WatchGuard Technologies roept CIO’s op om bij elke nieuwe AI-toepassing scherp vast te leggen welke bevoegdheden een agent krijgt. Prompt injection en Shadow AI maken agents met ruime rechten tot een aantrekkelijk doelwit. Het securitybedrijf adviseert een aanpak in drie stappen.
AI-agents lezen tegenwoordig mee in mailboxen, plannen afspraken in agenda’s en openen documenten en bedrijfsapplicaties. Daarmee krijgen ze bevoegdheden die normaal bij medewerkers liggen. Volgens WatchGuard zit daar het probleem. Wie een agent weet te beïnvloeden, kan via die rechten data onderscheppen of processen verstoren.
Het bedrijf noemt e-mail als voorbeeld. Een agent die berichten samenvat, heeft via dezelfde koppeling vaak ook toegang tot andere mails of kan zelf berichten versturen. Een aanvaller verstopt dan instructies in een e-mail. De agent ziet die tekst ten onrechte als opdracht en gaat op zoek naar gevoelige informatie om die door te sturen. Dat heet prompt injection.
Excessive agency stijgt op OWASP-lijst
OWASP beschrijft dit scenario in de risicolijst voor 2026 onder de noemer ‘excessive agency’ oftewel kunstmatige intelligentie met te veel functies, rechten of zelfstandigheid. Het risico steeg van plaats zes naar plaats drie, zo blijkt ook uit een analyse van de Cloud Security Alliance. Prompt injection staat volgens Forcepoint nog altijd op nummer één en die twee versterken elkaar. De injectie zorgt voor de manipulatie, de rechten van de agent bepalen hoeveel schade die kan aanrichten.
Daar komt Shadow AI bij oftewel medewerkers die zelf AI-tools gebruiken of applicaties aan bedrijfssystemen koppelen zonder dat de securityafdeling meekijkt. Uit meerdere onderzoeken blijkt dat veel werknemers AI gebruiken, terwijl het bedrijfsbeleid dat niet toestaat en daarbij worden vaak allerlei interne data gedeeld. Zonder overzicht blijven zulke koppelingen buiten beveiligingscontroles, waarschuwt WatchGuard.
Autonomie versus least privilege
Toch is het dichttimmeren van agents geen simpele oplossing. Een agent die afspraken plant, moet in een agenda kunnen schrijven. Alleen leesrechten volstaan dan niet. Elke handeling vooraf laten goedkeuren houdt weer werk bij de medewerker. WatchGuard vindt daarom dat de mate van autonomie bij het ontwerp van de toepassing hoort.
“Alleen multifactorauthenticatie is niet genoeg om het gebruik van AI-agents goed te beveiligen”, zegt Martijn Nielen, Sr. Sales Engineer bij WatchGuard. Het bedrijf adviseert drie stappen. Eerst leg je per agent vast welk werk hij overneemt, welke systemen hij bereikt en wat hij daar mag. Bijvoorbeeld alleen lezen of ook wijzigen en verwijderen?
Daarna beperk je de rechten tot wat de taak vraagt. Een agent die e-mails samenvat, heeft geen verzendrechten nodig. Voor handelingen met grote gevolgen bepaalt de organisatie wanneer een medewerker eerst moet goedkeuren. Tot slot worden de rechten opnieuw beoordeeld bij elke uitbreiding en periodiek. Overbodige toegang wordt ingetrokken.
WatchGuard staat niet alleen met dat advies. Ook internationale veiligheidsdiensten riepen organisaties op om de rechten van AI-agents per taak te beperken en menselijke goedkeuring te eisen voor risicovolle handelingen. Daarnaast blijft de organisatie die een agent inzet juridisch verantwoordelijk voor de gevolgen, waarbij de AVG en de EU AI Act van toepassing kunnen zijn.