AI-agents zijn digitale medewerkers die dezelfde strenge beveiliging verdienen als je menselijke collega’s. Het recente incident waarbij hackers maandenlang Instagram-accounts konden stelen door Meta’s AI-chatbot te misleiden, laat zien wat er misgaat als bevoegdheden niet goed zijn afgebakend. Voor ondernemers zonder tech-achtergrond is het goed nieuws: je kunt AI-agents beveiligen met dezelfde logica die je al gebruikt voor nieuwe medewerkers.

Wat er aan de hand is

Begin juni meldden hackers dat ze maandenlang Instagram-accounts konden stelen door misbruik te maken van Meta’s AI-chatbot. Ze misleidden de bot om een wachtwoordherstel uit te voeren en kregen zo volledige controle over accounts. Het incident toont aan hoe snel een AI-agent kan ontsporen wanneer bevoegdheden niet goed zijn afgebakend. Volgens de Open Web Application Security Project (OWASP), een stichting voor het verbeteren van softwarebeveiliging, krijgen AI-agents vaak te brede toegang tot systemen, terwijl ze net zo goed kunnen worden gemanipuleerd als mensen. Security-onderzoekers van cloudsecurity-platform Wiz voegen daaraan toe dat AI-agents moeten worden gezien als digitale identiteiten zonder menselijke gebruiker, maar met echte permissies.

Wat dit betekent

Voor ondernemers betekent dit dat je AI-agents niet kunt behandelen als een ‘handige tool’ die je even aanzet. Ze hebben dezelfde controles nodig als een externe opdrachtnemer of dienstverlener: beperkte toegang, audit-logging en verplichte verificatie. Het Meta-incident laat zien wat er misgaat als een AI-agent zelfstandig e-mailadressen mag wijzigen. Elke wijziging aan accounts, inloggegevens of machtigingen moet worden bevestigd via een bestaand, vertrouwd kanaal. Dat kanaal kan het bestaande e-mailadres zijn, het geregistreerde telefoonnummer, een authenticator-app of DigiD. Een AI-agent mag nooit vertrouwen op nieuwe, niet-geverifieerde gegevens of op instructies uit een chatvenster, omdat die eenvoudig te manipuleren zijn.

Hoe je dit kunt toepassen

Als je een AI-chatbot inzet voor klantenservice. Beperk de bevoegdheden van de chatbot tot het absolute minimum. Een chatbot die klantvragen beantwoordt, hoeft geen toegang te hebben tot het wijzigen van adresgegevens of het resetten van wachtwoorden. Je zou kunnen instellen dat de chatbot alleen vragen mag beantwoorden en bij een wijzigingsverzoek doorverbindt naar een menselijke medewerker. Overweeg om elke kritieke actie, zoals het wijzigen van een e-mailadres, te laten bevestigen via het bestaande, geregistreerde e-mailadres van de klant.

Als je een AI-agent gebruikt voor het verwerken van bestellingen. Een agent die bestellingen verwerkt, heeft alleen toegang nodig tot de ordergegevens en de voorraad, niet tot klantgegevens of betalingssystemen. Een mogelijkheid is om de agent te programmeren zodat hij alleen leesrechten heeft op de orderdatabase en schrijfrechten alleen voor het aanmaken van nieuwe orders. Elke wijziging aan een bestaande order, zoals het aanpassen van de hoeveelheid of het adres, moet worden bevestigd via een vertrouwd kanaal, bijvoorbeeld een e-mail naar de klant.

Als je een AI-agent inzet voor het beheren van social media-accounts. Het Meta-incident laat zien hoe gevaarlijk dit kan zijn. Je zou kunnen overwegen om de agent alleen leesrechten te geven voor het monitoren van reacties en berichten. Voor het plaatsen van berichten of het wijzigen van accountinstellingen is een aparte, handmatige stap nodig. Overweeg om een aparte, beperkte gebruiker aan te maken voor de agent, met alleen de rechten die strikt noodzakelijk zijn voor één specifieke taak.

Als je een AI-agent gebruikt voor het genereren van documenten of rapporten. Een agent die rapporten genereert, heeft toegang nodig tot de data, maar niet tot de systemen waar die data vandaan komt. Een optie is om de agent te laten werken met een geëxporteerde dataset in plaats van live toegang tot de database. Op die manier voorkom je dat de agent per ongeluk of door misleiding wijzigingen aanbrengt in de brondata.

Als je een AI-agent inzet voor het beantwoorden van interne vragen. Een agent die vragen beantwoordt over bedrijfsprocessen, hoeft geen toegang te hebben tot personeelsgegevens of salarisinformatie. Je zou kunnen instellen dat de agent alleen antwoord geeft op basis van een vooraf goedgekeurde kennisbank, zonder toegang tot live systemen. Bescherm de agent tegen prompt-injectie door geen documenten of websites te laten verwerken die niet zijn goedgekeurd.

Bron: Computable