NIST: dual authorization voor AI-agents

U moet agenten zo inrichten dat zij hun eigen autorisatie niet kunnen bepalen: een aparte, deterministische beleidslaag neemt het goedkeuringsbesluit, en bij vooraf vastgestelde hoge-impactacties beslist een menselijke fiatteur met eigen identiteit.

De aanleiding is een analyse van 9 november 2026 van dual authorization voor AI-agents, die betoogt dat agenten een eigen cryptografisch verifieerbare identiteit moeten hebben, dat hun bevoegdheden tijdelijk en intrekbaar zijn, en dat autorisatie in een logisch gescheiden component thuishoort. Het voorbeeld is de NIST-werkgroep die in oktober 2026 ontwerpprincipes publiceerde waarin functiescheiding niet langer een reviewstap is, maar een architectuurvraagstuk. In onze inschatting betekent dit dat organisaties hun agenten vandaag meestal met vaste, brede rechten laten draaien, en die moeten vervangen door afnemende, doelgebonden scopes waarover een agent niet zelf beschikt.

Hoe verschilt dit van de huidige praktijk?

De gangbare aanpak geeft agenten brede, permanente rechten en laat hen zelf bepalen welke acties zij uitvoeren. NIST's principes eisen dat agenten slechts voorstelrecht hebben: zij bereiden een actie voor, maar besluiten niet over hun eigen toegang. Een aparte beleidslaag toetst elk voorstel tegen vooraf vastgestelde regels. Bij acties boven een bepaalde risicodrempel komt een menselijke fiatteur met eigen identiteit aan zet. Dit betekent dat agentidentiteit, beleidsbesluit en menselijke vrijgave elk onafhankelijk controleerbaar moeten zijn.

Welke rollen en verantwoordelijkheden moeten gescheiden zijn?

De werkbare keten kent drie onafhankelijke functies:

• De agent bereidt voor — redeneert over de situatie en stelt een actie voor, zonder zelf goedkeuring te geven.
• De beleidslaag toetst — controleert het voorstel tegen deterministische regels en vastgestelde risicodrempels, onafhankelijk van de agent.
• De menselijke fiatteur beslist — geeft vrijgave voor acties boven de risicodrempel, met eigen identiteit en audit trail.

De agent mag nooit zijn eigen autorisatiestatus bepalen, zijn credentials intrekken of zijn containmentstatus vaststellen. Wie een actie startte, mag haar niet achteraf alleen fiatteren. Deze scheiding voorkomt dat één actor conflicterende privileges combineert.

Welke concrete stappen moet u nu nemen?

1. Inventariseer waar agenten vandaag met vaste rechten draaien — identificeer alle workflows waarin agenten permanente bevoegdheden hebben en bepaal welke daarvan hoog-impact acties uitvoeren.
2. Definieer risicoklassen vooraf — stel vast welke acties routinematig zijn en welke menselijke goedkeuring vereisen; koppel fiattering aan impact, niet aan frequentie, om schijncontrole te voorkomen.
3. Leg functiescheiding vast in contracten — zorg dat leveranciers- en inkoopcontracten eisen dat agentidentiteit, beleidsbesluit en menselijke fiattering aantoonbaar gescheiden en onafhankelijk auditbaar zijn.
4. Benoemd fiatteurs per actiesoort — het bestuur moet formeel bepalen wie welke acties mag goedkeuren en bij welke risicodrempel menselijke vrijgave verplicht is.
5. Zorg voor incidentrespons — bepaal vooraf wie een agent kan stoppen, credentials kan intrekken en hervatting mag goedkeuren, zodat u niet in een crisis moet improviseren.

Hoe voorkomt u dat goedkeuring verworden tot schijncontrole?

Wanneer organisaties overal menselijke fiattering verplicht stellen, ontstaat consent fatigue: mensen geven reflexmatig goedkeuring voor routinetaken en de controle verliest betekenis. Omgekeerd: wie fiattering nergens verplicht stelt, mist de rem bij onomkeerbare acties. De oplossing is selectief toezicht gekoppeld aan impact. Risicoklassen bepalen welke acties automatisch mogen doorlopen en welke een menselijke blik vereisen. Dit voorkomt zowel vermoeidheid als blindheid.

De NIST-principes zijn ontwerprichtlijnen, geen bindende norm en geen bewijs dat een concrete implementatie veilig is. Hoe risicodrempels precies worden vastgesteld en gehandhaafd zonder dat de agent ze kan beïnvloeden, laten de teksten open. Dat is juist de kern die uw organisatie zelf moet beleggen bij de beleidslaag, niet bij de agent. Tooling kan agentidentiteit cryptografisch verifieerbaar maken en audit trails vastleggen, maar de keuze welke acties hoog-impact zijn en wie ze mag fiatteren, blijft uw eigen professionele oordeel.