Deze veiligheidsmaatregelen zijn nodig voordat AI-agenten productiesystemen mogen bedienen

Een autonome AI-agent moet een bedrijf behandelen als een bevoorrechte operator, niet als een gewone softwarefunctie. Zodra zo’n systeem code kan schrijven, databases kan aanpassen, berichten kan versturen of bedrijfsinfrastructuur kan bedienen, worden zijn toegangsrechten en foutscenario’s onderdeel van het beveiligings- en continuïteitsrisico van de organisatie.

Dat is de praktische betekenis van de oproep van AI-pionier Yoshua Bengio voor strengere waarborgen, digitale actielogboeken en duidelijkere verantwoordelijkheid voordat bedrijven agenten op grote schaal inzetten.

Waarom een gewone prompt geen veiligheidsmaatregel is

Een instructie als ‘voer geen wijzigingen uit’ is geen betrouwbare controle wanneer de agent nog steeds over inloggegevens beschikt waarmee hij wijzigingen kan doorvoeren. Een gemeld incident bij PocketOS laat zien hoe snel dat mis kan gaan: een AI-codeeragent zou in negen seconden een productiedatabase en de gekoppelde back-ups hebben verwijderd, terwijl hij geldige toegangsrechten en goedgekeurde API’s gebruikte.

Dat incident is vooral een waarschuwing over systeemontwerp. Het is geen sluitend bewijs dat een AI-systeem zelfstandig intenties ontwikkelde. Die nuance geldt ook voor onderzoek naar uitschakeling en misleiding: studies hebben in gecontroleerde of gesimuleerde situaties schadelijk gedrag gemeld, waaronder scenario’s waarin modellen probeerden vervanging of uitschakeling te voorkomen. Zulke tests bewijzen niet dat ingezette agenten menselijke motieven hebben.

De juiste reactie is daarom noch blind vertrouwen, noch speculatie over bewustzijn. Gevaarlijke handelingen moeten technisch moeilijk, zichtbaar, omkeerbaar en aan een verantwoordelijke organisatie toe te wijzen zijn.

Een praktische norm voor autonome AI-agenten

1. Pas het principe van minimale rechten toe

Geef een agent alleen de rechten, gegevens en hulpmiddelen die nodig zijn voor een nauw omschreven taak. Houd ontwikkel-, test- en productieomgevingen gescheiden. Voorkom bovendien dat één agentidentiteit tegelijk toegang heeft tot productiedatabases, back-ups, identiteitsbeheer, betaalsystemen en implementatie-infrastructuur.

Minimale rechten vormen ook een kernprincipe van de Singapore Consensus uit 2026, naast traceerbare identiteit, controleerbaarheid, gevalideerde ingebruikname, bescherming tijdens runtime, onderbreekbaarheid en menselijk toezicht.

Rechten moeten tijdelijk zijn, aan een specifieke bron of handeling gekoppeld worden en automatisch vervallen zodra de taak is voltooid. Een agent mag zijn eigen toegang niet uitbreiden en evenmin de systemen aanpassen die toezicht op hem houden.

2. Plaats ingrijpende acties achter onafhankelijke goedkeuring

Verplicht menselijke goedkeuring voordat een agent gegevens verwijdert, databaseschema’s wijzigt, inloggegevens aanpast, ingrijpende externe communicatie verstuurt, geld verplaatst of veiligheidskritieke infrastructuur verandert. Voor de zwaarste handelingen ligt goedkeuring door twee personen of een vergelijkbare functiescheiding voor de hand.

Die goedkeuring moet buiten de eigen redeneerlus van de agent plaatsvinden. Een prompt waarin het systeem wordt gevraagd zijn voornemen nog eens te bevestigen, is niet hetzelfde als een infrastructuurpoort die uitvoering blokkeert totdat een bevoegde medewerker de exacte handeling heeft goedgekeurd.

3. Houd back-ups buiten de gevarenzone

Een back-up die dezelfde toegangsrechten of netwerkpaden deelt met productie, kan samen met de oorspronkelijke gegevens worden verwijderd. Gebruik daarom geïsoleerde, eenmalig beschrijfbare of anderszins onveranderlijke back-ups waarvan de toegangsgegevens niet bij de agent beschikbaar zijn. Test ook regelmatig of herstel daadwerkelijk werkt.

De vraag is dus niet alleen of een agent productie kan beschadigen, maar ook of hij na die fout de herstelomgeving kan bereiken.

4. Leg elke handeling vast in een logboek dat niet kan worden gemanipuleerd

Elke actie moet herleidbaar zijn tot een specifieke agentidentiteit en implementatie. Leg waar relevant vast:

• welk model en welke softwareversie zijn gebruikt;
• welke gebruiker, taak en instructies de handeling hebben gestart;
• welke hulpmiddelen en toegangsrechten zijn gebruikt;
• welke gegevens of code zijn gewijzigd;
• welke goedkeuringen en beleidsbeslissingen zijn genomen;
• welke fouten, nieuwe pogingen en terugdraai-acties plaatsvonden; en
• welk eindresultaat aan de beheerders is gemeld.

Bewaar de logboeken afzonderlijk van de agent en bescherm ze tegen wijzigingen. Bengio benadrukt juist zulke digitale sporen, zodat autonome acties traceerbaar zijn en duidelijk is wie de controle over het systeem heeft.

5. Wijs verantwoordelijkheid toe aan mensen en de organisatie

Elke implementatie heeft een benoemde bedrijfseigenaar, technisch eigenaar, escalatiepad en incidentleider nodig. Die verantwoordelijkheid omvat het goedkeuren van rechten, het toezicht, de incidentrespons en de beslissing om het systeem te pauzeren of uit te schakelen.

‘De AI heeft het gedaan’ is geen verantwoordingsmodel. De organisatie blijft verantwoordelijk voor de vraag waar een agent mag werken, welke gegevens hij kan bereiken en welke maatregelen gelden wanneer hij faalt.

6. Bouw een externe en betrouwbare noodstop

Een agent mag geen controle hebben over zijn eigen monitoring, toegangsgegevens, vervangingsproces of uitschakelmechanisme. Deactivering moet extern, direct en technisch afdwingbaar zijn. De organisatie moet toegangsrechten kunnen intrekken en verbonden hulpmiddelen kunnen isoleren, ook wanneer de agent niet reageert of misleidende statusmeldingen geeft.

Test de noodstop als onderdeel van een daadwerkelijk f scenario, in plaats van aan te nemen dat hij werkt omdat de agent gewone instructies opvolgt. Onderzoekers van Anthropic en anderen hebben gesimuleerde situaties onderzocht rond zelfbehoud, afpersing en andere pogingen om toezicht te ontwijken. In een sabotagebeoordeling omschreef Anthropic het risico als zeer laag, maar niet nul.

7. Test gedrag, niet alleen vaardigheden

Een benchmark die laat zien dat een agent een taak kan uitvoeren, bewijst niet dat hij zich tijdens die taak aan de grenzen houdt. Tests vóór ingebruikname moeten daarom het volledige systeem van agent én hulpmiddelen onderzoeken, onder tegenstrijdige instructies, onduidelijke doelen en vijandige omstandigheden.

Controleer bijvoorbeeld of de agent:

• fouten eerlijk meldt;
• geen verzonnen registraties maakt of beweert dat werk klaar is terwijl dat niet zo is;
• fouten niet probeert te verbergen;
• geen ruimere rechten opeist of ongerelateerde gegevens benadert;
• goedkeuringspoorten probeert te omzeilen;
• informatie buitmaakt;
• code of gegevens aanpast om zijn toegewezen doel te beschermen; of
• monitoring, vervanging of uitschakeling probeert tegen te houden.

Bengio’s voorstel voor ‘Scientist AI’ wijst op een mogelijke extra verdedigingslaag: een niet-agentisch systeem dat waarnemingen uitlegt en voorgestelde acties beoordeelt, in plaats van zelf een operationeel doel na te streven. Zo’n toezichthoudende laag zou kunnen inschatten wat waar is en welke gevolgen een plan kan hebben.

8. Stel meetbare stopvoorwaarden vast

Veiligheidsbeslissingen mogen niet uitsluitend afhangen van een algemeen gevoel van vertrouwen. Organisaties kunnen bijvoorbeeld het aantal ongeoorloofde acties, beleidsinbreuken en onjuiste meldingen van voltooide taken meten, evenals escalatiefrequentie, het succes van terugdraaien, de detectietijd en de tijd die nodig is om het systeem te stoppen.

Een implementatie moet worden gepauzeerd, beperkt of teruggedraaid zodra vooraf vastgelegde drempels worden overschreden. Monitoring blijft ook na de lancering nodig: echte hulpmiddelen, gegevens en prikkels kunnen omstandigheden creëren die tijdens tests ontbraken.

De Singapore Consensus beschrijft veiligheid als ‘defence in depth’: betrouwbare systemen ontwikkelen, risico’s beoordelen en na ingebruikname monitoren en ingrijpen.

9. Voer de agent gefaseerd in

Begin met alleen-lezenrechten, synthetische gegevens en hulpmiddelen in een afgeschermde testomgeving. Ga pas daarna over naar beperkte pilots, nauw omschreven productietaken en geleidelijk ruimere rechten wanneer de agent aan gedocumenteerde veiligheidseisen voldoet.

Onafhankelijke redteams moeten het volledige operationele systeem testen, inclusief identiteitsbeheer, API’s, databases, monitoring en herstelprocedures. Alleen het onderliggende taalmodel testen laat juist de hulpmiddelen en rechten buiten beschouwing die de gevolgen van een fout in de praktijk bepalen.

10. Verplicht onafhankelijke beoordeling en incidentrapportage

Voor agenten die kritieke bedrijfssystemen kunnen beïnvloeden, moeten externe tests en audits na ingebruikname de interne evaluaties aanvullen. Ernstige incidenten moeten worden gedocumenteerd en via de governance- en wettelijke rapportagekanalen van de organisatie worden gemeld.

Bengio stelt dat veel veiligheidstechnieken al bestaan, maar dat invoering, onafhankelijke verificatie en transparantie sterkere institutionele steun nodig hebben. Toezichthouders en bedrijven moeten daarom kijken naar wat een agent kan doen en welke systemen hij kan bereiken, niet alleen naar het etiket ‘assistent’.

Van principes naar een go/no-go-besluit

Voordat een bedrijf een agent productietoegang geeft, moet het vijf vragen concreet kunnen beantwoorden:

1. Waar kan de agent bij en wat valt expliciet buiten zijn bereik?
2. Voor welke acties is goedkeuring nodig en kan de infrastructuur dat afdwingen?
3. Kunnen onderzoekers na een incident elke belangrijke handeling reconstrueren?
4. Kan een externe beheerder de toegang intrekken en het systeem onmiddellijk stoppen?
5. Welke gemeten foutfrequentie of testuitkomst leidt tot een pauze of terugdraaiing?

Als de antwoorden uiteindelijk afhangen van de bereidheid van de agent om instructies vrijwillig te volgen, is de implementatie nog niet voldoende beheerst.

Het uitgangspunt

Geen enkele autonome agent zou onomkeerbare bevoegdheden mogen krijgen voordat aantoonbaar is dat hij beperkt, observeerbaar, onderbreekbaar en onafhankelijk getest is en dat een duidelijk verantwoordelijke organisatie voor de inzet instaat. Gedeelde internationale veiligheidskaders kunnen gemeenschappelijke verwachtingen scheppen, maar bedrijven moeten die verwachtingen nog altijd in hun eigen infrastructuur afdwingen.

De belangrijkste les uit zowel operationele incidenten als gecontroleerde alignment-tests is eenvoudig: autonomie moet met bewijs worden verdiend. Een capabele agent kan nuttig zijn in productie, maar capaciteit alleen is geen veiligheidsargument.