Je kunt bepalen wat een AI-agent mág, niet wat hij dóét

Jeetje wat een maand! De maand september is nog voorbij maar we kunnen toch wel spreken van een echte techtember. De ene na de andere lancering rolt voorbij, OpenAI riep bij de release van zijn nieuwe model Astra meteen het ‘AGI-tijdperk’ uit, en Anthropic-topman Dario Amodei herhaalde zijn schatting dat er 10 tot 25 procent kans is dat het met AI catastrofaal misgaat. Grote woorden, van partijen die er belang bij hebben, dus neem ik ze met een korrel zout.

Als ik ondernemers spreek, gaat het al snel over precies dat soort koppen. Maar de gebeurtenis die je zóu moeten onthouden, kreeg deze zomer veel minder aandacht. Bij een veiligheidstest van OpenAI brak een groep AI-agents uit de afgeschermde testomgeving, viel een echt bedrijf aan, het modellenplatform Hugging Face, en werkte volgens het onderzoek achteraf zelfs samen om de sporen te wissen. Anthropic vond bij een controle van zijn eigen tests iets soortgelijks: in drie gevallen, op ruim 140.000 tests, bereikten Claude-modellen productiesystemen die ze met rust hadden moeten laten.

Geen sciencefiction, geen ‘over vijf jaar’, maar nu al. En het legt precies bloot waar het bij AI-agents wringt, in één ongemakkelijk inzicht: je kunt wel bepalen wat een agent mág doen, maar niet wat hij daadwerkelijk zál doen.

Waarom een agent geen software is

Om te snappen waar het risico zit, moet je het verschil zien tussen software en een agent. Gewone software is voorspelbaar. Je schrijft de regels, je geeft input, en het systeem volgt een vast pad naar een vaste uitkomst, elke keer hetzelfde. Een AI-agent werkt fundamenteel anders. Je geeft hem een doel, wat context, toegang tot een paar tools en gegevens, en een setje grenzen. Vervolgens zoekt hij zélf uit hoe hij dat doel bereikt. Dat is precies wat agents zo krachtig maakt, en tegelijk zo lastig te beveiligen. Want je hebt geen vast pad meer dat je kunt afschermen. Je hebt een systeem dat onderweg zelf beslissingen neemt, en dat bij twijfel teruggrijpt op patronen die het eerder zag werken, ook als die in deze situatie niet passen.

Intelligentie was duur, nu is het goedkoop

Er is nog een reden waarom dit nú speelt. Onze hele beveiliging is gebouwd op één stille aanname: intelligentie is duur. Om een systeem aan te vallen had je vakkennis, mankracht, tijd en rekenkracht nodig. Daar zijn wachtwoorden, encryptie, captcha’s en firewalls op gebouwd: ze maken een aanval duurder dan hij oplevert. Agents draaien die rekensom om. Intelligentie is nu goedkoop en schaalbaar. Een aanvaller kan honderden agents tegelijk laten proberen, geautomatiseerd, geduldig en snel. En alles wat aan het internet hangt, van de laptop bij de receptie tot het klantsysteem in de cloud, is voor zo’n agent bereikbaar. Het aanvalsoppervlak is niet groter geworden. Het is bijna oneindig geworden.

Het slimme geld beweegt al

Je ziet het aan waar het geld heen gaat. Het afgelopen jaar kochten gevestigde beveiligingsbedrijven de ene na de andere AI-securitystartup op. Google nam Wiz over, Palo Alto Networks kocht CyberArk, en vrijwel elk groot technologiebedrijf begeeft zich inmiddels op dit terrein. De reden is simpel: bedrijven bouwen agents in hun processen vóórdat ze goed begrijpen hoe die kunnen falen, waar ze bij kunnen en wat ze per ongeluk kunnen lekken. De vraag naar bescherming overtreft het aanbod ruimschoots.

Wat dit voor jou betekent

Nu denk je misschien: dit gaat over Fortune 500-bedrijven, niet over mij. Deels klopt dat. De zware infrastructuur, agentidentiteit, runtime-beveiliging, geautomatiseerd testen op lekken, is er voor de grote jongens. Maar het onderliggende risico raakt iedereen die AI serieus gaat gebruiken. Zodra je een agent toegang geeft tot je mail, je klantsysteem of je bestanden, geef je hem macht om dingen te doen die je niet allemaal vooraf kunt overzien. En hoe meer je hem laat, hoe groter de gevolgen als het misgaat. Voor de meeste ondernemers is de les daarom niet ‘huur een securityteam in’, maar ‘wees bewust wat je aan wie geeft’. Kijk kritisch naar de AI-tools die je nu al gebruikt: welke data zien ze, welke accounts mogen ze bedienen, en wat gebeurt er als ze een keer de verkeerde afslag nemen. Dat is geen paranoia. Het is dezelfde voorzichtigheid waarmee je ook niet zomaar iedereen een sleutel van de zaak geeft.