Chainguard lanceert Workspaces en Checks om AI-codeeragenten te beveiligen

Een AI-codeeragent kan een nuttige oplossing schrijven en onderweg toch een beveiligingsincident veroorzaken. De agent kan een gecompromitteerde afhankelijkheid installeren, instructies opvolgen die in niet-vertrouwde inhoud zijn verstopt, of een opdracht uitvoeren met inloggegevens die veel meer toegang geven dan voor de taak nodig is. Nu teams steeds meer agenten parallel inzetten, is het beveiligen van de code die ze produceren maar een deel van het probleem.

Chainguard pakt die bredere blootstelling aan risico’s aan met drie aankondigingen tijdens Assemble London: Workspaces, geïsoleerde omgevingen voor ontwikkelaars en codeeragenten; Checks, een verificatie-engine die binnen de ontwikkelcyclus van de agent moet draaien; en uitgebreidere bescherming via Libraries, met ondersteuning voor extra programmeertalen en het verhelpen van kwetsbaarheden.

De lanceringen sluiten aan op drie vragen die ondernemingen steeds vaker moeten beantwoorden: waar een agent wordt uitgevoerd, hoe het werk ervan wordt gecontroleerd en welke externe software de organisatie binnenkomt. Workspaces en Checks worden als bètaversie gelanceerd, terwijl het nieuwe aanbod van Libraries voor Go en .NET Early Access ingaat.

Een grens stellen aan elke codeeragent

Chainguard Workspaces geeft elke ontwikkelaar en agent een afzonderlijke externe micro-VM. De omgeving synchroniseert de lokale werkboom van de ontwikkelaar, zodat die de eigen editor en Git-werkwijze kan blijven gebruiken terwijl de uitvoering buiten de eigen machine plaatsvindt. Afzonderlijke omgevingen stellen meerdere agenten ook in staat om parallel wijzigingen uit te proberen, zonder dezelfde werkomgeving te delen.

Dat onderscheid is belangrijk, omdat de nuttige mogelijkheden van een agent — opdrachten uitvoeren, pakketten installeren en diensten benaderen — ook potentiële routes voor compromittering zijn. Een beleidsregel in de instructies van een agent werkt alleen als de agent die opvolgt. Een grens die door de uitvoeringsomgeving wordt afgedwongen, kan beperken wat er gebeurt, zelfs wanneer het model een verkeerde beslissing neemt.

Volgens de aankondiging worden echte inloggegevens buiten de werkruimte geïnjecteerd. Tools die een inloggegeven op schijf nodig hebben, ontvangen een versleutelde vervanger met een korte geldigheidsduur. Optionele beleidsregels voor uitgaand verkeer beperken verbindingen met bestemmingen die niet zijn goedgekeurd. Zo wordt het voor een gecompromitteerde afhankelijkheid of een agent die door geïnjecteerde prompts wordt aangestuurd moeilijker om gegevens elders naartoe te sturen.

Deze maatregelen beperken verschillende risico’s. Hardware-isolatie scheidt werklasten; het beheer van inloggegevens houdt herbruikbare geheimen buiten het bereik van de agent; en netwerkbeleid beperkt met welke partijen die kan communiceren. De effectiviteit ervan hangt nog steeds af van de machtigingen en bestemmingen die een organisatie goedkeurt. Isolatie maakt niet elke toegestane handeling onschadelijk.

De omgevingen gebruiken Chainguard OS Packages en controleren afhankelijkheden tijdens de uitvoering aan de hand van het lockbestand. Het bestaande aanbod van OS Packages van Chainguard levert doorlopend onderhouden pakketten, bouwt die vanuit de broncode op en bevat softwaremateriaallijsten. Die basis verklaart de aanpak van het bedrijf: de gecontroleerde softwarebasis uitbreiden naar de omgeving waarin agenten worden uitgevoerd.

Workspaces genereert ook ondertekende registraties van de omgeving, de codewijzigingen en de resultaten van controles. Zo kunnen beveiligingsteams onderzoeken wat een agent heeft gedaan, in plaats van uitsluitend af te gaan op diens eigen samenvatting van de sessie.

Verificatie verplaatsen naar de werkcyclus van de agent

Code genereren kan snel gaan, terwijl het traject naar geverifieerde code traag blijft. Een agent brengt een wijziging aan en dient die in bij continue integratie. Vervolgens wacht de agent tot een uitvoerder is opgestart, waarna die een foutmelding krijgt terwijl de werkcontext alweer is veranderd. Als dit proces zich bij veel agenten herhaalt, kunnen wachtrijen langer worden en kan voorbereidend werk dubbel worden uitgevoerd.

Chainguard Checks verplaatst de verificatie naar die werkcyclus, waar deze als toolaanroep wordt uitgevoerd. In combinatie met Workspaces wordt de agentsessie onderbroken terwijl de controles draaien. Daarna wordt de sessie hervat en staan gestructureerde foutlogboeken in de context. De beoogde werkwijze is iteratief: een wijziging aanbrengen, controles uitvoeren, de fout bekijken en het opnieuw proberen voordat het resultaat wordt overgedragen.

Voorverwarmde momentopnamen bevatten vooraf geïnstalleerde afhankelijkheden en worden opnieuw opgebouwd wanneer het lockbestand verandert. Elke stap in de werkstroom wordt uitgevoerd in een eigen, door hardware geïsoleerde micro-VM. De aankondiging beschrijft ook hoe kort geldige inloggegevens aan de hostzijde in uitgaande verzoeken worden geïnjecteerd, evenals declaratieve beleidsregels voor netwerktoegang.

Een geslaagde uitvoering levert een ondertekende attestatie op die de omgeving, het testresultaat en de commit met elkaar verbindt. Downstream-controles voor samenvoegingen kunnen dat bewijs verifiëren en het resultaat accepteren zonder dezelfde testreeks opnieuw uit te voeren, aldus Chainguard.

Daarmee wordt duidelijk hoe bewijs overbrengen verschilt van alleen de bewering van een agent overbrengen dat de tests zijn geslaagd. Een attestatie kan vastleggen welke controles op welke commit in welke omgeving zijn uitgevoerd. Ze kan niet aantonen dat de tests alle belangrijke gedragingen hebben afgedekt of dat een geslaagde wijziging aan alle beveiligingseisen voldoet. Teams hebben nog steeds passende tests, vertrouwde verificatiebeleidsregels en beoordelingen nodig wanneer menselijk oordeel van belang is.

Chainguard zegt dat het ontwerp resultaten binnen enkele seconden oplevert en overbodige rekenkracht vermindert. Het lanceringsmateriaal bevat geen onafhankelijk gevalideerde benchmark die een algemene verbetering van snelheid of kosten voor alle codeopslagplaatsen aantoont.

De afhankelijkheden beveiligen die agenten binnenhalen

De derde aankondiging breidt Chainguard Libraries uit: de beheerde catalogus en eindpunten voor open-sourceafhankelijkheden van programmeertalen. De bestaande dienst is ontworpen om aan te sluiten op artifactbeheerders en ontwikkelworkflows, en biedt herkomstgegevens en ondertekende softwarestuklijsten voor door Chainguard gebouwde pakketten.

Het nieuwe Go-eindpunt omvat scans op malware en greyware, configureerbaar pakketbeleid en herstel van CVE’s. Het .NET-eindpunt biedt een alternatief voor rechtstreeks gebruik van NuGet, met scan- en beleidsmaatregelen. Beide gaan naar Early Access.

Chainguard voegt ook CVE-herstel toe voor JavaScript en Go, met daarin backports van oplossingen voor kwetsbaarheden met een kritieke en hoge ernst. Backports zijn belangrijk wanneer een team niet meteen kan overstappen op een nieuwere hoofdversie zonder wijzigingen aan de applicatie of uitgebreide tests. Zo kan de blootstelling worden beperkt terwijl de grotere upgrade wordt gepland.

Voor Java en Python zegt het bedrijf dat Athena, zijn coalitie binnen de sector, oplossingen zal leveren voor kwetsbaarheden die door geavanceerde AI-modellen zijn ontdekt, op de dag dat die kwetsbaarheden openbaar worden. Dit is een claim over de responstijd vanaf de openbare bekendmaking, geen garantie dat er geen niet-openbaar gemaakte gebreken bestaan.

Een enquête laat zien waarom patchen alleen onder druk staat

Naast de producten brengt Chainguard The AI Exploit Gap uit, een enquête in opdracht van Chainguard, uitgevoerd door Wakefield Research. In september 2026 werden reacties verzameld van 1.300 cybersecurityleiders in negen markten. De respondenten hadden minimaal het niveau van directeur en werkten doorgaans bij organisaties met minstens 500 werknemers; in Singapore en de VAE/Saoedi-Arabië gold een minimum van 250 werknemers.

In die enquête zei 54% dat hun organisaties bewust kwetsbaarheden met een hoge of kritieke ernst soms of vaker ongepatcht laten, en gaf 93% aan bezorgd te zijn dat AI-gestuurde exploits niet snel genoeg worden verholpen. Zo’n 76% meldde het afgelopen jaar een bevestigde of vermoedelijke AI-gestuurde aanval.

Het laatste cijfer omvat zowel bevestigde incidenten als vermoedens. Het mag niet worden opgevat als een onafhankelijk geverifieerde maatstaf voor aanvallen die door AI zijn veroorzaakt. In bredere zin gaat het om meldingen en verwachtingen van respondenten, niet om telemetrie die aantoont hoe vaak een bepaalde aanvalstechniek slaagt.

De operationele bevindingen zijn veelzeggend. Van de bedrijven met een omzet van minstens $1 miljard meldde 66% dat ze kwetsbaarheden met een hoge of kritieke ernst soms of vaker ongepatcht laten, tegenover 27% van de bedrijven met een omzet onder $250 miljoen. Grotere organisaties noemden zakelijke afwegingen, zoals verstoringen en concurrerende productprioriteiten. Het verschil gaat dus zowel over de mogelijkheid om wijzigingen door te voeren als over het vermogen om kwetsbaarheden te ontdekken.

Meer autonomie vereist meer controle die verifieerbaar is

De drie lanceringen van Chainguard vormen samen een samenhangende aanpak: de uitvoeringsomgeving begrenzen, agents snel en herleidbaar laten verifiëren en de afhankelijkheden die ze gebruiken beheren. Elk onderdeel richt zich op een ander aspect van dezelfde ontwikkelworkflow.

In de praktijk zal moeten blijken of deze maatregelen passen bij echte repositories, service-integraties en releasebeleid zonder een nieuw knelpunt te worden. Door de bèta- en Early Access-status moet dit werk nog worden uitgevoerd. De richting is echter duidelijk: naarmate codeeragents meer handelingsmogelijkheden krijgen, hebben ondernemingen beveiligingsmaatregelen nodig die gedurende het hele werkproces afdwingbaar en controleerbaar blijven.