Prompt injection bij AI-agents: wie kon begrenzen?

U bent aansprakelijk voor wat een AI-agent doet wanneer die agent instructies uit externe bronnen opvolgt die zijn beleidsregels negeren. Bepalend is of u vóór inzet hebt vastgelegd welke acties alleen na onafhankelijke goedkeuring mogen plaatsvinden, wie die goedkeuring geeft, en hoe u achteraf kunt bewijzen dat die controle heeft plaatsgevonden.

De aanleiding is een analyse van 11 november 2026 van prompt injection bij AI-agents en ongeautoriseerde acties, die stelt dat cyberautoriteiten prompt injection, overmatige privileges en gebrekkige logging als samenhangende risico's zien met gevolgen voor verantwoording. Een agent die via een e-mail, webresultaat of document een interne beleidsregel negeren en een ongeautoriseerde actie uitvoeren, verschuift de aansprakelijkheidsvraag van het model naar de organisatie. In onze inschatting is dit het scharnierpunt: het bestaan van een prompt injection op zich zegt weinig over verwijtbaarheid, maar het ontbreken van een vooraf ingerichte autoriteitsgrens zegt veel. Wie dit niet scheidt, laat de agent feitelijk zijn eigen bevoegdheden bepalen en verliest daarmee het bewijs dat nodig is om aan te tonen dat de organisatie de grens wél had getrokken.

Welke risico's ontstaan wanneer een agent zelf zijn bevoegdheden bepaalt?

Autonome agents gebruiken gereedschappen, geheugen en externe gegevens om zelfstandig te handelen. Kwaadaardige instructies verstopt in e-mails, opgehaalde webinhoud of cross-modale invoer kunnen een agent aansturen. Het risico is niet alleen dat de agent een actie uitvoert die hij niet had mogen doen, maar dat die actie in auditlogs legitiem lijkt. Dit noemen cyberautoriteiten een confused-deputy-aanval: de agent gebruikt zijn legitieme bevoegdheden om een opdracht uit te voeren die hij eigenlijk niet had mogen uitvoeren. Het gevolg is een accountability-gap. U kunt achteraf niet aantonen wie de bevoegdheid gaf, wie die bevoegdheid kon begrenzen, en op welk moment.

Welke faalmodi moet u voorkomen?

• Prompt injection via externe bronnen — kwaadaardige instructies in opgehaalde webinhoud, e-mails of documenten die de agent aansturen.
• Privilege-escalatie — de agent voert acties uit waarvoor hij geen mandaat had, maar die in logs legitiem lijken.
• Scope creep — de agent breidt zijn werkterrein uit zonder dat u dat merkt.
• Verwatering van menselijk toezicht — goedkeuringsstappen worden routinehandelingen zonder echte beoordeling.
• Onveranderlijke bewijsvoering — u kunt niet reconstrueren wie wat heeft goedgekeurd en op welk moment.

Welke controles moet u kunnen aantonen?

1. Scheiding van autoriteit en redenering — de laag die beslist wat mag, draait buiten de agent en is architecturaal gescheiden van de laag die redeneert over wat gevraagd wordt.
2. Onafhankelijke goedkeuring per hoog-impactactie — acties met significante gevolgen vereisen goedkeuring door een aanwijsbare persoon buiten de agent, met vastgelegde informatie die de fiatteur te zien krijgt.
3. Onveranderlijke auditlogs — u bewaart wie welke bevoegdheid gaf, wanneer, en op welke gronden; u kunt achteraf steekproefsgewijs toetsen of die beoordeling echt plaatsvond.
4. Benoemd risico-eigenaarschap — het bestuur benoemt wie het mandaat van de agent heeft goedgekeurd en wie de bevoegdheid kan intrekken.
5. Getoetste intrekprocedure — u test vóór de eerste productie-inzet of u de bevoegdheden van de agent kunt intrekken en hoe snel.
6. Contractuele afdwinging — u eist van leveranciers dat zij aantonen waar de beleidsafdwinging zit en welk onveranderlijk bewijs wordt bewaard.

Hoe bepaalt u wat uw agent mag doen?

De omvang van de schade wordt bepaald door keuzes van uw organisatie: hoeveel bevoegdheid u de agent geeft, of die bevoegdheid tijdelijk of blijvend is, en of er per actie een onafhankelijke autorisatiecontrole is. Omdat cyberautoriteiten waarschuwen dat ongeautoriseerde acties in auditlogs legitiem kunnen lijken, loopt u het risico dat u een incident pas achteraf en onvolledig kunt reconstrueren. Daarom moet u vóór ingebruikname vastleggen welke acties alleen na onafhankelijke autorisatie mogen plaatsvinden en toetsen of die controle buiten de agent draait. Omdat onderzoek aantoont dat agents gekaapt kunnen worden via opgehaalde webinhoud, biedt een leveranciersclaim over een "veilige" agent geen verdedigbare basis. Daarom moet u contractueel afdwingen dat de leverancier aantoont waar de beleidsafdwinging zit.

Wat kan tooling doen en wat niet?

Tooling kan u helpen auditlogs onveranderlijk te maken, goedkeuringsstappen te routeren en bevoegdheden per agent in te stellen. Tooling kan ook u waarschuwen wanneer een agent buiten zijn normale werkterrein opereert. Wat tooling niet kan doen, is bepalen welke acties hoog-impact zijn en dus goedkeuring vereisen. Dat is uw professionele oordeel. Tooling kan u ook niet bevrijden van de verplichting om achteraf steekproefsgewijs te toetsen of goedkeuringsstappen echt inhoudelijk hebben plaatsgevonden, of slechts routinehandelingen waren. Die toetsing blijft uw eigen verantwoordelijkheid.