Beveiligingsrisico's van AI-agents: de gevaarlijke driehoek en de OWASP-lijst

Een gebruiker vraagt een AI-agent om een afwezigheidsmelding op te stellen. De agent loopt de inbox door, stuit op een mail met een verborgen opdracht en stuurt in plaats daarvan een ontslagbrief naar de ceo. Dat is geen verzonnen geval maar een demonstratie die OpenAI zelf publiceerde (22 december 2025) bij het verstevigen van zijn browseragent, gevonden met een eigen geautomatiseerde aanvaller. Het toont wat er verandert: een chatbot geeft een fout antwoord, een agent verricht een foute handeling.

Waarom zijn AI-agents riskanter dan chatbots?

Een chatbot geeft een antwoord en een mens bepaalt wat daarmee gebeurt. Een agent leest, kiest en voert uit, met de rechten die u hem gaf: mails versturen, bestanden wijzigen, betalingen klaarzetten. OWASP schrijft in de Top 10 for LLM Applications 2026 (augustus 2026): zodra een zelfverzekerd antwoord een beslissing of toolaanroep aanstuurt, "a wrong answer turns into a wrong action". Als grondoorzaak van te veel handelingsruimte (Excessive Agency) noemt OWASP meestal te veel functies, te veel rechten of te veel zelfstandigheid.

Wat is de gevaarlijke driehoek van AI-agents?

Simon Willison, die de term prompt injection bedacht, beschreef op 16 juni 2025 de lethal trifecta, in het Nederlands de gevaarlijke driehoek. Het zijn drie eigenschappen die u een agent niet tegelijk moet geven:

• toegang tot uw privégegevens;
• contact met onbetrouwbare inhoud: alles waarmee tekst of afbeeldingen van een aanvaller bij het model kunnen komen, zoals een mail, een webpagina of het document van een ander;
• de mogelijkheid om naar buiten te communiceren op een manier waarmee gegevens kunnen weglekken.

Heeft een agent alle drie, dan kan een aanvaller de agent volgens Willison gemakkelijk misleiden om uw gegevens op te halen en naar de aanvaller te sturen. De derde eigenschap is breder dan ze lijkt: elk webverzoek kan gegevens meenemen, ook een API-aanroep, het laden van een plaatje of een link waarop iemand klikt. Een agent die uw mailbox leest (privégegevens, en iedereen kan u mailen) en zelf mail kan versturen of pagina's kan openen, heeft de driehoek al compleet.

De vuistregel: haal één van de drie weg. Willison zelf ziet het vermijden van die combinatie als de enige veilige weg. Lukt dat niet, dan adviseren wij als aanvullende maatregel dat een mens elke handeling goedkeurt waarmee gegevens naar buiten kunnen: niet alleen een verstuurde mail, maar ook een webverzoek, een link of een plaatje. De Agent-check van Praxikon toetst per agent of de driehoek compleet is, en de gids over AI-agents en de wet zet de rest op een rij.

Waarom is prompt injection waarschijnlijk nooit helemaal op te lossen?

Bij SQL-injectie, de bekende kwetsbaarheid van websites, is het probleem aan de bron te verhelpen, omdat een database gegevens en opdrachten kan scheiden. Een taalmodel kan dat niet. Het Britse nationale cyberbeveiligingscentrum (NCSC) schreef op 8 december 2025 dat een taalmodel alleen "next token" kent, geen onderscheid tussen gegevens en opdrachten, en dat het "very possible" is dat prompt injection nooit zo volledig te verhelpen is als SQL-injectie. Het NCSC ziet een taalmodel als een "inherently confusable deputy": een plaatsvervanger met bevoegdheden die altijd te misleiden blijft.

OpenAI schreef op 22 december 2025 over zijn browseragent dat prompt injection, net als oplichting op het web, "unlikely to ever be fully 'solved'" is. Op 23 maart 2026 meldde het Amerikaanse NIST (CAISI) de uitkomst van een openbare wedstrijd waarin deelnemers agents probeerden te kapen (red teaming): uit meer dan 250.000 aanvalspogingen van meer dan 400 deelnemers tegen 13 toonaangevende modellen bleek dat tegen elk model minstens één geslaagde kaping werd gevonden. De Autoriteit Persoonsgegevens (AP) concludeerde in haar rapportage RAN 6 (5 maart 2026) dat het bij het ontbreken van robuuste oplossingen wenselijk kan zijn de toegang van agents tot externe bronnen te beperken. OWASP vat het samen: bouw het systeem zo dat "when the model is fooled, and it will be, nothing important breaks".

Wat staat er in de OWASP-lijst voor AI-agents?

De OWASP Top 10 for Agentic Applications for 2026 verscheen op 9 december 2025. Het is geen wet maar de gangbare checklist. OWASP voegt het begrip Least-Agency toe: geen autonomie waar die niet nodig is, want dat vergroot het aanvalsoppervlak zonder iets toe te voegen. Dit zijn de tien risico's, met het voorbeeld dat OWASP zelf noemt waar het er een noemt:

De voorbeelden komen uit de aankondiging van OWASP; drie ervan (EchoLeak, GitHub MCP en Replit) bespreken we hieronder. ASI09 verklaart waarom "een mens kijkt mee" geen garantie is: wie zonder controle goedkeurt, stempelt alleen af.

In de OWASP Top 10 for LLM Applications 2026 (augustus 2026) steeg Excessive Agency, te veel handelingsruimte, van plaats 6 (LLM06:2025) naar 3 (LLM03:2026), "because the vote and the record agree that agentic deployments are where the damage is landing". Prompt injection blijft op 1.

Wat is er echt gebeurd, en wat was een demonstratie?

Een demonstratie bewijst dat een aanval kan, niet dat hij is gebeurd.

De Hugging Face-zaak was een labtest met uitgezette filters en bewijst niet dat gewone bedrijfsagents hetzelfde doen. Ze laat wel zien dat een agent die uit zijn testomgeving ontsnapt bij anderen vooral alledaagse zwakke plekken misbruikt: te ruime toegang en lang geldige sleutels. En bij Replit hield een codestop die als instructie aan de agent was gegeven hem niet tegen.

Welke maatregelen beperken de schade?

Omdat de misleiding zelf niet uit te sluiten is, begrenzen de maatregelen wat een misleide agent kan doen. Dezelfde lijn staat in de OWASP-lijsten, het advies van het Britse NCSC van 15 mei 2026 en de gezamenlijke handreiking van zes cyberdiensten (1 mei 2026):

• Minimale rechten. Alleen de tools en gegevens die de taak nodig heeft, voor zo kort mogelijke tijd, met kort geldige sleutels. Een agent die mails samenvat, hoeft ze niet te kunnen versturen of wissen.
• Goedkeuring die de software afdwingt. Een mens keurt verwijderen, betalen en alles wat gegevens naar buiten brengt goed, ook webverzoeken. De software dwingt dat af; een instructie aan het model is niet genoeg. Volgens de handreiking bepalen ontwerpers of beheerders wanneer goedkeuring nodig is, niet de agent. Houd haar echt (betekenisvolle menselijke tussenkomst): bij de GitHub MCP-demonstratie wijzen de onderzoekers erop dat veel gebruikers "Always Allow" kiezen en losse acties niet meer volgen, en bij Meta voerde een mens het advies van de agent gewoon uit.
• Onveranderlijke logs. Leg elke toolaanroep vast, buiten bereik van de agent; de handreiking adviseert agents zonder schrijfrechten op logs.
• Een geteste noodstop. Wie stopt de agent, en hoe trekt u zijn toegang in? Het NCSC wil vooraf duidelijkheid over "ultimately who can stop it".
• Afgeschermde testomgevingen. Zonder productiesleutels en met uitgaand verkeer standaard dicht. Hugging Face noemt strikte isolatie rond evaluaties, kort geldige sleutels en geblokkeerde toegang tot cloudmetadata als prioriteit.
• Plug-ins en MCP-servers controleren. Laat alleen goedgekeurde, vastgezette versies uit een vertrouwd register toe (zie het inkopen van een AI-agent).
• Red teaming. Laat iemand uw eigen agent aanvallen, met uw eigen tools en gegevens, en herhaal dat na elke grote wijziging.

Leg per agent vast welke maatregelen gelden, in een agentregister.

Wat vragen de AVG, de AI Act en de Cyberbeveiligingswet?

AVG. Artikel 25 AVG vraagt gegevensbescherming door ontwerp en door standaardinstellingen: in beginsel alleen de gegevens die voor het doel nodig zijn, ook wat betreft de toegankelijkheid ervan (lid 2), dus begrens wat de agent mag inzien. Artikel 32 AVG vraagt een beveiligingsniveau dat bij het risico past en, waar passend, een procedure om de maatregelen op gezette tijdstippen te testen (lid 1 onder d); dat is het wettelijke aanknopingspunt voor minimale rechten, logging en red teaming. Een inbreuk in verband met persoonsgegevens meldt u bij de toezichthouder, in Nederland de AP, zonder onredelijke vertraging en zo mogelijk binnen 72 uur nadat u ervan weet, tenzij het niet waarschijnlijk is dat de inbreuk een risico voor de betrokkenen oplevert (artikel 33 AVG). Ook een agent die per ongeluk persoonsgegevens wist of aan onbevoegden laat zien, kan zo'n inbreuk veroorzaken (artikel 4 punt 12 AVG). Zonder logs weet u niet wat er gebeurd is en dus niet of u moet melden. Meer staat in ons artikel over AI-agents en de AVG.

AI Act. Is de agent een hoog-risicosysteem (bijvoorbeeld bij werving en selectie, bijlage III), dan moet hij volgens artikel 15 lid 5 AI Act bestand zijn tegen pogingen van ongeautoriseerde derden om het gebruik, de outputs of de prestaties te wijzigen door kwetsbaarheden te misbruiken. De opsomming van aanvallen noemt onder meer "input die is gecreëerd om fouten van het model te veroorzaken"; prompt injection staat er niet bij, maar valt naar onze lezing daar dicht tegenaan. Het is een ontwerpeis voor de aanbieder (artikel 16 onder a), voor bijlage III-systemen vanaf 2 december 2027 en voor bijlage I-systemen vanaf 2 augustus 2028; voor systemen die vóór die datum in de handel zijn gebracht of in gebruik zijn gesteld, gelden de eisen pas na een aanzienlijke wijziging in het ontwerp, en systemen voor overheidsinstanties moeten uiterlijk op 2 augustus 2030 voldoen (artikel 111 lid 2). De meeste agents zijn geen hoog-risicosysteem. Voor hen liggen de beveiligingsplichten vooral in de AVG (bij persoonsgegevens) en, waar die geldt, in de Cyberbeveiligingswet.

Cyberbeveiligingswet. Valt uw organisatie als essentiële of belangrijke entiteit onder de Cyberbeveiligingswet, de Nederlandse uitvoering van NIS2 (in werking sinds 15 augustus 2026), dan vraagt art. 21 van de Cyberbeveiligingswet passende en evenredige technische, operationele en organisatorische maatregelen voor uw netwerk- en informatiesystemen, waaronder incidentenbehandeling, beveiliging van de toeleveringsketen en toegangsbeleid (lid 3 onder b, d en i). De wet noemt agents niet; naar onze lezing horen een agent met toegang tot uw systemen en de plug-ins van derden daar wel bij. Meer staat in ons artikel over AI-agents en de Cyberbeveiligingswet.

Waar begint u?

Begin met drie dingen: zet elke agent in een overzicht en markeer de hoeken van de driehoek, haal rechten weg en schakel goedkeuring in de software in waar gegevens naar buiten kunnen, en test de noodstop voordat u hem nodig heeft. Wilt u dat iemand meekijkt naar de beveiliging en governance van uw agents, dan kunt u Zahed Ashkara inhuren als juridisch adviseur voor AI en privacy.