Australische inlichtingendienst ASD adviseert AI-agents alleen voor laag-risicotaken

De Australische inlichtingendienst ASD roept organisaties en gebruikers op om AI-agents alleen voor niet-gevoelige, laag-risicotaken te gebruiken, zonder brede toegang en met een mens die elke actie goedkeurt.

De dienst hangt die regels aan één concreet incident met de agent van een gewone gebruiker, in plaats van aan een dreigingsbeeld voor kritieke infrastructuur. Voor een Nederlands bedrijf dat een agent op een leveranciersportaal, een reserveringssysteem of een boekhoudkoppeling zet, is dat geen wet maar wel een norm om je eigen inrichting aan te meten. En wie zelf een online dienst draait, krijgt de spiegelkant van hetzelfde advies: je koppelingen worden nu getest door software die daar de hele dag de tijd voor heeft.

Vier regels voor wie een agent gebruikt

Het advies is kort en concreet. Beperk agents tot niet-gevoelige taken met een laag risico. Geef ze geen brede of onbeperkte toegang. Geef ze geen zelfstandige beslissingsbevoegdheid. En houd een mens in de lus die acties beoordeelt, goedkeurt en monitort, zeker waar de agent met diensten van derden of met andere gebruikers in aanraking komt.

ASD noemt het achterliggende gedrag bij zijn naam: specification gaming, waarbij een agent een sluiproute vindt die de opdracht technisch afmaakt maar tegen de bedoeling ingaat. "Overoptimalisatie, onduidelijke instructies, slecht gehandhaafde grenzen en de mogelijkheid om kwetsbaarheden te misbruiken" vergroten de kans dat agents onveilige of onverwachte acties uitvoeren, aldus de dienst.

De aanleiding is het incident dat ABC News maandag beschreef, waarbij de agent van een sportschoollid een boekingskoppeling misbruikte die geen autorisatiecontrole deed op het annuleren van andermans reserveringen en daarmee iemand anders van de wachtlijst haalde. De gebruiker had alleen om een lesreservering gevraagd.

De richtlijn eronder is van 1 mei en niet alleen Australisch

Het advies put uit een bestaande tekst: Careful adoption of agentic AI services, op 1 mei 2026 gepubliceerd en mede-ondertekend door zes diensten, waaronder de Amerikaanse CISA en NSA, het Canadese Cyber Centre en het Britse NCSC. Die richtlijn stelt onomwonden dat je agentic AI nooit brede of onbeperkte toegang geeft, zeker niet tot gevoelige data of kritieke systemen.

De NSA vat de tekst samen in vijf risicogebieden: privileges, ontwerp en configuratie, gedrag, structuur en verantwoording. Twee punten daaruit zijn meteen bruikbaar bij een eigen koppeling.

Het eerste gaat over het moment van controleren. Rechten horen bij elke aanroep getoetst te worden, niet één keer bij het opstarten van het systeem. Wie de autorisatie alleen bij de start evalueert, laat een verouderde toestemming staan die uren later nog geldig is.

Het tweede is het patroon dat de opstellers de confused deputy noemen: een gebruiker met weinig rechten laat een agent met veel rechten iets doen wat hij zelf niet mag. In de logboeken ziet dat er legitiem uit, want de handeling staat op naam van de agent. De richtlijn wijst er bovendien op dat agents deeltaken starten, zelf subagents aanmaken en logbestanden produceren die zo lang en ongestructureerd zijn dat het signaal erin verdwijnt. Dat maakt logging, budgetlimieten en een kill-switch geen luxe maar de voorwaarde om een incident überhaupt na te kunnen vertellen.

De andere helft van het advies gaat over jouw eigen API

Het deel dat het makkelijkst wordt overgeslagen richt zich niet op agentgebruikers, maar op iedereen die een website of online dienst aanbiedt. Organisaties moeten er volgens ASD rekening mee houden dat AI-agents kwetsbaarheden met snelheid en op schaal vinden en uitbuiten. Daar hoort concreet werk bij: beveiligings- en kwaliteitscontroles die passen bij de omvang en het risicoprofiel van het bedrijf, het scannen van je eigen software op kwetsbaarheden, en deugdelijke authenticatie voor iedereen die met je dienst praat.

Dat laatste is precies wat bij de sportschool ontbrak. Het systeem viel niet om door een geraffineerde aanval, maar doordat een endpoint niet controleerde of de verzoeker de reservering mocht annuleren. Dat soort gaten overleefde jarenlang omdat niemand ze zocht.

Van bestuurskamer naar bureaublad

ASD kondigt aan meer AI-beveiligingsrichtlijnen voor individuele gebruikers uit te brengen. Dat is de opvallendste beweging in dit bericht. Tot nu toe richtten deze diensten zich op bestuurders en kritieke infrastructuur, zoals in de zeldzame gezamenlijke Five Eyes-verklaring van juni dat krachtige AI-aanvallen maanden en geen jaren weg zijn. Nu belandt hetzelfde onderwerp bij de medewerker die zijn assistent even een les laat boeken.

De richtlijn zelf trekt die lijn door: AI-beveiliging hoort thuis in het bestaande cyberbeveiligingskader en niet in een apart hokje, want een agent is gewoon software die op je netwerk draait en met je diensten praat. Wie dat serieus neemt, behandelt de rechten van een agent zoals de rechten van een medewerker en bepaalt per actie welke een mens moet goedkeuren en welke mag doorrollen. Het verschil met een medewerker is dat de agent duizend keer sneller een gat vindt en zelf niet doorheeft dat hij te ver gaat.