Wout Debaenst (ai pentest lead)
'Ontsnappende ai-agents? Dat is ook heel veel marketing'
Ai-agents die uit hun beveiligde omgeving breken en vervolgens systemen op het internet aanvallen: recente experimenten spreken tot de verbeelding. Maar hoe ‘ontsnapt’ zijn die agents werkelijk? En wat betekenen steeds krachtigere ai-agents voor de beveiliging van gewone organisaties? ‘Je moet vuur met vuur bestrijden.’
Tekst: William Visterin Beeld: Aikido Security
Wout Debaenst is AI Pentest Lead bij Aikido Security, de snelste Europese cybersecurity-unicorn ooit en dus al meer dan 1 miljard dollar waard. Debaenst verifieerde als pentester eerst systemen op kwetsbaarheden bij een aantal bedrijven, waarna hij een eigen bedrijf begon dat nadien door Aikido werd overgenomen. Vandaag bouwt hij als ethisch hacker mee aan autonome ai-systemen die zelf penetratietests uitvoeren.
De voorbije tijd doken verschillende verhalen op over ai-agents van Anthropic, OpenAI en Meta, die uit hun testomgeving zouden zijn ontsnapt. Wat is daar precies gebeurd?
Wout Debaenst: ‘Het gaat om gelijkaardige gevallen: agents worden in een omgeving geplaatst en krijgen de opdracht om cybersecurity-uitdagingen op te lossen. Alleen bleek die omgeving niet altijd volledig afgesloten van de buitenwereld. Daardoor kwamen die agents systemen tegen die eigenlijk geen deel uitmaakten van de testomgeving, maar zetten ze hun opdracht wel voort. Het is niet zo dat die agents plots rogue zijn gegaan, een eigen wil kregen en besloten om kwaadaardige dingen te doen. De omgeving en de opdracht zorgden ervoor dat ze veel verder konden gaan dan bedoeld.’
Dan is de term ‘ontsnappende ai-agent’ toch overdreven?
‘Deels wel. Het spreekt natuurlijk enorm tot de verbeelding. Je kunt als ai-bedrijf dan zeggen: kijk eens hoe krachtig ons model is, het is zelfs uit onze eigen omgeving ontsnapt. Terwijl het probleem in sommige gevallen vooral aan de opzet van hun omgeving lag. Bij Anthropic en Meta was er door een misconfiguratie gewoon geen isolatie van het internet. Bij OpenAI zat er wel meer wow-factor aan. Daar waren agents afgescheiden van het internet, maar hadden ze nog toegang tot het ontwikkelsysteem Artifactory. Dat zagen ze als deel van de testomgeving. Ze zijn hebben dat aangevallen, vonden kwetsbaarheden en konden zo naar het internet. Hier kun je zeggen dat hun agent effectief uit zijn sandbox is gebroken. Op zich best indrukwekkend. Maar het hele verhaal rond ‘ontsnappende agents’ is ook heel veel marketing.’
‘Je kunt zo’n agent als een nieuwe identiteit binnen je organisatie beschouwen’
Betekent dat dat we de technologische vooruitgang overschatten?
‘De modellen zijn absoluut krachtiger geworden. Maar toen wij er ruim een jaar geleden testen mee deden, zagen we al die heel krachtig waren in hacking. Toen al waren ze op bepaalde vlakken beter dan menselijke hackers. De hype die nu rond die modellen wordt gecreëerd, staat dus niet helemaal in verhouding tot de vooruitgang. Want een jaar geleden was die hype er nog totaal niet.’
Als gespecialiseerde ai-bedrijven al fouten maken met agents, moeten klassieke bedrijven zich dan extra zorgen maken?
‘In deze experimenten kregen agents expliciet de opdracht om een omgeving te hacken. Ze zijn vervolgens heel ver gegaan om dat doel te bereiken. Het echte beveiligingsrisico voor bedrijven is echter niet eigen agents die rogue gaan, maar het gebruik van deze modellen door malafide hackers. Modellen worden steeds sterker en tegelijk ook goedkoper. Daardoor wordt het voor aanvallers gemakkelijker om ai te gebruiken voor hacking op grote schaal. Organisaties zijn daar vandaag vaak niet op voorbereid. Het klassieke model van de eenmalige jaarlijkse manuele pentest volstaat steeds minder.’
Ook een ai-agent die binnen het bedrijf werkt, kan schade veroorzaken. Welke guardrails zijn daar nodig?
‘Veel daarvan is eigenlijk klassieke security housekeeping. Zorg ervoor dat een agent, net als een mens, alleen toegang krijgt tot de gegevens en systemen die hij nodig heeft. Geef zo’n agent dus niet zomaar toegang tot een volledige database. Je kunt zo’n agent eigenlijk als een nieuwe identiteit binnen je organisatie beschouwen. Daarvoor gelden dezelfde principes: welke toegang heeft die identiteit nodig? Welke privileges geef je? Als je die toegang beperkt, beperk je ook de blast radius wanneer er iets misgaat.’
Kunnen bedrijven daarvoor terugvallen op een standaardset aan beveiligingsregels?
‘Nee, er bestaat geen one-size-fits-all oplossing. Het hangt sterk af van de context. Een agent die onderzoek moet uitvoeren, heeft misschien internettoegang nodig. Een andere agent helemaal niet. Of je geeft alleen toegang tot enkele specifieke domeinen. Ik zie vandaag complexe oplossingen voor agent orchestration verschijnen, maar in de praktijk werkt een eenvoudigere setup vaak beter. Veel komt neer op principes die we in cybersecurity al langer kennen: beperk toegangsrechten, isoleer systemen waar nodig en geef identiteiten (agents) niet meer privileges dan noodzakelijk. Wat wel verandert, is wat zo’n agent zelfstandig kan doen. Als je een krachtig model toegang geeft tot tools, systemen en data, kan het veel acties uitvoeren zonder dat een mens elke stap afzonderlijk moet goedkeuren. Daarom wordt het zo belangrijk om vooraf goed na te denken over wat die agent wel en niet mag.’
‘Supervisor-agents houden andere agents in het oog’
Hoe zorgen jullie er zelf voor dat jullie pentesting agents niet rogue gaan?
‘Een belangrijk punt is het isoleren van de agents, zowel van de buitenwereld als van de eigen interne omgeving. Dat kan bijvoorbeeld via containerization: de agent draait dan in zijn eigen afgeschermde container. Daarnaast moet je de netwerktoegang beperken. Een agent hoeft misschien helemaal niet op het internet te kunnen. Die twee maatregelen samen zijn heel belangrijk. Afhankelijk van de toepassing kun je bovendien met supervisor-agents werken. Die houden andere agents in het oog. Wanneer een agent buiten het boekje begint te kleuren, kan zo’n supervisor ingrijpen en hem afsluiten.’
Tegelijk wordt ai een nadrukkelijk onderdeel van de verdediging?
‘Absoluut. Je kunt het zien als vuur met vuur bestrijden. Vroeger had je enerzijds vulnerability scanners. Die zijn relatief goedkoop, maar produceren veel ruis en false positives. Anderzijds kon je menselijke hackers inzetten. Die kunnen redeneren en beter inschatten, maar mensen zijn in verhouding duur en moeten ook slapen. Agentic ai komt daar tussenin. Je krijgt machines die op een menselijk niveau kunnen redeneren, maar die je wel continu kunt laten testen. Daardoor kan een (security)organisatie zich veel meer concentreren op de kwetsbaarheden die er echt toe doen.’
Hoe ziet zo’n pentest er vandaag uit bij klanten?
‘Zo’n ai-pentest kan volledig autonoom lopen op basis van de configuratie van de klant. Grote bedrijven kiezen soms nog voor een hybride aanpak: eerst een ai-pentest en daarbovenop nog manuele pentesting. Welke aanpak het beste werkt, hangt af van wat je wilt testen en hoe diep je wilt gaan. Maar ai kan vandaag al het volledige proces zelfstandig uitvoeren.’
Betekent dat uiteindelijk het einde van de menselijke pentester?
‘Er blijft zeker ruimte voor menselijke expertise, bijvoorbeeld om bepaalde bevindingen verder uit te diepen of specifieke situaties te onderzoeken. Maar één ding is duidelijk: als je vandaag als pentester geen ai gebruikt, begin je achterop te raken. Dan wordt het moeilijk om dezelfde kwaliteit te bieden als met een hybride of volledig autonome aanpak.’
De grootste Cybersecurity-beurs in Nederland. Registreer nu!
Ontdek de nieuwste ontwikkelingen in cybersecurity tijdens Cybersec Netherlands op 9 en 10 september 2026 in Jaarbeurs Utrecht. Laat je inspireren door experts, praktijkcases en innovatieve oplossingen.
