hebben: sessiemonitoring, waarbij de volledige sessie wordt behandeld als een doorlopende stroom in plaats van een enkele poort. Een remote‑access‑tool die halverwege het afrekenen wordt ingeschakeld of een apparaat‑fingerprint die na de login verandert, veroorzaakt een alarm dat de oorspronkelijke check nooit kon geven.

Elke controle die is gebouwd om die kloof te vangen, was gekalibreerd op een specifieke vijand: een menselijke fraudeur die zich voordoet als een echte mens. Gedragsbiometrie leerde muisbewegingen te herkennen die te soepel zijn om menselijk te zijn. Apparaat‑intelligentie leerde de vingerafdruk van een cloud‑apparatenfarm te detecteren. Geen van beide was gebouwd om een nieuwere vraag te beantwoorden. Niet of de sessie toebehoort aan een fraudeur, maar of hij überhaupt aan iemand toebehoort.

De vraag zonder nog een naam

Die vraag heeft nog geen algemeen aanvaarde naam in de industrie, hoewel er tegen het einde van dit jaar een nodig zal zijn. Regelgevers cirkelen er al omheen, banken worden er al door getest en de agents zelf wachten niet tot een van beiden is ingehaald.

Een industrie die twee decennia heeft besteed aan het leren onderscheiden van een echte klant van een nep‑klant, wordt nu gevraagd een klant te onderscheiden van een stuk software dat geheel in naam van niemand handelt. Dat is een moeilijker probleem dan waarvoor de huidige stack is gebouwd, en doen alsof dat niet zo is, is de duurste optie op tafel.