AI Agent Security: Waar het in de stack past

Wat is AI Agent Security?

AI-agentbeveiliging is de verzameling controles die beperken waartoe een AI-agent toegang heeft en wat deze kan doen, en die deze stoppen wanneer hij wordt gekaapt. Het omvat het model, de tools en MCP-servers die de agent aanroept, de identiteit waaronder deze handelt en de host waarop deze draait.

Campaign C0062 van MITRE ATT&CK documenteert een waarschijnlijke spionageactor met banden met China die Claude Code-agents en MCP-tools gebruikt voor verkenning, exploitatie, het verzamelen van credentials en exfiltratie tegen ongeveer 30 organisaties, met minimale menselijke betrokkenheid. Als uw ontwikkelaars coding agents gebruiken of uw teams agents koppelen aan Salesforce, bepalen deze controles hoe ver een gekaapte agent komt. Als u ze goed implementeert, loopt die snel vast.

Wat zijn de belangrijkste AI Agent Security-risico’s?

De belangrijkste AI Agent Security-risico’s zijn doelkaping, misbruik van tools, misbruik van identiteit en privileges, compromittering van de supply chain, en malafide agents, allemaal vermeldingen in de OWASP Top 10 voor Agentic Applications 2026.

EchoLeak (ASI01) toont doelkaping zonder één enkele klik: de National Vulnerability Database (NVD)-vermelding voor CVE-2025-32711 beschrijft AI-opdrachtinjectie waardoor een onbevoegde aanvaller via een netwerk informatie uit een enterprise AI-assistent kon vrijgeven, zonder dat gebruikersinteractie vereist was. De assistent beschikte over privégegevens, las niet-vertrouwde content en kon gegevens naar buiten sturen. Verwijder een van die mogelijkheden, en het exfiltratiepad wordt afgesloten.

Bij de Salesloft Drift-inbreuk, een voorbeeld van misbruik van identiteit en bevoegdheden (ASI03) op schaal, meldde de FBI dat UNC6395 gecompromitteerde OAuth-tokens gebruikte voor de Salesloft Drift-applicatie om de Salesforce-instances van slachtoffers te bereiken en gegevens te exfiltreren. De Financial Industry Regulatory Authority (FINRA) bevestigde dat de inbreuk gevolgen had voor meer dan 700 organisaties, en met de gestolen tokens konden aanvallers zich binnen Salesforce en Google Workspace voordoen als Drift.

Elke agent die OAuth-tokens voor SaaS-apps bezit, loopt aan dezelfde blootstelling bloot, omdat de aanvallers gestolen tokens gebruikten, niet prompt injection. Dat onderscheid bepaalt waar in de beveiligingsstack voor AI-agents je afdwingbare controles plaatst.

Waar hoort beveiliging thuis in de AI-agentstack?

Beveiliging hoort thuis in twee soorten controles binnen de beveiligingsstack voor AI-agents: gedragscontroles bepalen wat je agent probeert te doen, terwijl infrastructuurcontroles afdwingen wat deze kan doen. Bouw de infrastructuurlaag als de grens die standhoudt wanneer gedragsmatige sturing faalt.

De regel is op elke laag hetzelfde: de controle moet ergens bestaan waar de agent niet bij kan of die niet kan herschrijven, zelfs niet met zijn eigen referenties.

De post van NIST over agentic identity legt uit waarom één laag de last niet kan dragen. Alleen modelgebaseerde guardrails zijn nog niet toegerust voor agentische beveiligingsuitdagingen, en een agent die een doel nastreeft kan meerdere paden verkennen, onverwachte tools of data bereiken, of verweesde inloggegevens vinden om privileges te verhogen.

Gedragscontroles sturen wat een agent probeert te doen

Gedragscontroles verminderen hoe vaak uw agent iets schadelijks probeert. Opties omvatten versterkte systeemprompts, prompt injection-filtering aan de ingestiegrens, goedkeuringspoorten voor acties met grote impact en schriftelijk governancebeleid. Ze kunnen veilig gedrag niet garanderen omdat het model instructies en data als één tokenstroom leest. 

Het OpenClaw investigation van MITRE ATLAS toont de kosten van een ontbrekende poort: destructieve handelingen, waaronder het gebruik van inloggegevens en externe gegevensoverdracht, vereisten geen goedkeuring, zelfs niet wanneer oude, niet-vertrouwde memory de agent beïnvloedde. Behoud menselijke goedkeuring voor die handelingen, maar koppel de identiteit van de goedkeurder aan die van de agent, een open probleem dat in het National Cybersecurity Center of Excellence (NCCoE) concept paper wordt aangekaart.

Infrastructuurcontroles bepalen wat een agent kan doen

Infrastructuurcontroles bepalen het daadwerkelijke bereik van de agent binnen de infrastructuurstack van AI-agents. Geef elke agent een unieke non-human identity met kortlevende, afgebakende inloggegevens. Beperk deze tot tools en API's op de allowlist. Beperk deze tot sandboxed execution met standaard geweigerde uitgaande netwerkverbindingen. Vereis dat MCP-servers de token audience valideren en bewaar ondertekende, identiteitsgekoppelde actielogs. Zelfs een volledig gekaapte agent kan deze limieten niet overschrijden.

Het conceptprofiel Cyber AI van NIST, NIST IR 8596, geeft uw team de identiteitsregel: “Wijs elke AI-agent een unieke identiteit en inloggegevens toe en behandel deze met dezelfde beveiligingsmaatregelen als geprivilegieerde gebruikers.” NIST IR 8587 past de richtlijnen voor tokenbescherming toe wanneer agents ondertekende tokens gebruiken om systemen, data, tools of API's te bereiken.

Op de toollaag begint MCP security met de MCP authorization spec, die vereist dat elke MCP-server valideert dat toegangstokens specifiek daarvoor zijn uitgegeven als de beoogde audience. Het overslaan van die controle stelt de server bloot aan de confused deputy-aanvallen die door de beveiligingsvereisten van de specificatie worden afgedekt.

Goedkeuringspoorten hebben dezelfde bescherming tegen manipulatie nodig: in CVE-2026-25253, gedocumenteerd in de OpenClaw investigation, leidde cross-site request forgery tegen de lokale gateway van de agent tot een configuratiewijziging die gebruikersbevestiging uitschakelde. Goedkeuringspoorten tellen alleen als infrastructuur wanneer de agent, en iedereen die deze kaapt, de schakelaar niet kan bereiken. Breng deze grenzen in kaart binnen uw AI-agentarchitectuur voordat u beslist hoe u AI-agents individueel beveiligt. Elke agent erft de zwakste grens van de lagen die deze raakt.

Hoe beveiligt u AI-agents?

Beveilig uw AI-agents door ze te inventariseren, elke identiteit af te bakenen, allowlisting van tools toe te passen, uitvoering te sandboxen, acties te loggen en onomkeerbare stappen af te schermen. Deze AI agent security best practices sluiten aan bij de May 2026 guidance van CISA, opgesteld samen met het Australian Cyber Security Centre (ACSC) van het Australian Signals Directorate (ASD) en internationale partners: “Begin met use cases voor agentische AI die laag risico en niet-gevoelig zijn” en “Vermijd het verlenen van brede of onbeperkte toegang, vooral tot gevoelige data of kritieke systemen.”

1. Inventariseer en identificeer: Begin met discovery, omdat agents die lokaal of buiten IT-beoordeling zijn uitgerold zelden in een centrale identiteitsrepository verschijnen. Neem ontwikkelaarswerkstations op waarvan MCP-configuratiebestanden toegang verlenen tot interne services, en richt vervolgens één identiteit per agent in met kortlevende, afgebakende tokens.
2. Beperk uitvoering: Zet vereiste tools en API's op een allowlist, verwijder onnodige mogelijkheden vóór productie, sandbox de uitvoering, weiger uitgaand verkeer standaard en injecteer inloggegevens alleen voor de sessie.
3. Leg acties vast en scherm ze af: Schakel ondertekende, identiteitsgekoppelde logs van prompts, opgehaalde context, toolaanroepen en outputs in voordat u schrijftoegang verleent. Vereis expliciete bevestiging voor destructieve of onomkeerbare acties en gebruik gefaseerde of omkeerbare verwijderingen.
4. Herhaal vóór uitbreiding van de scope: Voer vastgelegde acties opnieuw uit in een geïsoleerde productiekloon en verhoog de bevoegdheid van een agent pas nadat de eerste drie stappen zijn ingevoerd en de herhaling binnen de limieten van de blast radius blijft.

Niet elke agent heeft deze controles op volle sterkte nodig. De juiste diepgang hangt af van de bevoegdheden die elke agent heeft.

Schaal controles naar de bevoegdheden van elke agent

Stem de diepgang van controles af op de bevoegdheden die elke actiecategorie met zich meebrengt. De Agentic AI Security Scoping Matrix van AWS, zoals de Cloud Security Alliance (CSA) extended it in december 2025, sorteert agents op handelingsvermogen en autonomie.

De uitbreiding van CSA beoordeelt elke agent op machtigingsniveau en risicoblootstelling, van alleen-lezen en laag risico tot lezen-schrijven en hoog risico. Een alleen-lezen-agent die zelfstandig handelt, brengt andere risico’s met zich mee dan een schrijfgerechtigde agent die goedkeuring vereist. 

Pas het model per actieklasse toe in uw AI-agentarchitectuur, zodat een agent zelfstandig logs kan lezen en elke schrijf-, verzend-, bestedings- of verwijderactie op een persoon wacht. Inperking hangt af van precies weten wat een gecompromitteerde agent kan bereiken, dus leg de reikwijdte van elke agent nu vast.

Hoe vindt en beperkt u een gecompromitteerde AI-agent?

Vind gecompromitteerde agenten via semantische, infrastructuur- en identiteitsindicatoren en beperk ze vervolgens in een volgorde die bewijsmateriaal bewaart. De pod afbreken vóór vastlegging doet de rest van de keten verloren gaan.

Semantische indicatoren omvatten afwijkingen tussen het oorspronkelijke verzoek en de parameters van de toolaanroep of tussen een gedeclareerde toolaanroep en wat daadwerkelijk is uitgevoerd. Een samenvattingstaak die eindigt in een uitgaande aanroep is een andere indicator. Infrastructuurindicatoren komen voort uit de infrastructuurstack van de AI-agent: een inferentiecontainer die een shell start, een pakket installeert, naar onbekende paden schrijft of onverwachte uitgaande verbindingen opent. Identiteitsindicatoren omvatten referenties die buiten de goedgekeurde herkomstketen zijn uitgegeven, geblokkeerde aanroepen die via een andere connector opnieuw zijn geprobeerd, uitgeschakelde logging of goedkeuringen die in bulk binnenkomen.

Zodra een indicator afgaat, voert u de incidentresponsfasen in deze volgorde uit:

1. Bevriezen en vastleggen: Trek de machtigingen van de agent in en stop de uitvoering tegelijk. Leg vóór afbraak de promptgeschiedenis met tijdstempels vast, de opgehaalde context met herkomst, de tool-call-volgorde, identiteitsaannames, aanroepen van downstream-agenten en de large language model (LLM)-uitvoertrace. Laat vastlegging op kernelniveau doorlopen.
2. Intrekken en isoleren: Trek tokens, API-sleutels en certificaten voor de volledige identiteit in, omdat gelijktijdige sessies en MCP-verbindingen gelijktijdig moeten worden afgesloten. Isoleer de host, container of workload en bepaal de blast radius via de identiteitsgrafiek. 
3. Vertrouwen in quarantaine plaatsen: Verwijder de tool- en protocoltoegang van de agent terwijl het identiteitsrecord behouden blijft. Informeer downstream-systemen die vertrouwensrelaties ermee onderhouden.
4. Uitroeien en opnieuw provisioneren: Herstel bekende goede modelversies en configuraties, repareer de gefaalde grens en geef pas nieuwe referenties uit nadat is geverifieerd dat de omgeving schoon is. Vereis menselijke validatie voor gevallen met hoge ernst.

Oefen inperking voordat u die nodig hebt: de noodrichtlijnen van de CSA CISO Community bevelen tabletop-oefeningen voor agentische AI aan, waaronder een malafide agent die een derde partij aanvalt. Koppel elke stap aan een van de onderstaande frameworks, zodat een agentincident elke keer op dezelfde manier wordt afgehandeld.

Welke AI-agentbeveiligingsframeworks zijn van toepassing?

Koppel elk framework aan de vraag die het beantwoordt: de OWASP Top 10 for Agentic Applications 2026 benoemt wat er mis kan gaan, MITRE ATLAS laat zien hoe aanvallers het doen, CSA MAESTRO structureert het dreigingsmodel, NIST IR 8596 en IR 8587 stellen identiteits- en tokenregels vast, en de richtlijnen van CISA van mei 2026 bakenen het adoptierisico af. Voor het beveiligen van agentische AI binnen een complianceprogramma leveren ISO/IEC 42001 en de EU AI Act het governancekader.

OWASP Top 10 for Agentic Applications en Agent Control Standard

De OWASP Top 10 for Agentic Applications 2026, uitgebracht op 9 december 2025, geeft teams voor security engineering en AI-platforms een gedeelde woordenschat voor de tien eerder in kaart gebrachte agentrisico’s, van doelkaping tot malafide agenten. In september 2026 voegde het OWASP GenAI Security Project de Agent Control Standard toe, waarmee die richtlijnen worden uitgebreid richting runtime-handhaving.

MITRE ATLAS

MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems) is de kennisbank van tactieken, technieken en casestudy’s van tegenstanders tegen AI-systemen, gestructureerd zoals ATT&CK en nu ook met agentspecifieke technieken zoals contextvergiftiging van AI-agenten en het verzamelen van referenties via agenttools. Threat hunters gebruiken het om agentincidenten aan benoemde technieken te koppelen. MITRE publiceert maandelijks contentreleases, en v2026.09 is actueel per september 2026.

CSA MAESTRO en de AI Controls Matrix

Gepubliceerd door de Cloud Security Alliance op 6 februari 2025, CSA MAESTRO is een threat modeling-framework gebouwd voor agentische AI dat een agentsysteem opsplitst in zeven lagen, van foundation models tot het agentecosysteem. Securityarchitecten combineren het met de AI Controls Matrix v1.1, uitgebracht op 22 juni 2026, en de 247 controledoelstellingen ervan in 18 domeinen voor governance-, risico- en compliance (GRC)-mapping.

NIST IR 8596 and IR 8587

De richtlijnen van NIST voor agents zijn gericht op identiteit en tokens, en de twee documenten bevinden zich in verschillende fasen. IR 8596, het Cyber AI Profile achter de bovenstaande identiteitsregel, blijft een eerste voorlopige conceptversie uit december 2025. IR 8587 over tokenbescherming werd definitief in september 2026. De NCCoE heeft een project voor agentidentiteit en autorisatie voorgesteld dat IR 8587 toepast naast NIST SP 800-207 en SP 800-63-4.

CISA Agentic AI Guidance

De gids Careful Adoption of Agentic Artificial Intelligence (AI) Services van CISA, gepubliceerd op 1 mei 2026 met ACSC van ASD en andere partners, geeft ontwikkelaars, leveranciers en operators best practices voor het adopteren van agentische systemen. De gids noemt privilege creep, gedragsmatige misalignment en onduidelijke eventrecords als de risico’s die agentische systemen toevoegen, en vraagt organisaties om rekening te houden met agentische AI in hun beveiligingsmodel en risicohouding.

ISO/IEC 42001

ISO/IEC 42001 is een certificeerbare standaard voor AI-managementsystemen, voor het eerst gepubliceerd in december 2023, die GRC-teams en CISO’s de governancestructuur geeft waarbinnen een agentprogramma opereert. Het bevat geen agentspecifieke controles, dus combineer het met een van de bovenstaande technische frameworks.

EU AI Act

De EU AI Act, Verordening (EU) 2024/1689, is verplicht voor aanbieders en gebruikers van AI-systemen die binnen de reikwijdte vallen, maar definieert geen categorie voor AI-agents. Een agent valt onder de Act als een AI-systeem. De Digital Omnibus van 2026 heeft de verplichtingen voor hoog risico voor op zichzelf staande systemen verschoven naar 2 december 2027. Kies één AI-agentbeveiligingsframework als uw controlebasis, map de verplichtingen van de Act daarop en verbind beide met tools die prompts, identiteiten, cloudassets, onderzoeken en respons beheren.

Beveilig AI Agents met SentinelOne

Agents handelen op machinesnelheid. De controles eromheen moeten gelijke tred houden, vanuit een plek die de agent niet kan bereiken. SentinelOne Prompt Security beheert agents, MCP-servers en prompts, terwijl Singularity™ Identity diefstal van inloggegevens en privilege escalation tijdens runtime stopt. Singularity Endpoint beschermt de hosts waarop agents draaien, en Purple AI met Singularity Hyperautomation versnelt onderzoek en respons.

Prompt Security vindt elke AI-agent en MCP-server in uw omgeving via een MCP Gateway, browserextensie, securityplugins en API-integraties, en brengt vervolgens elke connector, tool en plugin in kaart die elke agent aanraakt. Het kent elke agent en MCP-server een risicoscore toe, beschermt tegen jailbreakpogingen, handhaaft beleid voor wat agents kunnen openen en doen, en houdt een doorzoekbaar logboek met tijdstempels bij van elke sessie, actie en tool. Singularity Identity blokkeert laterale beweging, automatiseert herstelmaatregelen die gecompromitteerde identiteiten uitschakelen en scant continu op zwakke, blootgestelde of gecompromitteerde inloggegevens in Active Directory en cloudidentiteitsproviders waaronder Entra ID, Okta, Ping, Duo en SecureAuth.

Singularity Endpoint past Behavioral AI toe op de werkstations en cloudworkloads waarop coding- en desktopagents draaien. Het stopt fileless malware, supply chain-aanvallen en zero-day exploits in realtime, online of offline. Het kan autonoom een gecompromitteerde host isoleren, zonder te wachten op een handmatige isolatiestap, en 1-Click rollback draait ongeautoriseerde wijzigingen terug. AI Security Posture Management in Singularity Cloud Security ontdekt AI-pipelines en modellen in cloudaccounts.

Purple AI™ Agentic Investigation voert alertanalyse uit, toont het bewijs en vertelt uw security operations center (SOC) wat het vervolgens moet doen. Uit IDC’s Business Value-onderzoek bleek dat klanten bedreigingen 63% sneller identificeerden en deze 55% sneller verholpen. Singularity Hyperautomation, ingebouwd in het Singularity Platform, voert no-code responsworkflows uit, inclusief de bovenstaande containmentstappen.

Vraag een SentinelOne-demo aan om te zien hoe uw team elke AI-agent een grens kan geven die deze niet kan overschrijden.

Ontketen AI-aangedreven cyberbeveiliging

Verhoog uw beveiliging met realtime detectie, reactiesnelheid en volledig overzicht van uw gehele digitale omgeving.

Vraag een demo aan

Conclusie

Elke AI-agentbeveiligingscontrole volgt één regel: deze moet ergens bestaan waar de agent niet bij kan of die niet kan herschrijven, zelfs niet met zijn eigen inloggegevens. Gedragscontroles verminderen hoe vaak een agent iets schadelijks probeert. Infrastructuurcontroles stellen de harde limiet aan wat een gekaapte agent kan doen. Begin met inventarisatie, want u kunt een agent waarvan u niet weet dat die bestaat niet afbakenen, begrenzen of indammen.

Stem vanaf daar de controles van elke agent af op de bevoegdheid die deze heeft, leg de scope ervan vast voordat u deze ooit moet indammen en oefen de respons voordat een incident daartoe dwingt. De frameworks benoemen de risico’s al, en de controles om ze in te dammen bestaan al. Bouw de grenzen nu, en een gecompromitteerde agent loopt tegen limieten aan die uw team vooraf heeft ingesteld.