IRONSCALES-rapport: AI-agenten worden een nieuw doelwit voor phishing

Een phishingbericht hoeft de medewerker van wie de inbox is niet langer te overtuigen. Het kan zich richten op de software die namens die medewerker de inbox leest. Dat is de centrale waarschuwing in het nieuwe rapport van IRONSCALES, Van deepfakes tot dubbelagenten: het nieuwe gezicht van AI-gedreven cyberrisico. Daarin wordt vastgesteld dat bedrijven sneller tools kunnen inzetten die zelfstandig acties uitvoeren dan de beveiligingsmaatregelen eromheen kunnen worden aangepast.

In de door het bedrijf in opdracht uitgevoerde enquête van Censuswide zei 77% van de respondenten dat een AI-agent of -tool binnen hun organisatie in het afgelopen jaar had gehandeld op basis van kwaadaardige, misleidende of ongeautoriseerde inhoud. Een kleiner, maar nog altijd aanzienlijk aandeel van 57% meldde ten minste één bevestigd geval. Deze cijfers geven weer welke incidenten respondenten hebben gemeld, waaronder vermoedelijke gebeurtenissen in het grotere totaal; het gaat niet om een onafhankelijk geverifieerd aantal geslaagde inbreuken.

De bevindingen gaan gepaard met een bemoedigender ontwikkeling: de investeringen in bescherming tegen deepfakes namen toe, terwijl de gemelde financiële verliezen minder ernstig werden. Samen wijzen de resultaten op een praktische uitdaging voor beveiligingsverantwoordelijken: de bescherming uitbreiden naar geautomatiseerde besluitvormers zonder de beveiliging die voor mensen is ontwikkeld overboord te zetten.

AI-agenten hebben toegang tot belangrijke systemen

Censuswide ondervroeg 501 Amerikaanse IT- en cybersecurityprofessionals op middenmanagementniveau of hoger, werkzaam bij bedrijven met 1.000 tot 10.000 werknemers. De deelnemers waren tussen de 25 en 55 jaar oud. Het veldwerk vond plaats van 9 tot en met 17 september 2026. De resultaten beschrijven dus deze steekproef van grote bedrijven, niet alle bedrijven die AI gebruiken.

Binnen deze steekproef zei 96% dat hun organisatie AI-agenten of -tools gebruikt die namens werknemers kunnen handelen, en omschreef 52% het gebruik ervan als wijdverbreid. Het rapport hanteert een brede definitie, die ook tools omvat die berichten lezen en beantwoorden, toegang hebben tot bestanden en workflows in gang zetten.

Van de organisaties die deze tools gebruiken, geeft 67% ze toegang tot ticket- of helpdesksystemen, 56% tot cloudopslag en 49% tot e-mail of berichtenverkeer. Nog eens 30% verleent toegang tot systemen voor financiën, facturering, inkoop of betalingen. Slechts 19% zei dat de tools beperkt waren tot het openbare web, zonder interne toegang.

Het verschil tussen een vraag beantwoorden en een handeling uitvoeren is belangrijk. Een onjuiste samenvatting kan een lezer misleiden; een tool die is gekoppeld aan bedrijfssystemen kan ook informatie verplaatsen of een workflow in gang zetten. De toegangsrechten van de tool helpen bepalen hoe ver een fout kan doorwerken.

Ook voor agenten is de inbox een toegangspunt

Van de respondenten die een incident met een AI-agent meldden, zei 42% dat een AI-tool een kwaadaardige e-mail of ander bericht had samengevat of ernaar had gehandeld. Nog eens 41% meldde dat een aanvaller een AI-tool had gebruikt voor phishing of social engineering. Deze categorieën kunnen elkaar overlappen. De tweede omvat het gebruik van AI door een aanvaller en betekent niet noodzakelijk dat de eigen agent van het slachtoffer is gecompromitteerd.

Die nuance is belangrijk. De enquête brengt verschillende soorten AI-gerelateerde incidenten samen in één beeld; daaruit blijkt niet dat bij elk incident dezelfde aanvalstechniek is gebruikt. Toch laat de enquête zien waarom organisaties zowel de inhoud moeten onderzoeken die agenten verwerken als de acties die hun integraties toestaan.

Een nuttige manier om het risico te begrijpen, is onderscheid te maken tussen informatie en bevoegdheid. Een bericht kan instructies bevatten, maar doordat het in een inbox binnenkomt, zijn die instructies nog niet geautoriseerd. Wanneer software in gekoppelde systemen acties kan uitvoeren, wordt het handhaven van die grens onderdeel van het toegangsbeheer en het ontwerp van workflows.

Het platform voor e-mailbeveiliging van IRONSCALES weerspiegelt de aandacht van het bedrijf voor dit toegangspunt. Het bedrijf beschrijft een API-gebaseerde aanpak die AI-analyse, geautomatiseerd onderzoek en menselijke dreigingsinformatie combineert, naast phishing-simulaties en bescherming tegen deepfakes voor Microsoft Teams. Deze mogelijkheden geven context bij het perspectief van de sponsor van het onderzoek; in deze enquête wordt de effectiviteit van de producten niet onafhankelijk beoordeeld.

Er zijn goedkeuringsprocedures, maar beveiliging speelt zelden de hoofdrol

Van de 479 respondenten bij wie de organisatie AI-tools gebruikt die acties kunnen uitvoeren, noemde 78% IT als de belangrijkste goedkeurder van agenten, assistenten, plug-ins en connectoren. Slechts 6% noemde de beveiligingsafdeling, terwijl 14% zei dat de goedkeuring door meerdere groepen werd gedeeld.

De belangrijkste goedkeurder zijn is iets anders dan überhaupt betrokken zijn. Uit de cijfers blijkt niet dat beveiliging bij alle overige goedkeuringsprocedures is uitgesloten. Wel blijkt eruit dat beslissingen over tools met ruime toegangsrechten doorgaans ergens anders worden genomen.

Van de organisaties die een incident meldden, zei 39% dat een medewerker een AI-tool toegang had verleend die de beveiligingsafdeling niet zou hebben goedgekeurd. Daarmee wordt de vraag naar governance concreet: wie beoordeelt de toegangsrechten voordat een connector wordt ingeschakeld, en wie kan die intrekken wanneer de tool zich onverwacht gedraagt?

Het rapport constateert ook een kloof tussen vertrouwen en uitvoering. Hoewel 93% zei dat de incidentresponsplannen betrekking hebben op AI-agenten en 84% er vertrouwen in had dat zij een AI-gedreven incident konden herkennen, zei slechts 52% dat formeel beleid, beheersmaatregelen en incidentresponsprocessen allemaal waren ingevoerd. Nog eens 35% meldde dat er beleid was, maar dat de technische beheersmaatregelen beperkt waren.

Verliezen door deepfakes daalden, maar de dreiging bleef bestaan

De bevindingen over deepfakes laten een positievere ontwikkeling zien dan Censuswide’s enquête uit 2025 onder 500 respondenten met hetzelfde profiel. De actieve investering in verdedigingsmaatregelen steeg van 37% naar 48%. Van de organisaties die financiële verliezen rapporteerden, daalde het aandeel dat minstens $100.000 verloor van 63% naar 49%, terwijl het aandeel dat $1 miljoen of meer verloor terugliep van 6% naar 3%.

De geschatte gemiddelde verliezen bij organisaties die financieel waren getroffen, daalden van ongeveer $280.000 naar $225.000. Deze schattingen zijn gebaseerd op de middelpunten van de gerapporteerde verliescategorieën. Omdat de enquêtes op verschillende manieren naar verliezen vroegen, zijn antwoorden over geen verlies, onzekerheid en liever niet zeggen buiten de vergelijking gelaten.

Het rapport waarschuwt uitdrukkelijk dat het gelijktijdig toenemen van investeringen en afnemen van verliezen niet bewijst dat het ene het andere heeft veroorzaakt. Ook zijn incidenten niet verdwenen: 84% meldde minstens één deepfakegerelateerd incident, tegenover 85% in 2025. De definitie is breed en omvat zowel gemanipuleerde afbeeldingen en vervalste e-mails als realtime-imitatie van stemmen en video.

Er is ook sprake van concurrerende prioriteiten. Het aandeel dat bescherming tegen deepfakes als topprioriteit aanmerkte, daalde van 71% naar 60%, terwijl AI die zelfstandig acties kan uitvoeren een extra beroep doet op beveiligingsbudgetten. De lagere verliezen zijn reden om te onderzoeken wat werkt, en niet om aan te nemen dat de dreiging voorbij is.

Bescherm de acties, niet alleen het gesprek

IRONSCALES adviseert om de beveiligingsafdeling te betrekken bij de goedkeuring van agents, hun machtigingen te beperken, hun acties te monitoren en de respons op incidenten te testen met aanvallen die zowel op medewerkers als op agents zijn gericht. Deze aanbevelingen verbinden de twee thema’s van het rapport: misleidende inhoud blijft gevaarlijk, maar software die toestemming heeft om te handelen verandert hoe zulke misleiding gevolgen kan hebben.

Voor een bedrijfsteam betekent dit dat het moet weten welke agents er zijn, tot welke systemen elke agent toegang heeft en voor welke acties menselijke controle nodig is. Logboeken moeten het mogelijk maken te reconstrueren wat de tool heeft gelezen en gedaan. Bij tests moet worden onderzocht of een niet-vertrouwd bericht invloed kan hebben op een geautoriseerde workflow, in plaats van alleen te meten of medewerkers een verdachte e-mail herkennen.

De belangrijkste bijdrage van het rapport is de beschrijving van de kloof tussen invoering, vertrouwen en daadwerkelijk geïmplementeerde beheersmaatregelen. In het volledige rapport Van deepfakes tot dubbelagenten: het nieuwe gezicht van cyberrisico door AI kunnen lezers de enquêtevragen, methodologische kanttekeningen en aanbevelingen bekijken.