Microsoft stelt dat AI-agents het aanvalsvlak toevoegen

U moet elke AI-agent een verifieerbare, niet-menselijke identiteit toekennen met kortlevende credentials, die agent afzonderlijk in uw identity-governance opnemen, en per werkstroom een benoemde verantwoordelijke aanwijzen die de output controleert en kan verantwoorden.

Een analyse van 6 oktober 2026 van de aanvalsvlakken die AI-agents toevoegen stelt vast dat AI de tijd tussen ontdekking en misbruik van kwetsbaarheden verkort en dat agents identiteiten, rechten, data en tools aan het aanvalsvlak toevoegen. Het rapport gebruikt AI-gestuurde cyberaanvallen als concrete casus en beschrijft hoe een gecompromitteerde agent een vertrouwde doorgang kan worden voor verkenning zonder dat de netwerkrand wordt doorbroken. In onze beoordeling betekent dit dat de klassieke scheiding tussen 'binnen' en 'buiten' het netwerk niet langer de kern van uw verdediging kan zijn; uw bescherming moet zich verplaatsen naar identiteit, data, tools en het gedrag van de agent tijdens uitvoering.

Waarom agents een apart aanvalsvlak vormen

Een AI-agent kan binnen uw netwerkgrens zelfstandig handelen: afhankelijk van zijn ontwerp kan hij data benaderen, tools aanroepen en toegewezen rechten gebruiken. Daardoor kan een gecompromitteerde agent een vertrouwde doorgang worden voor zijdelingse beweging, zonder dat de netwerkrand wordt doorbroken. Dit mechanisme verschilt van klassieke inbraak omdat de agent niet van buiten naar binnen hoeft te breken — hij werkt al binnen uw vertrouwde omgeving.

Prompt injection en een gecompromitteerde AI-toeleveringsketen kunnen een vertrouwde agent in een ongeautoriseerd kanaal veranderen. Omdat agents steeds autonomer antwoorden en acties kunnen genereren, ontstaat ook een nieuwe verantwoordingsvraag: wie is aansprakelijk voor een onjuiste of schadelijke beslissing die een agent neemt?

Welke aanvalsvlakken moet u adresseren

• Prompts en intentie — ongevalideerde gebruikersinvoer kan een agent naar onbedoelde acties sturen.
• Gevoelige data — agents kunnen data benaderen en reproduceren in hun output zonder expliciete controle.
• Identiteit en rechten — agents kunnen met brede of langlevende credentials werken die niet traceerbaar zijn.
• Operationele integratie — agents kunnen tools aanroepen zonder dat hun gedrag wordt gemonitord of begrensd.
• Configuratie-integriteit — ongetekende of veranderbare configuratie kan door een aanvaller worden gewijzigd.

Welke controles moet u kunnen aantonen

1. Wijs elke agent een unieke, verifieerbare identiteit toe — gebruik niet-menselijke accounts met kortlevende credentials die per sessie of per handeling worden vernieuwd.
2. Beperk datatoegangper agent — definieer welke datasets, tabellen of velden elke agent mag benaderen en dwing dit af op runtime.
3. Implementeer tool allow-listing — definieer welke externe systemen of API's een agent mag aanroepen en blokkeer alles wat niet expliciet is goedgekeurd.
4. Leg onveranderbare logs vast — registreer per handeling welke identiteit, welke rechten, welke datascope en welke menselijke goedkeuring golden.
5. Benoemeen verantwoordelijke per werkstroom — wijs een functionaris aan die de output controleert, goedkeurt en kan verantwoorden.
6. Zet een directe stopmogelijkheid in — zorg dat u een agent onmiddellijk kunt pauzeren of intrekken zonder dat dit uw systeem destabiliseert.

Hoe u begint zonder alles tegelijk in te voeren

Begin met laagrisico-toepassingen — taken die geen toegang tot gevoelige data vereisen en waarvan de gevolgen van een fout beperkt zijn. Breid pas uit zodra identiteit, begrenzing, monitoring en een noodstop aantoonbaar werken. Dit advies volgt rechtstreeks uit de richtlijnen van het Britse National Cyber Security Centre, dat organisaties aanraadt om ongelimiteerde toegang tot gevoelige data te vermijden en duidelijk eigenaarschap en goedkeuring te beleggen.

Koppel elke agent aan een benoemde verantwoordelijke en aan logs die per handeling tonen welke identiteit, rechten en goedkeuring golden. Dit sluit aan bij Microsofts nadruk op verifieerbare identiteit en onveranderbare logs als kern van de verdediging.

Wat tooling kan doen en wat uw oordeel blijft

Identity-governance-platforms kunnen niet-menselijke accounts beheren en kortlevende credentials automatiseren. Monitoring-tools kunnen anomalieën detecteren en agents pauzeren op basis van vooraf vastgelegde drempels. Logging-systemen kunnen onveranderbare records bijhouden. Maar geen tool kan bepalen welke agent welke data mag zien, welke tools hij mag gebruiken, of wie voor zijn beslissingen verantwoordelijk is — dat zijn keuzes die u moet maken en documenteren. De technische controle zonder verantwoordingsketen is onvolledig.