SCITT-provenance voor AI-agents: twee bewijssporen

U moet nu twee afzonderlijke, los verifieerbare auditsporen voor AI-agents onderhouden en ze aan elkaar verbinden: één voor de integriteit van het pakket vóór uitvoering, één voor de evidence en beslissingen tijdens de taak zelf.

Een analyse van 4 november 2026 van ondertekende provenance voor draagbare AI-agentpakketten stelt voor dat organisaties agentpakketten aan cryptografische digests en ondertekende verklaringen binden. In onze beoordeling lost dit voorstel slechts de helft van het verantwoordingsprobleem op. Een geldige handtekening bewijst dat een pakket ongewijzigd is en wie het heeft ondertekend, maar niet wat dat pakket tijdens een concrete taak werkelijk heeft gedaan of welke evidence een specifiek antwoord heeft bepaald.

Waarom één auditspoor niet volstaat

De IETF-internetdraft van 2 november 2026 werkt het SCITT-raamwerk (een methode om verklaringen cryptografisch vast te leggen) uit voor draagbare agentpakketten. Het voorstel bindt elk pakket aan een onveranderlijke digest en koppelt daaraan afzonderlijke provenance-verklaringen: auteurschap, builds, transformaties, veiligheidsbeoordelingen, goedkeuringen, versiewijzigingen en intrekking. Zo ontstaat een controleerbare geschiedenis vóór uitvoering.

Maar onderzoek toont aan dat dezelfde agent hetzelfde eindoordeel kan geven terwijl de gebruikte evidence verschilt. Een biomedische onderzoeksagent in experimenten op de NeurIPS 2026 AgenticLS-workshop produceerde identieke conclusies met verschillende citaties en tussenresultaten zodra de onderliggende toolstatus veranderde. Dit betekent dat een correcte pakketdigest u niets vertelt over welke numerieke waarden, bronnen of tussenresultaten een specifieke conclusie hebben bepaald.

Welke twee sporen moet u onderhouden

Het eerste spoor is de provenance van het pakket vóór uitvoering. Dit volgt uit het SCITT-voorstel en omvat modelartefacten, dataprovenance, softwareafhankelijkheden, runtimeconfiguratie, containerhashes en outputdigests met cryptografische validatie. Dit spoor maakt controleerbaar aan welk exact pakket verklaringen zijn gebonden.

Het tweede spoor legt per taak vast welke toolresultaten, bronnen en waarden de beslissing hebben beïnvloed en welke actie of conclusie daaruit volgde. Dit kan de vorm aannemen van Filtered Decision Logs: een korte rationale, invloed-geordende ondersteunende datapunten en relevantie-indicatoren uit tooloutputs. Deze invloedsscores geven aan welke bronnen een antwoord zichtbaar hebben beïnvloed, maar zijn geen bewijs van causaliteit of waarheid.

Beiden sporen moeten aan elkaar worden verbonden via de pakketdigest en een tijdstempel.

Welke concrete verplichtingen volgen hieruit

• Acceptatiebeleid voor ondertekenaars — bepaal vooraf welke ondertekenaars en welke veiligheidsbeoordelingen u accepteert voordat een agent wordt toegelaten, want een geldige handtekening bewijst integriteit en afzender, niet waarheid.
• Versie en intrekking controleren per taak — leg bij elk verantwoord antwoord de exacte pakketdigest met tijdstempel vast en controleer volgens uw beleid of deze digest nog voor de beoogde taak wordt geaccepteerd.
• Evidence per taak registreren — registreer naast het antwoord ook de gebruikte evidence en tussenresultaten voor elke taak, vooral bij gevoelige analyses.
• Invloedsscores niet als sluitend bewijs presenteren — gebruik Filtered Decision Logs als hulpmiddel voor controle, niet als juridisch of bestuurlijk bewijs; het professionele eindoordeel hoort expliciet bij de mens te blijven.
• Pakketartefacten volledig documenteren — volg het model van een Artificial Intelligence Bill of Materials en koppel modelartefacten, dataprovenance, softwareafhankelijkheden, runtimeconfiguratie en hashes met ondertekende provenance.

Waarom nu en niet na standaardisatie

De IETF-tekst is nog een internetdraft, geen vastgestelde standaard. Toch is dit het moment om deze aanpak te beproeven. De vier onderliggende bronnen — het SCITT-voorstel, de biomedische agentstudie, onderzoek naar Artificial Intelligence Bills of Materials en Filtered Decision Logs — komen uit specifieke experimentele omgevingen, maar ze wijzen allemaal dezelfde richting. Wachten tot een standaard is afgerond, betekent dat u pas dan begint met het opbouwen van de processen en systemen die u nodig hebt.

Tooling kan u helpen beide sporen te onderhouden en ze aan elkaar te verbinden, maar het professionele oordeel over welke ondertekenaars u vertrouwt, welke evidence relevant is en wat een antwoord rechtvaardigt, blijft uw eigen verantwoordelijkheid. Geen systeem kan die afweging voor u nemen.