De verborgen dreiging van AI-agents vereist een nieuw beveiligingsmodel

Agentic AI-systemen zijn het afgelopen jaar mainstream geworden. Ze worden nu gebruikt voor verschillende functies, waaronder het valideren van gebruikers, het overboeken van kapitaal, het triggeren van compliance-workflows en het coördineren van ondernemingsomgevingen met minimale menselijke toezicht.

Echter, een stiller probleem ontstaat met de toenemende autonomie, niet op het niveau van prompts of beleid, maar op het niveau van infrastructuurvertrouwen. Agentic systemen krijgen insider-gerechtigdheid, maar draaien nog steeds op compute-omgevingen die nooit zijn ontworpen om autonome beslissers te beschermen tegen de infrastructuur eronder.

Traditionele beveiliging gaat ervan uit dat software passief is, maar agentic systemen zijn dat niet. Ze redeneren, onthouden en handelen continu, autonoom en met gedelegeerde autoriteit.

Om nog maar te zwijgen dat AI-agents waarschijnlijk toegang hebben tot persoonlijke gegevens, op basis van hun gebruik, zoals e-mails en telefoonrecords, en andere dingen.

Bovendien, terwijl hardware-gebaseerde beschermingen, zoals vertrouwelijke virtuele machines en beveiligde enclaves, bestaan, zijn ze nog niet de standaardbasis voor de meeste agentic AI-implementaties. Als gevolg daarvan draaien veel agents nog steeds in omgevingen waarin gevoelige gegevens worden blootgesteld aan de onderliggende infrastructuur tijdens runtime.

Agents zijn insiders, niet tools

Beveiligingsteams weten al hoe moeilijk het is om insider-dreigingen te beteugelen, een kwestie die wordt benadrukt in Verizon’s 2025-datalek rapport, dat aantoont dat systeeminbraak verantwoordelijk was voor meer dan 53% van de bevestigde inbraken vorig jaar. In 22% van deze gevallen gebruikten aanvallers gestolen referenties om toegang te krijgen, wat aantoont hoe vaak ze slagen door legitieme identiteiten te gebruiken in plaats van technische fouten te exploiteren.

Nu moet u een agent overwegen, die bestaat uit prompt-logica, tools en plugins, referenties, evenals beleid. Niet alleen kan het code uitvoeren en op het web browsen, maar het kan ook CRMs opvragen, e-mails lezen en tickets pushen, en nog veel meer. Wat de combinatie van functies heeft gebracht, is traditionele aanvalsoppervlakken in een modern interface.

Het gevaar dat wordt gevormd door dergelijke insider-dreigingen is niet speculatief. Het Open Web Application Security Project (OWASP) lijst “Prompt Injection” op als een kritieke kwetsbaarheid voor LLM-toepassingen, waarin wordt opgemerkt dat het een bijzonder gevaar vormt voor agentic systemen die acties ketenen. Microsoft’s Threat Intelligence-team heeft ook adviezen uitgegeven die waarschuwen dat AI-systemen met tooltoegang kunnen worden omgeleid om gegevensdiefstal uit te voeren als beveiligingsmaatregelen niet architectonisch worden afgedwongen.

Deze rapporten zijn een tijdige herinnering dat agents die legitieme toegang hebben tot systemen en gegevens tegen hun eigenaren kunnen worden gebruikt. Echter, het risicolandschap voor agentic systemen is niet eenheid. Toepassingslaagdreigingen zoals prompt-injectie en toolmisbruik stammen uit de onmogelijkheid van het model om vertrouwde instructies te onderscheiden van onvertrouwde gebruikersinvoer, een ontwerplimiet die geen enkele vorm van geheugenharden kan verhelpen.

Een ander en even belangrijk probleem bestaat op het niveau van de infrastructuur: sommige agents draaien in plaintext-geheugen, wat betekent dat gevoelige informatie – zoals chatgeschiedenis, API-antwoorden en documenten – zichtbaar kan zijn terwijl het wordt verwerkt en mogelijk later toegankelijk blijft. OWASP identificeert dit risico als Sensitive Information Disclosure (LLM02) en System Prompt Leakage (LLM07) en stelt voor om contextisolatie, naamruimte-segmentatie en geheugenzandbakken te gebruiken als belangrijke veiligheidsmaatregelen.

Zoals zodanig, zouden gebruikers deze agents niet moeten behandelen als gewone toepassingen, aangezien ze dynamische, redenerende uitvoerders zijn die een beveiligingsmodel vereisen dat rekening houdt met hun unieke aard als niet-menselijke entiteiten met agentie. Deze aanpak moet zowel softwarecontroles omvatten om te beperken hoe het model handelt, als hardwarebeschermingen om gegevens veilig te houden terwijl het wordt gebruikt.

De architectuur van vertrouwen heeft een kritieke fout

Huidige beveiligingspraktijken richten zich op het beschermen van gegevens in rust en in transit. De laatste frontier, gegevens in gebruik, blijft bijna geheel blootgesteld. Wanneer een AI-agent redeneert over een vertrouwelijke dataset om een lening goed te keuren, patiëntrecords te analyseren of een transactie uit te voeren, worden die gegevens meestal ontsleuteld en verwerkt in platte tekst binnen het geheugen van de server.

In standaard cloudmodellen kan iedereen met voldoende controle over de infrastructuur, inclusief hypervisor-beheerders of co-tenant-aanvallers, potentieel meekijken naar wat er gebeurt terwijl een workload wordt uitgevoerd. Voor AI-agents is die blootstelling bijzonder gevaarlijk, aangezien ze toegang nodig hebben tot gevoelige informatie om hun werk te doen, wat potentieel het aanvalsoppervlak kan worden.

Zoals Lumia Security heeft aangetoond, kunnen aanvallers met toegang tot een lokale machine JWT’s en sessiesleutels rechtstreeks uit het procesgeheugen van ChatGPT, Claude en Copilot-desktoptoepassingen verkrijgen. Deze gestolen referenties kunnen hen in staat stellen om zich voor te doen als een andere gebruiker, conversatiegeschiedenis te stelen en prompts in te voeren in lopende sessies die het agentgedrag kunnen veranderen of valse herinneringen kunnen planten.

Een voorbeeld hiervan kan de geheugendump-incident van AWS CodeBuild in juli 2025. De aanvallers voegden stiekem kwaadaardige code toe aan een project, en toen het systeem het uitvoerde, keek de code in het computergeheugen en stal verborgen login-tokens die daar waren opgeslagen. Met die tokens konden de aanvallers de projectcode veranderen en mogelijk toegang krijgen tot andere systemen.

Voor financiële instellingen is de stille manipulatie existentieel. Banken, verzekeraars en investeringsfirma’s absorberen al gemiddelde inbreuk kosten van meer dan $10 miljoen, en ze begrijpen dat integriteit even belangrijk is als vertrouwelijkheid. Volgens een recente Informatica rapport, werd de “trustparadox” als volgt uitgelegd: organisaties implementeren autonome agents sneller dan ze hun uitvoer kunnen verifiëren. Het resultaat is automatisering die fouten of vooroordelen kan hardwiren in kernprocessen, die op machinesnelheid werken.

Vertrouwelijke computing en het geval voor isolatie

Incrementele reparaties zullen het probleem niet oplossen, hoewel striktere toegangscontroles en betere monitoring kunnen helpen. Toch kunnen ze het onderliggende probleem niet veranderen. Het probleem is architectonisch, en zolang berekening plaatsvindt in blootgesteld geheugen, zullen agents kwetsbaar zijn op het moment dat het het meest telt, namelijk bij het redeneren.

Vertrouwelijke computing, gedefinieerd door de Confidential Computing Consortium (CCC) als de bescherming van gegevens in gebruik via hardware-gebaseerde Trusted Execution Environments (TEEs), richt zich rechtstreeks op de kernfout.

Voor AI-agents is deze hardware-niveau-isolatie transformatief, aangezien het een agent zijn identiteitsreferenties, zijn modelgewichten, propriëtaire prompts en de gevoelige gebruikersgegevens die het verwerkt, laat versleuteld blijven, niet alleen op schijf of via een netwerk, maar actief in geheugen tijdens uitvoering. De scheiding breekt definitief het traditionele model waarin controle over de infrastructuur garantie biedt voor controle over de workload.

Remote attestation biedt verifieerbare cryptografische bewijzen dat een specifieke inferentieaanvraag is uitgevoerd binnen een hardware-gebackte vertrouwde uitvoeromgeving, of het nu een CPU of GPU is. Het bewijs wordt gegenereerd uit hardwaremetingen en geleverd samen met het antwoord, waardoor onafhankelijke verificatie mogelijk is van waar en hoe de workload is uitgevoerd.

Attestatie-records onthullen de code die is uitgevoerd niet. In plaats daarvan wordt elke workload geassocieerd met een unieke workload-ID of transactie-ID, en de TEE-attestatie-record is gekoppeld aan die identifier. De attestatie bevestigt dat de berekening is uitgevoerd binnen een vertrouwde omgeving zonder de inhoud ervan te onthullen.

De setup creëert een nieuwe basis voor compliance en auditability, waardoor het mogelijk wordt om de acties van een agent te koppelen aan een specifieke versie van code die is geattesteerd en een bekende set invoergegevens.

Naar verantwoorde autonomie

De implicaties voor het systeem dat hierboven wordt beschreven, gaan verder dan de basisbeveiliging. Overweeg de wetten die financiën, gezondheidszorg en persoonlijke informatie reguleren. Veel rechtsgebieden passen gegevenssoevereiniteitsregels toe die beperken waar informatie mag worden verwerkt. In China vereisen de Wet op de bescherming van persoonlijke informatie en de Wet op gegevensbeveiliging dat bepaalde categorieën gegevens, zoals belangrijke persoonlijke gegevens, in het land moeten worden opgeslagen en moeten worden beoordeeld voordat ze naar het buitenland worden overgebracht.

Soortgelijk hebben verschillende Golfstaten, zoals de VAE en Saoedi-Arabië, soortgelijke benaderingen geadopteerd, met name voor financiële, overheids- en kritieke infrastructuurgegevens.

Vertrouwelijke computing kan de beveiliging en auditability versterken door gegevens te beschermen terwijl ze worden verwerkt en door attestatie van de runtime-omgeving mogelijk te maken. Echter, het verandert niet waar de verwerking plaatsvindt. Waar gegevenssoevereiniteitsregels lokale verwerking vereisen of voorwaarden opleggen aan grensoverschrijdende overdrachten, kunnen vertrouwde uitvoeromgevingen ondersteuning bieden voor compliance-controles, maar niet de wettelijke vereisten vervangen.

Bovendien maakt vertrouwelijke computing veilige samenwerking mogelijk in multi-agent systemen, waarin agents van verschillende organisaties of binnen verschillende afdelingen vaak informatie moeten delen of uitvoer moeten valideren zonder propriëtaire gegevens bloot te geven.

En wanneer de technologie wordt gecombineerd met zero-trust-architectuur, is het resultaat een veel sterkere basis. Zero trust valideert continu identiteit en toegang, terwijl vertrouwelijke computing het geheugen van de hardware beschermt tegen ongeautoriseerde extractie en voorkomt dat gevoelige informatie in platte tekst wordt hersteld.

Samen verdedigen ze wat er echt toe doet, zoals beslissingslogica, gevoelige invoer en de cryptografische sleutels die actie autoriseren.

Nieuwe basis voor autonome systemen

Als elke interactie mensen blootstelt aan het risico van blootstelling, zullen ze AI niet toestaan om dingen zoals gezondheidsrecords te behandelen of financiële beslissingen te nemen. Evenzo zullen bedrijven hun meest belangrijke taken niet automatiseren als dat zou kunnen leiden tot regulatorische problemen of het verlies van belangrijke gegevens.

Serieuze bouwers erkennen dat toepassingslaagreparaties alleen onvoldoende zijn in high-assurance-omgevingen.

Wanneer agents zijn gemachtigd met financiële autoriteit, gereguleerde gegevens of cross-organisatorische coördinatie, wordt infrastructuurrechtelijke blootstelling meer dan een theoretisch probleem. En zonder vertrouwelijke uitvoering in dergelijke contexten, blijven veel agents een zacht doelwit, met hun sleutels te stelen en hun logica te manipuleren. De omvang van moderne inbraken toont precies waar die weg naar leidt.

Privacy en integriteit zijn geen optionele functies die na implementatie kunnen worden toegevoegd. Ze moeten worden geïntegreerd vanaf de siliconen. Daarom moet, om agentic AI veilig te laten schalen, hardware-geforceerde vertrouwelijkheid niet worden beschouwd als een concurrentievoordeel, maar als de basis.