Het beveiligen van AI-agents begint met het besef dat ze digitale medewerkers zijn die dezelfde strenge toegangsregels verdienen als menselijke collega’s. Het recente incident waarbij hackers via Meta’s AI-chatbot Instagram-accounts wisten te stelen, laat zien wat er gebeurt als een agent te veel bevoegdheden krijgt. De oplossing ligt niet in complexe technologie, maar in eenvoudige, herkenbare principes uit de reguliere IT-beveiliging.

Wat er aan de hand is

Begin juni bleek dat hackers maandenlang Instagram-accounts konden overnemen door Meta’s AI-chatbot te misleiden. Ze manipuleerden de bot om een wachtwoordherstel uit te voeren, waarna ze volledige controle over de accounts kregen. Het incident onderstreept een structureel probleem: AI-agents krijgen vaak te brede toegang tot systemen, terwijl ze net zo vatbaar zijn voor manipulatie als mensen. De Open Web Application Security Project (OWASP), een stichting voor softwarebeveiliging, waarschuwt dat ruime permissies direct leiden tot escalaties en misbruik van API’s. Security-onderzoekers van cloudplatform Wiz voegen daaraan toe dat AI-agents moeten worden behandeld als niet-vertrouwde identiteiten: digitale entiteiten zonder menselijke gebruiker, maar met echte rechten.

Wat dit betekent

Voor MKB-ondernemers betekent dit dat de drempel om AI-agents in te zetten niet alleen technisch is, maar ook organisatorisch. Een agent die zelfstandig e-mailadressen mag wijzigen, inloggegevens kan resetten of bestellingen kan plaatsen, creëert een risico dat vergelijkbaar is met een tijdelijke kracht die onbeperkt toegang krijgt tot de kluis. De impact is direct: een gekaapt account, een frauduleuze transactie of een datalek kan een klein bedrijf hard raken. Het goede nieuws is dat de beveiligingsmaatregelen grotendeels bestaande principes zijn, alleen toegepast op een nieuw type gebruiker.

Hoe je dit kunt toepassen

Als je een AI-agent inzet voor klantenservice, beperk dan zijn bevoegdheden tot het absolute minimum. De agent mag alleen de handelingen uitvoeren die nodig zijn voor één specifieke taak, zoals het beantwoorden van veelgestelde vragen of het doorverbinden van een klant. Geef hem geen toegang tot klantgegevens, orderhistorie of accountinstellingen. Je zou kunnen overwegen om per taak een aparte, afgeschermde agent te maken in plaats van één agent met brede rechten.

Als je een AI-agent gebruikt voor het beheren van gebruikersaccounts, voer dan een verplichte verificatie in voor elke kritieke actie. Een agent mag nooit zelfstandig een e-mailadres of wachtwoord wijzigen. Elke wijziging moet worden bevestigd via een vertrouwd kanaal, zoals het bestaande e-mailadres van de gebruiker, een authenticator-app of een telefoonnummer dat al bekend is. Een optie is om een aparte verificatiestap in te bouwen waarbij de agent een bevestigingscode vraagt voordat hij een wijziging doorvoert.

Als je een AI-agent inzet voor interne processen, behandel hem dan als een externe opdrachtnemer. Geef hem alleen toegang tot de systemen en data die strikt nodig zijn voor zijn taak, en zorg dat elke actie wordt gelogd. Je zou kunnen overwegen om een aparte, geïsoleerde omgeving te creëren waarin de agent werkt, zonder directe verbinding met je primaire bedrijfssystemen. Controleer regelmatig de logs op ongebruikelijke activiteiten.

Als je een AI-agent gebruikt die documenten of websites verwerkt, bescherm hem dan tegen prompt-injectie en contextvergiftiging. Dit betekent dat je de invoer die de agent verwerkt, moet filteren op misleidende instructies. Een mogelijkheid is om een vooraf gedefinieerde set van toegestane acties en bronnen op te stellen, en de agent alleen die te laten gebruiken. Overweeg om een menselijke controle in te bouwen voor taken die afwijken van het standaardpatroon.

Als je een AI-agent inzet voor het genereren van content of het beantwoorden van vragen, zorg dan dat hij geen toegang heeft tot systemen die hij niet nodig heeft. Een agent die alleen teksten moet schrijven, heeft geen toegang nodig tot de financiële administratie of klantgegevens. Je zou kunnen overwegen om de agent in een aparte, niet-netwerkgebonden omgeving te laten draaien, zodat hij geen verbinding kan maken met andere systemen.

Bron: Computable