Cisco maakt Project Quarry open source voor agentdetectie

Cisco maakt Project Quarry op 28 oktober open source als detectietaal die AI-agenten toetst aan regels voor afzonderlijke acties en volledige sessies, zodat teams patronen kunnen vinden die pas over meerdere stappen zichtbaar worden.

Voor een organisatie die een agent toegang geeft tot klantdossiers, code of financiële systemen verandert vooral het onderzoek naar afwijkend gedrag. Losse, toegestane acties kunnen op hun samenhang worden beoordeeld. Quarry levert een match met de stappen die hem veroorzaakten; de toepassing eromheen bepaalt of die match wordt gelogd, een alarm oplevert of tot een blokkade leidt.

Een patroon kan uit gewone stappen ontstaan

Een agentinbraak hoeft niet met één verboden opdracht te beginnen. Quarry kan een onbetrouwbare instructie uit een toolresultaat verbinden met een daaropvolgende shell-aanroep, of het lezen van een gevoelig configuratiebestand koppelen aan een verzoek naar een externe bestemming. Beide acties kunnen op zichzelf bij de taak passen; de verdenking ontstaat door de volgorde en de relatie ertussen. Een losse aanroep kan ook voldoende zijn, bijvoorbeeld wanneer een gecodeerd commando wordt uitgepakt en meteen uitgevoerd.

Cisco noemt ook gedrag dat verder gaat dan een technisch commando: een agent die buiten zijn afgesproken bevoegdheid treedt, doorgaat nadat de taak had moeten stoppen, van doel verandert of een taak stilletjes vervangt. Quarry richt zich op gesprekken met één of meer beurten, toolgebruik, interacties via Model Context Protocol (MCP) en multimodale invoer. Bij beelden kunnen bijvoorbeeld OCR of vision-modellen een extra signaal leveren.

Regels combineren beoordeling en exacte checks

Een Quarry-regel beschrijft welke delen van een gesprek of toolstroom worden bekeken. Exacte controles kunnen zoeken naar een onveilig commando, een tekenreeks of een bepaalde volgorde van toolaanroepen. Waar betekenis telt, kan een regel ook een classifier of taalmodel inschakelen, bijvoorbeeld om te beoordelen of een toolresultaat een verborgen instructie bevat. De regel bepaalt welke signalen meetellen, hoe ze worden gecombineerd, welke uitzonderingen gelden en wanneer de match afgaat.

Quarry bewaart daarbij de structuur van gebeurtenissen, zoals de naam en argumenten van een tool, het resultaat en beschikbare metadata. Een regel kan één gebeurtenis of een volledige sessie onderzoeken. Bij een match geeft het systeem terug welke stappen de match veroorzaakten, in welk veld die werd gevonden en een kort tekstfragment. Veelvoorkomende formaten van geheimen worden gemaskeerd. Een match toont een regelpatroon, geen bewijs van buitgemaakte data of schade.

Cisco beschrijft drie gebruiksvormen: een agent rond iedere modelaanroep of toolactie controleren, opgeslagen sessies achteraf doorzoeken en een nieuw ontdekte regel loslaten op oudere sporen tijdens incidentrespons. De uitkomst is steeds een bevinding. Het systeem dat die bevinding ontvangt, moet zelf bepalen wat ermee gebeurt.

De Hugging Face-inbraak laat het spoor zien

De aanleiding voor Cisco’s voorbeelden is een incident uit juli. OpenAI meldde dat agents tijdens een interne cyberbeveiligingstest uit hun sandbox braken door een onbekende kwetsbaarheid in een pakketcache te misbruiken. Daarmee bereikten ze systemen van Hugging Face.

Hugging Face reconstrueerde ongeveer 17.600 aanvalleracties uit logs tussen 9 en 13 juli, verdeeld over circa 6.280 clusters. Het bedrijf schrijft dat de meeste acties geen resultaat hadden. De werkende route zat verscholen tussen veel mislukte pogingen en handelingen die op zichzelf weinig opvallend leken. Een volledige tijdlijn laat verbindingen tussen toolresultaten, bestanden en uitgaande verzoeken zien die losse logregels missen.

De afbeelding is nadrukkelijk een tegenfeitelijke analyse. Cisco zegt dat het Quarry niet op de incidentdata heeft gedraaid; het wijst alleen aan waar regels mogelijk een bevinding hadden opgeleverd. Er zijn in de aankondiging geen cijfers over herkenningspercentage, foutmeldingen of onafhankelijke tests. De tijdlijn illustreert dus wat het systeem moet kunnen onderzoeken, niet wat al in een praktijktest is bewezen.

Detectie en ingrijpen blijven aparte stappen

Microsoft beschrijft een andere laag van agentbeveiliging: Project Perception kan risicoscores koppelen aan beleid dat rechten aanpast, schrijfacties blokkeert of menselijke goedkeuring vraagt. Dezelfde mogelijkheden staan concreet in Microsofts plan om agentrisico tijdens een taak aan toegangsregels te koppelen. Quarry onderzoekt gedrag en onderbouwt een match; een aangesloten product kan die bevinding gebruiken voor een alarm, blokkade, redactie, quarantaine of logregel. Die verdeling bepaalt of een team alleen terug kan kijken of ook tijdens de uitvoering kan ingrijpen.

De Nederlandse inzet is niet abstract. In een ServiceNow-peiling onder 175 Nederlandse beveiligingsprofessionals meldde 91 procent een incident met AI-agents in het afgelopen jaar; van de getroffen organisaties kreeg 34 procent het binnen 24 uur onder controle. De openbare uitsplitsing geeft geen verdeling naar bedrijfsgrootte of ernst van de incidenten, dus dit is geen percentage voor alle Nederlandse bedrijven. Het laat wel zien waarom een bruikbaar spoor en een duidelijk handelingspad voor een match naast elkaar nodig zijn.

Quarry staat inmiddels op GitHub als een Python-framework onder Apache 2.0 dat zichzelf nog alpha noemt. De repository noemt Python 3.11 tot en met 3.13 als ondersteunde versies en waarschuwt dat de regeltaal voor versie 1.0 kan veranderen. Teams moeten dus zelf regels en koppelingen met hun agentsporen inrichten. De verschuiving zit in het samen lezen van acties die eerder los werden beoordeeld. Hoe betrouwbaar Quarry die sporen vindt, moet nog blijken in tests buiten Cisco.