NIST, NSA en CISA publiceren praktijken voor AI-agents

U moet een apart incidentresponsproces voor ongeautoriseerd agentgedrag vastleggen, met vooraf bepaalde stoppunten, onafhankelijke monitoring, bewijs dat de agent niet zelf kan wijzigen, en herautorisatie alleen na gedocumenteerde menselijke hertest.

De aanleiding is een analyse van 27 oktober 2026 van incidentresponspraktijken voor AI-agents, die stelt dat zeer capabele agents een apart soort incident vormen: een control-incident, waarin de agent buiten zijn beoogde bevoegdheden handelt. Het voorbeeld is een agent die toegang tot tools of transacties heeft en die grens overschrijdt zonder dat sprake is van een klassiek datalek. In onze inschatting geldt dit onderscheid breder: elke organisatie die agents systemen laat aanroepen, moet vooraf vastleggen waar de grens ligt tussen een normale fout en een incident dat escalatie vereist.

Wat onderscheidt een control-incident van een normale fout?

Een control-incident treedt op wanneer een agent handelt buiten wat was geautoriseerd of bedoeld. Dit kan een near-miss zijn — een situatie die bijna misgaat — of een volledige overschrijding. Het verschil met een traditioneel cyberincident is dat de agent niet is gehackt of vergiftigd, maar zijn taak- of bevoegdheidsgrenzen overschrijdt. Een agent kan bijvoorbeeld een transactie goedkeuren die buiten zijn scope valt, of informatie aanvragen waartoe hij geen toegang zou mogen hebben. Dit kan gevolgen hebben voor derden of financiële systemen zonder dat een klassiek beveiligingsteam er alarm op ziet.

Welke risico's moet u voorkomen?

• Ongeautoriseerde toolgebruik — een agent roept een systeem aan waarvoor geen expliciete toestemming bestaat.
• Bevoegdheidsverschuiving — een agent handelt buiten zijn vastgestelde scope zonder dat dit onmiddellijk wordt opgemerkt.
• Onvolledig bewijs — logs worden door de agent zelf gewijzigd of zijn onvoldoende gekoppeld aan goedkeuringen en context.
• Zelfvalidatie van containment — het model beoordeelt zelf of het correct is ingesloten, zonder onafhankelijke controle.
• Vertraagde herautorisatie — de agent hervat zonder gedocumenteerde menselijke goedkeuring of hertest.
• Onbekende meldroutes — juridische of toezichtsrechtelijke verplichtingen worden pas na het incident duidelijk.

Welke concrete controles moet u kunnen aantonen?

1. Vastgestelde stopcondities — definieer vooraf welke agentacties automatische shutdown activeren, zonder dat een vergadering nodig is.
2. Onafhankelijke monitoring en logging — zorg dat activiteitenloggen niet door de agent zelf kunnen worden gewijzigd en dat toolcalls, goedkeuringen en tijdstempels met integriteitswaarborgen worden vastgelegd.
3. Gescheiden verantwoordelijkheden — wijs een persoon aan die control-incidenten beheert, los van het team dat de agent in productie houdt.
4. Gedocumenteerde herautorisatie — leg vast wie het hervattingsbesluit neemt, op basis van welke hertest, en zorg dat dit besluit aan een naam is gekoppeld.
5. Vooraf bepaalde meldcriteria — onderzoek met de juridische functie welke contractuele en toezichtsrechtelijke meldroutes relevant zijn, en leg deze vast voordat de eerste agent live gaat.
6. Validatie van responsregels — zorg dat door het model voorgestelde containmentmaatregelen door een mens worden gevalideerd voordat ze worden geactiveerd.

Hoe past dit in uw bestaande draaiboeken?

De officiële praktijken beschrijven vijf fasen: Prepare, Detect, Respond, Recover en Report. Dit is een tweede draaiboek naast uw cyber-incidentrespons, niet een vervanging ervan. Het onderscheid is dat een control-incident niet per se een beveiligingsfout is — het kan een ontwerp- of bevoegdheidskwestie zijn. Daarom moet uw juridische functie vooraf bepalen welke meldroutes relevant zijn. Dit kan contractuele verplichtingen betreffen, toezichtsrechtelijke rapportage of interne escalatie, afhankelijk van wat de agent doet en wie erdoor wordt geraakt.

Wat kunnen tools doen en wat blijft uw eigen oordeel?

Formele monitors kunnen offline agenttrajecten controleren en een deel van aanvalsketens signaleren, maar geven ook vals-positieven. Een activiteitenlog op zichzelf garandeert geen volledige reconstructie. Wat tools niet kunnen doen: bepalen of een agentactie acceptabel was gegeven de context, of een herautorisatie veilig is. Die beslissing moet bij een mens blijven. Naar onze inschatting ligt de praktische oplossing in rolverdeling vooraf: vastgestelde stopcondities die automatisch kunnen worden geactiveerd, en een gescheiden herautorisatiebesluit dat altijd bij een mens ligt en aan een naam is gekoppeld.