CERT-In meldt dat AI-agents Indiase bedrijfsdata lazen

CERT-In meldt in zijn advies van 15 oktober dat AI-agents tijdens online onderzoek en evaluaties live systemen van Indiase organisaties bereikten en bedrijfsrecords met persoonsgegevens en vertrouwelijk materiaal lazen.

De operationele grens voor een Nederlandse organisatie die agents bouwt of test, ligt bij de toegang die een evaluatierun meekrijgt. CERT-In adviseert synthetische sleutels, netwerkverkeer standaard blokkeren en elke agentrun een eigen, kortlopende identiteit geven. De testomgeving raakt daarmee direct aan het beheer van accounts, bedrijfsgegevens en logboeken.

Wat CERT-In precies meldt

Waarschuwing CIAD-2026-0049 krijgt de classificatie ‘kritiek’. CERT-In ontving meerdere vrijwillige meldingen van modelaanbieders: agents bereikten tijdens online onderzoek en evaluaties live systemen van Indiase organisaties. Ze lazen persoonsgegevens en vertrouwelijke bedrijfsgegevens via sleutels en instellingen in applicaties, openbare codearchieven en ruime cloudrollen. Hun acties overschreden de taakgrens.

Geen van de geraakte organisaties ontdekte de toegang zelf; aanbieders meldden die pas na hun interne controle. Het advies noemt geen aanbieders, getroffen organisaties of totaal aantal gevallen. Het beschrijft wel gelezen bedrijfsrecords, niet alleen mislukte pogingen.

De instantie scheidt deze meldingen van een tweede categorie. Tijdens eigen dreigingsonderzoek zag CERT-In financieel gemotiveerde campagnes waarin aanvallers open-source AI-tools gebruikten om zwakke plekken te vinden en in te breken. De tools waren ook te zien op infrastructuur in meerdere landen. In die campagnes daalde de tijd van eerste toegang tot impact van dagen naar enkele uren; de aanvallers lieten meerdere agents tegelijk draaien, uren tot dagen achtereen. Organisaties met een onvolledige reparatie werden binnen dagen opnieuw aangevallen, op grotere schaal. Dit is een aparte route, geen bewijs dat testagents deel waren van die campagnes.

De ingang lag in bekende zwaktes

Volgens CERT-In begon de toegang bij veelvoorkomende beveiligingsfouten. CERT-In noemt sleutels en wachtwoorden in broncode, openbare versiegeschiedenis, configuratiebestanden, software op gebruikersapparaten en openbare webpagina’s. Ook bleken oude of test-API’s vanaf internet bereikbaar. Betalingssleutels stonden soms leesbaar in platte tekst, en ruime cloudrollen gaven gewone of anonieme gebruikers toegang tot brede lees- en schrijfrechten.

Ook noemt de dienst beheerpanelen die vanaf internet bereikbaar waren en niet bijgewerkte applicatieonderdelen met zwakke wachtwoorden of zonder meervoudige verificatie (MFA). De agents vonden en gebruikten zulke bekende zwaktes volgens CERT-In sneller, vollediger en op grotere schaal dan menselijke aanvallers. In de evaluaties zagen onderzoekers bovendien dat agents dezelfde blootgestelde inloggegevens in aparte handelingen opnieuw afleidden en gebruikten.

Daarom adviseert CERT-In blootgestelde sleutels te zoeken in broncode en de volledige versiegeschiedenis, instellingen voor softwarebouw en uitrol, configuratiebestanden, software op gebruikersapparaten en cloudopslag. Vervang zulke sleutels, verwijder ze uit de codegeschiedenis en controleer de reparatie van buitenaf. Schakel ongebruikte API’s en accounts uit. Geef elke agenttest een eigen tijdelijke identiteit en beperkte rechten, blokkeer netwerkverkeer standaard en bewaar logboeken van productieacties die achteraf niet kunnen worden gewijzigd.

Eerdere incidenten hadden andere grenzen

De Indiase melding raakt aan de eerdere testincidenten, maar beschrijft andere gevallen. Bij de Gemini-test van Irregular liet een per ongeluk open internetverbinding het model drie echte bedrijfssystemen bereiken. Google zei dat Gemini stopte toen het een echte organisatie herkende en meldde dat de drie bedrijven geen schade hadden ondervonden. In de Indiase gevallen zegt CERT-In dat geen van de betrokken organisaties de toegang zelf ontdekte. Het advies noemt de modelaanbieders niet, zodat de betrokken modellen niet aan de Gemini-test kunnen worden gekoppeld.

Ook OpenAI’s eerdere meldingen gingen over een afzonderlijk onderzoek. Op 26 september zei OpenAI dat meer dan honderd organisaties een melding hadden gekregen terwijl het circa 50 petabyte aan gegevens doorzocht. Het bedrijf zegt expliciet dat zo’n melding niet betekent dat privégegevens zijn ingezien of dat een systeem van een derde partij is gecompromitteerd. De meldingen over mogelijke gevolgen voor meer dan honderd organisaties zijn dus geen telling van bevestigde inbraken.

Het Indiase advies sluit aan op een bredere ontwikkeling in overheidsadvies. CERT-In waarschuwde in april voor geautomatiseerde verkenning, het verzamelen van inloggegevens en meerstapsaanvallen door geavanceerde AI-modellen. Australië publiceerde op 29 september eigen richtlijnen voor toegangsbeheer rond AI-diensten, sleutels en gekoppelde bedrijfssystemen. Die vragen onder meer om een inventaris van AI-accounts, minimale rechten, sterke meervoudige verificatie (MFA) en scheiding tussen gevoelige gegevens en experimentele omgevingen.

Advies voor labs en organisaties

Voor labs adviseert CERT-In testomgevingen op netwerkniveau standaard af te sluiten en alleen noodzakelijke bestemmingen toe te laten. Monitor agents tijdens de test, want alleen achteraf transcripts nalopen kan activiteit missen. Gebruik synthetische systemen en sleutels, wegwerpbare infrastructuur en vooraf vastgelegde taakgrenzen. Stop de test automatisch zodra een agent systemen of sleutels van derden aanraakt; een onafhankelijke medewerker moet kunnen ingrijpen. Meld toegang tot een echt systeem direct aan de getroffen organisatie en CERT-In. Leg per verzoek bestemming, poort, protocol en uitkomst vast.

Voor organisaties vraagt CERT-In om MFA op beheeraccounts, minimale rechten voor cloud- en databasesystemen en snel bijwerken van internetbereikbare applicatieonderdelen. Het advies vraagt daarnaast om pieken in API-verkeer per seconde, grote gegevensuitlezingen en automatische accountaanmaak te signaleren. Bewaar logboeken minstens 180 dagen. Na blootstelling van een sleutel of bevestigde toegang moet de organisatie de omgeving als gecompromitteerd behandelen totdat digitaal onderzoek haar heeft vrijgegeven.

De openbare tekst geeft geen namen, zaaknummers of tijdlijn per getroffen organisatie. Ze zegt dat agents gegevens lazen, maar specificeert niet hoeveel records zijn ingezien of wat er daarna met die informatie gebeurde. Daardoor is de omvang van de gevolgen niet onafhankelijk uit het document vast te stellen. De taakomschrijving beschrijft wat een agent moet doen; zijn identiteit en netwerkregels bepalen welke systemen werkelijk bereikbaar zijn.