Deze zomer haalde een aanvaller de kranten die geen gezicht, geen tijdzone en geen koffiepauze had: JADEPUFFER. Een malware-agent die zelfstandig een bedrijf binnendrong, inloggegevens buitmaakte en een database versleutelde, zónder dat er tijdens de aanval zelf één mens aan het stuur zat.
24 uur per dag aan het werk
Een extreem voorbeeld, maar het patroon erachter is inmiddels overal terug te vinden. Ook in gewone bedrijfssystemen draait om drie uur ’s nachts een AI-agent gewoon door: hij doorzoekt databases, roept andere systemen aan, neemt beslissingen. Geen mens die inlogt, geen verdachte sessie op een ongebruikelijk tijdstip. Er is simpelweg niemand die op dat moment meekijkt.
‘De meeste organisaties zouden een AI-agent niet als medewerker beschouwen’, zegt Martin Kraemer, Chief Information Security Officer (CISO) Advisor bij KnowBe4. ‘Maar elke CISO heeft inmiddels een governance-gap: het gat tussen wat een AI-agent allemaal kán doen en wat een organisatie daadwerkelijk in de gaten houdt of onder controle heeft.’
AI-agents zijn ‘gewoon’ collega’s
Organisaties behandelen AI-agents nog niet als collega’s, ziet Kraemer, terwijl de risico’s wel overeenkomen met menselijk gedrag. ‘We hebben decennia besteed aan medewerkers trainen om red flags te herkennen, zodat ze niet op dat éne linkje klikken. Voor AI-agents hebben we dat nog niet georganiseerd. Zonder te snappen waarom een agent iets doet, kun je geen logboek opbouwen dat je achteraf kunt controleren. Je moet weten wat een gebruiker de agent heeft gevraagd én wanneer hij informatie ophaalt uit andere bronnen. Dat moet je allemaal vastleggen.’
Waarom de oude regels niet meer werken
Digitale beveiliging draaide altijd om één aanname: je controleert vooraf wie toegang krijgt tot wat. Dat principe heet zero-trust. ‘Heel simpel gesteld is er een poort, je checkt wie iemand is, geeft toegang en daarna weet je wat er gebeurt’, zegt Kraemer. ‘Maar in het tijdperk van AI-agents werkt dat niet meer.’
Want, zegt Kraemer, zodra de agent door een poort is, begint hij zelf te redeneren. ‘Hij besluit zélf om andere databases of API’s te raadplegen. Niemand weet op dat moment precies wat hij gaat doen. Wat vroeger vooraf kon worden dichtgetimmerd, moet nu tijdens runtime gebeuren, op machinesnelheid.’
Least agency in plaats van least privilege
Naast het idee van ‘zo weinig mogelijk rechten’ (least privilege) moet er volgens Kraemer een nieuw uitgangspunt komen: zo weinig mogelijk speelruimte. Oftewel: ‘least agency’. ‘Neem een boekingsmedewerker bij een reisbureau. Die mag vluchten boeken, niet wijzigen of annuleren. Dat mag alleen een collega met meer bevoegdheid. Bij een AI-agent is het juist efficiënter om één systeem alles te laten doen. Maar dan heeft die ene agent dus ook alle rechten nodig.’
De vraag die je jezelf moet stellen, verandert daardoor. ‘Is de actie die de agent nu neemt in het belang van degene die de opdracht gaf? Wat was de bedoeling, hoe is de agent tot zijn besluit gekomen, en klopt de uitkomst? Dat wil je steeds opnieuw beoordelen, en de agent daarbij zo weinig mogelijk ruimte geven om zelf te bepalen wat hij doet.’
Niet alles kan door een mens worden goedgekeurd
Je kunt niet élke actie van een agent laten goedkeuren door een mens. ‘Dan doen we straks hetzelfde als bij een cookiebanner’, zegt Kraemer. ‘Overal maar op accepteren klikken, om er vanaf te zijn.’
Waarom niet gewoon een mens laten meekijken? ‘Je wil profiteren van de snelheid van AI’, zegt Kraemer. ‘Dat betekent dat je daar niet zomaar een mens tussen kunt zetten. Een mens is simpelweg te traag om op dezelfde snelheid de technologie te controleren.’
Wie controleert de controleur?
De AI-agents moet je dus in de gaten houden. En dat kan eigenlijk alleen met andere AI; software die continu volgt wat een agent doet, op het moment dat hij draait. Het is volgens Kraemer een snelgroeiend vakgebied met een eigen naam: AI Agent Runtime Security.
Daarmee ontstaat een nieuw probleem: als je AI gebruikt om het gedrag van andere AI-agents te beoordelen, wie controleert dan die controle-AI? ‘Koop je een agent of een clouddienst, dan krijg je vaak een black box: je ziet niet wat er binnen gebeurt’, zegt Kraemer. ‘Zonder zicht op de instructie blijft er weinig anders over dan je eigen toezicht-AI erboven te zetten. Die moet zelf ook autonoom kunnen werken, anders is hij niet snel genoeg.’
Drie vragen om te stellen
Goede AI-governance bestaat volgens Kraemer dus uit twee dingen: goed zicht hebben én de speelruimte beperken. ‘Zoals je dat ook zou doen bij nieuwe medewerkers’, zegt hij. ‘In een sollicitatieproces leg je vast wat de taken zijn, welke toegang erbij hoort, waarop je de prestatie van een medewerker zal beoordelen. Voor een AI-agent geldt precies hetzelfde, alleen leg je dat vast in een instructie waarmee de agent aan het werk gaat, in plaats van in een arbeidscontract.’
Kraemer heeft drie vragen geïdentificeerd die iedere ondernemer zichzelf moet stellen. ‘Kan ik mijn AI-agents zien en weten wat ze doen? Weet ik waarom ze doen wat ze doen? En kan ik gevaarlijk gedrag realtime onderscheppen? Die laatste vraag kan bijna geen organisatie nu bevestigend beantwoorden. En zolang je dat laatste niet met ja kunt beantwoorden heb je geen eigenlijk geen up-to-date governance.’
Lees ook:
- Cyberweerbaarheid in de praktijk: je concrete actieplan bij een bedrijfshack
- Waarom cybersecurity een cultuurprobleem is: ‘Vraag jezelf af wat mensen doen als niemand meekijkt’
Dit artikel wordt u aangeboden door
KnowBe4
KnowBe4 helpt werknemers dagelijks slimmere beveiligingsbeslissingen te nemen en versterkt wereldwijd de beveiligingscultuur van meer dan 70.000 organisaties. Met een...
Meer info
