10 gevaren van agentic ai
De agent doet precies wat hij mag
Een chatbot die zich laat misleiden, geeft een verkeerd antwoord. Een ai-agent die zich laat misleiden, kan vervolgens zelf systemen benaderen, tools inzetten en nieuwe acties plannen. Juist die combinatie van autonomie en herhaling maakt agentic ai tot een nieuw cybersecurityvraagstuk.
Tekst: MELS DEES Beeld: WONDERWORKS
De zorgen over de veiligheid van agentic ai zijn groot. In een lezerspoll van securityvaksite Dark Reading wees 48 procent agentic ai en autonome systemen aan als de belangrijkste aanvalsvector richting eind 2026. Onderzoek van api-beveiliger Gravitee onder 750 technologiebeslissers in de Verenigde Staten en het Verenigd Koninkrijk laat zien dat de problemen niet uitsluitend theoretisch zijn. In april meldde 54 procent een bevestigd of vermoed security- of privacyincident met ai-agents; 34,9 procent sprak van een bevestigd incident.
Toch zijn veel onderliggende kwetsbaarheden helemaal niet nieuw. Het verschil zit vooral in wat er ná een fout gebeurt, zegt Eddy Willems, onafhankelijk cybersecurity-expert. ‘Een chatbot kan een fout antwoord geven, maar daar stopt het meestal bij. Een agent kan op basis van een verkeerd antwoord zelf beslissingen nemen, tools gebruiken en nieuwe acties uitvoeren.’ Daarmee verandert volgens hem het risicomodel. ‘We geven software niet alleen intelligentie, maar ook handen en voeten.’ Een agentic loop versterkt dat effect. Een agent voert een actie uit, beoordeelt het resultaat, bepaalt een vervolgstap en gaat opnieuw aan de slag. Een verkeerde instructie hoeft daardoor niet tot één verkeerde handeling te leiden. Ze kan het begin zijn van een reeks acties die zonder menselijke tussenkomst doorgaat.
Prompt injection als startpunt
Dat verklaart waarom prompt injection zo’n centrale plaats inneemt in de OWASP Top 10 for Agentic Applications. Bij indirecte prompt injection kan een aanvaller bijvoorbeeld instructies verbergen in een webpagina, document of e-mail die door de agent wordt verwerkt. Het probleem ontstaat wanneer de agent die informatie niet alleen leest, maar er ook naar handelt. (Zie kader.) Bij softwareleverancier Visma is dat geen theoretisch scenario. Cindy Wubben, Chief Information Security Officer Public Segment and Business Portfolio bij Visma, vertelt dat tests van een jaar geleden al lieten zien hoe lastig het is om agents werkelijk af te schermen. ‘Zelfs als je denkt alles goed te hebben afgedekt, blijft testen in een veilige, gecontroleerde omgeving belangrijk. Zo weet je zeker of het standhoudt, en komen er altijd nieuwe inzichten naar voren om de beveiliging verder aan te scherpen, zeker in een vakgebied als ai security dat zich in sneltreinvaart verder ontwikkelt.’ De opgedane kennis is inmiddels vertaald naar playbooks voor de verschillende Visma-bedrijven. Om prompt injection tegen te gaan moet volgens Wubben vooral veel worden gebouwd én getest. Daarbij verandert ook het ontwikkelproces. Programmeren, testen en deployment moeten volgens Wubben alle drie versnellen.
De aanvaller hoeft de agent niet noodzakelijk te hacken of extra rechten te verkrijgen
Als de agent te veel mag
Prompt injection wordt vooral gevaarlijk wanneer een agent over ruime bevoegdheden beschikt. Tool misuse en excessive agency behoren daarom eveneens tot de belangrijkste risico’s uit het OWASP-raamwerk. Willems hanteert een eenvoudige vuistregel: ‘Geef een agent nooit meer macht dan noodzakelijk voor één specifieke taak.’ Tegelijkertijd erkent hij dat juist het vaststellen en afdwingen van die grens lastig is. Leveranciers geven volgens hem nog te weinig inzicht in de mogelijkheden en rechten die agents precies krijgen.
Ook identitymanagement loopt daar tegen grenzen aan. Mark Molyneux, Field CTO Noord-Europa bij Commvault, ziet dat veel organisaties agents nog behandelen alsof het menselijke gebruikers of bestaande serviceaccounts zijn. Een agent die incidenten moet afhandelen, krijgt bijvoorbeeld toegang tot het ticketsysteem, logs en alerts, omdat een menselijke beheerder diezelfde rechten ook zou krijgen. Molyneux pleit daarom voor een eigen identity-categorie voor agents, met dynamische rolgebaseerde toegang en just-in-time credentials. Dat sluit aan bij een door Commvault en IDC uitgevoerd onderzoek onder 539 Noord-Amerikaanse it- en securitybeslissers. Daarin vindt negentig procent dat identiteitsbeheer moet verbeteren om de risico’s van agentic ai te beperken, terwijl slechts 26,7 procent dynamische, rolgebaseerde toegangscontrole toepast voor identiteiten die ai en data-analyse ondersteunen. Maar ook correcte rechten bieden geen volledige bescherming.
Dat wordt duidelijk bij de zogeheten confused deputy. De aanvaller hoeft de agent niet noodzakelijk te hacken of extra rechten te verkrijgen. Het volstaat om hem zijn bestaande bevoegdheden voor het verkeerde doel te laten inzetten. Hans de Vlieger, Copilot & AI Lead van managed-serviceprovider Pink Elephant, geeft het voorbeeld van een agent die onderdeel is van een inkoopproces en daarom toegang heeft tot leverancierscontracten. Een aanvaller kan proberen die agent zover te krijgen de contracten naar hem op te sturen. ‘Die agent voert dat gewoon uit, want die heeft die rechten. Maar hij wordt wel misleid om oneigenlijk gebruik van zijn rechten te gaan maken.’
Dat maakt dit type aanval lastig voor traditionele toegangsbeveiliging. De identiteit klopt, de credentials zijn geldig en de agent heeft formeel toestemming om de gegevens te benaderen. Het probleem zit in het doel waarvoor hij dat doet. Die uitdaging groeit als agents onderling taken gaan verdelen. De Vlieger wijst erop dat Pink Elephant als MSP niet alleen eigen agents zal moeten beheren, maar ook agents die softwareleveranciers in hun producten opnemen. ‘Hoe ga je dat inzichtelijk krijgen? Welke rechten hebben die gekregen? Zeker met agent-to-agent-combinaties. Geen sinecure.’
Daar komt de software-supplychain bij. Agentic toepassingen gebruiken modellen, libraries, api’s, frameworks, plug-ins en mcp-servers. Wanneer agents bovendien zelf tools kunnen selecteren of andere agents kunnen inschakelen, moet niet alleen duidelijk zijn welke software een organisatie gebruikt, maar ook welke agent met welke identiteit welke tool mag inzetten en welke data daarbij toegankelijk zijn.
Gemanipuleerde informatie kan als waarheid in de kennis of het geheugen van het systeem terechtkomen
Vergiftigd geheugen
Een aanval hoeft bovendien niet onmiddellijk resultaat te hebben. Bij memory poisoning wordt informatie gemanipuleerd die een agent bewaart en later opnieuw gebruikt bij zijn besluitvorming. Willems noemt dat een onderschat risico en plaatst het in een bredere context die hij ‘data noise’ noemt. ‘Ai kan heel makkelijk verleid worden om verkeerd te denken’, stelt hij. Gemanipuleerde informatie kan vervolgens als waarheid in de kennis of het geheugen van het systeem terechtkomen.
Dit vraagt volgens Pink Elephant om maatregelen die bekend zijn uit databeveiliging: versiebeheer, controle van de herkomst van gegevens en de mogelijkheid om terug te keren naar een betrouwbare toestand. Coos Vermeer, Technology Lead Data Resilience bij Pink Elephant, trekt dezelfde gedachte door naar toegangsbeveiliging. Agents moeten volgens hem als digitale identiteiten in de rechtenstructuur worden opgenomen, terwijl productie en back-up afzonderlijke authenticatiedomeinen moeten houden. Zo mag een gecompromitteerde identiteit niet automatisch toegang tot de herstelomgeving geven.
Daarmee ontstaat een fundamenteel dilemma. Hoe strenger een organisatie een agent begrenst, hoe veiliger hij wordt. Maar wanneer verdwijnt daarmee precies de autonomie waarvoor die agent werd ingevoerd? Molyneux vergelijkt het met snelheid. Als een organisatie gisteren vijf kilometer per uur ging, hoeft zij morgen niet onmiddellijk honderd te rijden. Twintig kilometer per uur kan al winst opleveren, terwijl de organisatie ondertussen ervaring opdoet met de benodigde controles. Autonomie kan vervolgens stapsgewijs worden uitgebreid.
Hetzelfde dilemma speelt bij human-in-the-loop. Vermeer vindt menselijke goedkeuring noodzakelijk wanneer api-gedreven processen fundamentele data wijzigen. ‘Daar moet je altijd zorgen dat een menselijke factor de ‘go’ geeft op een actie.’ Maar Molyneux wijst op de keerzijde. Een security-agent kan een aanval op machinesnelheid ontdekken, maar als hij vervolgens op een mens moet wachten voordat hij mag ingrijpen, gaat de aanvallende agent ondertussen door. Human-in-the-loop is daarmee geen universele oplossing. De kunst wordt te bepalen welke acties vooraf technisch begrensd kunnen worden en wanneer menselijke toestemming werkelijk noodzakelijk is.
Wubben herkent die zoektocht. Een paar maanden geleden had ze het gevoel dat cybersecurity ’twintig jaar terug in de tijd’ ging: er werd vooral gewaarschuwd voor gevaren, terwijl nog nauwelijks duidelijk was wat organisaties concreet moesten doen. Inmiddels ontstaan volgens haar steeds meer praktische maatregelen.
Daarmee lijkt agentic ai uiteindelijk minder een afscheid van bestaande cybersecurity dan een stresstest ervan. Least privilege, identitymanagement, supply-chainbeveiliging, logging, isolatie en herstel blijven bekende principes. Het verschil is dat een fout niet langer hoeft te stoppen bij één verkeerde uitkomst. Een agent kan er zelfstandig op voortbouwen, nieuwe tools inzetten en de volgende stap zetten. Juist die combinatie van bevoegdheid, autonomie en herhaling maakt een agentic loop tot een nieuw beveiligingsrisico.
De grootste Cybersecurity-beurs in Nederland. Registreer nu!
Ontdek de nieuwste ontwikkelingen in cybersecurity tijdens Cybersec Netherlands op 9 en 10 september 2026 in Jaarbeurs Utrecht. Laat je inspireren door experts, praktijkcases en innovatieve oplossingen.
Ontsnapt de agent, of faalt de sandbox?
Recente experimenten waarbij ai-agents buiten hun bedoelde testomgeving terechtkwamen, lijken op het eerste gezicht een nieuw soort ai-risico. Willems ziet dat anders. Als een agent uit een werkelijk goed geïsoleerde sandbox kan ontsnappen, is volgens hem in de eerste plaats iets mis met de inrichting van die omgeving. Molyneux redeneert vergelijkbaar. Als een als geïsoleerd gepresenteerde omgeving een node bevat waarmee een agent het internet kan bereiken, ’that’s not a sandbox’, stelt hij.
Dat betekent niet dat het probleem onbelangrijk is. Het Britse AI Security Institute concludeerde na eigen incidenten juist dat testomgevingen ervan moeten uitgaan dat capabele modellen zullen proberen buiten hun opdracht te handelen. Het instituut scherpt daarom netwerkcontroles en realtime-monitoring aan.
De les is daarmee minder dat agents op magische wijze uit iedere sandbox kunnen ontsnappen, en meer dat een sandbox technisch moet afdwingen wat een agent niet mag doen. Vertrouwen dat het model zelf binnen de bedoelde grenzen blijft, is geen beveiligingsmaatregel.
OWASP Top 10 voor agentic ai gevaren
OWASP publiceerde eind 2025 een aparte Top 10 voor agentic ai gevaren. Het raamwerk is opgesteld met bijdragen van meer dan honderd experts, onderzoekers en securityprofessionals en richt zich specifiek op systemen die zelfstandig kunnen plannen, handelen en beslissingen nemen.
1 ASI01 – Agent Goal Hijack
Een aanvaller manipuleert het doel of de instructies van een agent, bijvoorbeeld via prompt injection, zodat die andere acties uitvoert dan bedoeld.
2 ASI02 – Tool Misuse & Exploitation
Een agent gebruikt legitieme tools op een schadelijke of onbedoelde manier, bijvoorbeeld om data te verwijderen of systemen te wijzigen.
3 ASI03 – Identity & Privilege Abuse
Agents krijgen of misbruiken te ruime rechten, credentials of identiteiten en kunnen daardoor buiten hun bedoelde bevoegdheden handelen.
4 ASI04 – Agentic Supply Chain Vulnerabilities
Kwetsbaarheden of manipulatie in frameworks, mcp-servers, plug-ins, modellen en andere afhankelijkheden kunnen via de agent doorwerken naar andere systemen.
5 ASI05 – Unexpected Code Execution
Een agent veroorzaakt direct of indirect de uitvoering van ongewenste code, bijvoorbeeld via tools, scripts of door hem gegenereerde opdrachten.
6 ASI06 – Memory & Context Poisoning
Aanvallers manipuleren het geheugen of de context van een agent, waardoor vervuilde informatie ook bij latere beslissingen een rol blijft spelen.
7 ASI07 – Insecure Inter-Agent Communication
Agents kunnen elkaar verkeerde, vervalste of ongecontroleerde instructies en gegevens doorgeven, waardoor aanvallen zich over meerdere agents verspreiden.
8 ASI08 – Cascading Failures
Een fout of gemanipuleerde beslissing kan door opeenvolgende autonome acties uitgroeien tot een veel groter incident.
9 ASI09 – Human-Agent Trust Exploitation
Mensen vertrouwen te gemakkelijk op overtuigend gepresenteerde conclusies of voorstellen van agents en keuren daardoor schadelijke acties goed.
10 ASI10 – Rogue Agents
Een agent wijkt door manipulatie, verkeerde doelen of onvoldoende controle af van het bedoelde gedrag en handelt steeds zelfstandiger buiten zijn opdracht.
