De Inperkingswedloop: Hoe Microsoft en Nvidia autonome AI-agenten aan banden leggen

Het tijdperk van autonome AI-agenten is aangebroken, en daarmee de meest consequente beveiligingsvraag van dit decennium: hoe geef je een AI-agent de macht om te handelen zonder hem de macht te geven om te vernietigen? Halverwege 2026 gaven Microsoft en Nvidia twee fundamentele antwoorden. Microsoft publiceerde een gelaagd containmentkader voor agenten en lanceerde tegelijk Project Perception, een autonoom cyberverdedigingssysteem. Nvidia, dagen na een spraakmakend incident bij Hugging Face, vormde de Open Secure AI Alliantie (OSAA), een coalitie van meer dan 120 leden die opensource-beveiligingstools voor agenten bouwt. Het patroon is duidelijk: dezelfde bedrijven die AI in actieve, autonome cyberverdedigingsrollen duwen, racen ook om de containment- en governancestructuren te bouwen die voorkomen dat die agenten de volgende generatie beveiligingsbedreigingen worden.

Microsofts containmentregels voor autonome AI-agenten

Microsoft heeft een gelaagd containmentkader voor autonome AI-agenten gepubliceerd, met als uitgangspunt dat agenten moeten opereren binnen expliciete, afdwingbare grenzen in plaats van onbeperkte autonomie.

Belangrijkste containmentmechanismen in 2026

Microsoft Execution Containers (MXC) SDK – Aangekondigd op Build 2026, biedt MXC OS-level isolatie voor AI-agenten op Windows. Het beperkt wat een agent kan openen, uitvoeren of wijzigen op kernel- en bestandssysteemniveau . Dit is Microsofts primitieve runtime containment. Microsoft positioneert Windows als het betrouwbare besturingssysteem voor autonome agenten en beschrijft een spectrum van isolatiemechanismen – van proces- en sessie-isolatie tot geplande micro-virtuele machines – allemaal aangestuurd door MXC-beleid .

Defense in depth per laag – Microsofts beveiligingsblog (mei 2026) definieert vier mitigatielagen: de modellaag (trainingsdata, finetuning, weigeringsgedrag), de veiligheidssysteemlaag (runtime-contentfiltering, vangrails, logging, observeerbaarheid), de applicatielaag (machtigingen, workflows, escalatiepaden) en de positioneringslaag (transparantiedocumentatie en UX-mededelingen) . Een latere blogpost in juni voegt een meer gedetailleerde vierlagenweergave toe: de modellaag, de veiligheidssysteemlaag, de metaprompt- en grondlaag en de agentlaag (toolgebruiksmachtigingen en human-in-the-loop-checks) .

Aanbevolen lijsten op tenantniveau voor MCP-servers – Organisaties moeten een goedgekeurde lijst van Model Context Protocol (MCP)-uitgevers en -servers bijhouden. De Microsoft MCP-catalogus biedt geverifieerde first-party servers, en alle externe componenten worden behandeld als onderdeel van de softwaretoeleveringsketen. De aanbeveling is om "Allow all" op MCP-verbindingen uit te schakelen en alleen de specifieke tools in te schakelen die een agent nodig heeft .

SBOM-generatie voor agentimplementaties – Software Bill of Materials inclusief toolafhankelijkheden, met handtekening- en herkomstverificatie voor MCP-servers vóór installatie. Microsoft beveelt ook registratiescanning aan voor verborgen instructies in toolbeschrijvingen, en versiepinning met wijzigingsbewaking voor alle externe tooldefinities .

Beleidsgestuurde vangrails – Naast monitoring kunnen organisaties beleidsgestuurde controles toepassen om vast te stellen wat agenten mogen doen, afgedwongen via de Agent 365 SDK en de Windows-beleidsinfrastructuur . Microsofts Windows Developer Blog stelt: "Containment begrenst wat agenten kunnen openen en doen, zodat niet-deterministisch gedrag niet leidt tot onbeheersbaar risico" .

Control plane governance – Gecentraliseerd eigenaarschap, identiteitslevenscyclusbeheer en nalevingshandhaving voor alle agenten in een organisatie. Microsofts Azure Cloud Adoption Framework beveelt aan om een gecentraliseerde en afdwingbare governance- en beveiligingsbasislijn vast te stellen die is afgestemd op bestaande identiteits-, datagovernance- en beveiligingspraktijken .

Hoe pakken deze regels beveiligingsrisico's aan?

Het kader richt zich op de volledige aanvalsketen – supply chain-vergiftiging (via aanbevolen lijsten en SBOM's), privilegescalatie (via MXC-isolatie), data-exfiltratie (via runtime-vangrails en contentfiltering) en ongeoorloofd toolgebruik (via machtigingscontroles en human-in-the-loop) . Microsofts taxonomie van faalwijzen na een jaar red-teaming van agentische systemen voegt zero-trust inter-agentarchitectuur toe: voor risicovolle scenario's moet de identiteit van een agent cryptografisch worden vastgesteld, niet worden aangenomen op basis van positie in een workflow .

De bredere industriële verschuiving: actieve cyberverdediging met strakkere controles

Twee grote initiatieven halverwege 2026 illustreren de omslag in de sector: AI-agenten zowel offensief als defensief inzetten in cybersecurity, terwijl tegelijkertijd strengere vangrails worden opgelegd.

Microsofts Project Perception

Project Perception, aangekondigd op 27 juli 2026, is een agentisch beveiligingssysteem dat verder gaat dan het genereren van waarschuwingen en overgaat tot continue geautomatiseerde actie . Microsoft omschreef het als een "continu lerend verdedigingssysteem" dat kan "redeneren, prioriteren en handelen op machinesnelheid, terwijl mensen stevig de controle houden" .

• Het zet drie gespecialiseerde agenttypen in – rode agenten (verkennen als een aanvaller), blauwe agenten (onderzoeken en triëren van dreigingen) en groene agenten (herstellen en versterken) – die samenwerken in de volledige vind-triëer-repareercyclus . De agenten delen inzichten via georkestreerde workflows, zodat "een bevinding een oplossing wordt, proactief, zonder overdracht bij elke stap" .
• Het platform is gebouwd op Microsofts eerste eigen cybersecuritymodel, MAI-Cyber-1-Flash, waarvan Microsoft zegt dat het "prestaties van wereldklasse levert tegen 50% van de kosten van toonaangevende modellen" .
• Microsoft heeft naar verluidt een aanzienlijk deel van zijn eigen beveiligingsoperaties naar dit AI-model verplaatst, waardoor de computerkosten met ongeveer 50% zijn gedaald .
• Project Perception ging op 3 augustus 2026 in openbare preview, geleverd binnen Microsoft Defender . Acties met een grote impact vereisen nog steeds menselijke goedkeuring .

Waarom dit belangrijk is: Dit is een concreet voorbeeld van AI-agenten die actieve, autonome rollen krijgen in cyberverdediging – systemen onderzoeken, kwetsbaarheden patchen en reageren op dreigingen zonder te wachten op menselijke aanwijzingen. De strakkere controle komt van de bovenstaande containmentregels: Project Perception-agenten opereren nog steeds binnen MXC-containers, onder beleidsgestuurde vangrails, met observeerbaarheid en menselijk toezicht .

Nvidia's Open Secure AI Alliantie (OSAA)

OSAA, gevormd op 27 juli 2026 – dagen na een spraakmakend incident bij Hugging Face dat de risico's van het verliezen van controle over autonome AI-agenten benadrukte – is een industriële coalitie die opensource-beveiligingstools voor AI-agenten bouwt .

• Oprichtende leden (37 organisaties): Microsoft, IBM, Cisco, CrowdStrike, Cloudflare, Dell, Hewlett Packard Enterprise, de Linux Foundation, Hugging Face, Adobe, Capital One, Salesforce, SAP, SpaceXAI en anderen . Opvallend is dat OpenAI en Google niet meededen .
• Snelle groei: Binnen een week groeide de alliantie naar meer dan 120 lidorganisaties .
• Belangrijke opensource-bijdragen: Nvidia opende zijn NOOA (Nvidia Open Omniverse Agent)-onderzoeksframework, beschikbaar op GitHub, voor het testen, traceren, auditen en beheren van agentgedrag . De alliantie stelde ook SAFE (Shared AI Findings Exchange)-richtlijnen voor via de Linux Foundation voor transparante kwetsbaarheidsmelding en gecoördineerde verdediging .
• Reikwijdte: Tools bestrijken de volledige AI-beveiligingsstack – identiteit en machtigingen, agentframeworks, runtime-vangrails, observeerbaarheid, evaluatie en incidentrespons .

Waarom dit belangrijk is: OSAA vertegenwoordigt een collectief industrieel besef dat geen enkele leverancier autonome agenten alleen kan beveiligen. De focus van de alliantie op open modellen en gedeelde tools is een bewust tegenwicht voor gesloten, propriëtaire benaderingen – de gok is dat bredere toegang van de gemeenschap tot beveiligingstools aanvallers zal overtreffen . Nvidia stelde: "Open modellen democratiseren defensieve mogelijkheden, vergroten transparantie voor verdedigers, maken cyberverdediging mogelijk terwijl gegevens worden beschermd, en vullen grensverleggende gesloten modellen aan met aanpasbare, gelokaliseerde controles" .

Samenvatting: De dubbele trend

Dimensie	Microsoft	Industrie (OSAA / Nvidia)
Controlefilosofie	OS-level containment (MXC), beleidsvangrails, supply chain-controles	Opensource gedeelde tools, transparante richtlijnen (SAFE), gemeenschapsgestuurde verdediging
Actieve verdediging	Project Perception – autonome rode/blauwe/groene agenten die vinden, repareren en herstellen	Open agentframeworks en runtime-vangrails die veilige agentische operaties mogelijk maken
Aangepakt risico	Ongeautoriseerde agentacties, data-exfiltratie, supply chain-vergiftiging	Verlies van agentcontrole, ondoorzichtige kwetsbaarheidsmelding, gefragmenteerde beveiligingstools
Belangrijkste beperking	Agenten draaien in afgesloten containers onder door mensen gedefinieerd beleid	Gedeelde beveiligingsbasislijnen en open frameworks voorkomen vendor lock-in en verhogen de ondergrens

Het patroon is duidelijk: dezelfde bedrijven die AI-agenten in actieve, autonome cyberverdedigingsrollen duwen, racen ook om de containment- en governancestructuren te bouwen die voorkomen dat die agenten de volgende generatie beveiligingsbedreigingen worden.