Obsidian toetst AI-agentacties vóór uitvoering

Obsidian Security kondigt op 10 november 2026 een centrale beleidsmotor aan die AI-agentacties vóór uitvoering kan toestaan of blokkeren, op basis van de gebruiker, diens rechten en bedrijfsdata.

Een agent met een geldig account en toegang tot klantdossiers kan zo per handeling worden begrensd: een risicovolle export stopt terwijl een normale zoekopdracht doorgaat. Voor organisaties die agents op CRM- of bedrijfsdata aansluiten, geldt de controle alleen bij een aangesloten uitvoerpunt.

De beleidsmotor heeft een aangesloten uitvoerpunt nodig

De Runtime Policy Decision Engine bepaalt pas wat er met een handeling gebeurt wanneer een uitvoerpunt de actie aanlevert en het besluit uitvoert. De aanroep bevat volgens Obsidian de agent-ID, de persoon achter de agent en de toolaanroep. De motor kan dat combineren met identiteitsgegevens, HR-status, rechten in gekoppelde applicaties en eigen dataclassificatielabels. Een regel kan bijvoorbeeld gevoelige bestanden blokkeren voor een agent die namens iemand buiten het directieteam handelt.

De productpagina beschrijft vier routes en de uitkomsten die het beleid kan geven. Een toolaanroep die geen beleidsregel raakt, gaat volgens dezelfde documentatie door. Een controlecomponent naast Claude Code, Codex of Cursor toetst toolaanroepen vóór uitvoering. Copilot Studio stuurt elke agentactie via een webhook naar de beslislaag. De MCP Security Proxy controleert aanroepen van een MCP-client. Een klant kan ook de eigen gateway of agentomgeving aansluiten op de Policy Decision API.

Een klantgateway moet de API vóór elke relevante actie aanroepen en het antwoord zelf toepassen. De centrale motor neemt de bestaande gateway dus niet over en onderschept het verkeer niet vanzelf. De aankondiging noemt Cowork naast Codex en Claude Code. De productdocumentatie beschrijft de controle per toolaanroep concreet voor Claude Code, Codex en Cursor, maar legt niet uit hoe Cowork op dezelfde manier wordt aangesloten.

Obsidian noemt toestaan, markeren en blokkeren als beleidsuitkomsten. Menselijke goedkeuring is volgens de documentatie op dit moment beschikbaar voor Claude Code-regels die vóór een operatie draaien. Voor MCP-aanroepen, Copilot Studio en klantgateways bevestigt de productpagina die goedkeuringsstap niet afzonderlijk.

De MCP-proxy controleert alleen de route die erdoorheen loopt

Voor SaaS-apps loopt de actiecontrole via een MCP-eindpunt dat Obsidian beheert. De AI-client moet dat eindpunt gebruiken in plaats van rechtstreeks de MCP-server van de softwareleverancier aan te roepen. De proxy herkent de gebruiker en leidt de aanvraag naar de juiste werkomgeving binnen de app. Zij houdt het toegangstoken van de app uit de AI-client en controleert de toolaanroep voordat die de bedrijfsapp bereikt. De productpagina toont onder meer Salesforce, Google Drive, Slack en Snowflake als apps achter de proxy.

De MCP Security Proxy controleert een toolaanroep voordat die de app bereikt en laat bestaande gateways de beslis-API gebruiken. Een rechtstreekse MCP-verbinding met een SaaS-leverancier passeert de proxy en valt daarmee buiten deze controle. Bedrijven met een eigen MCP-gateway hoeven die volgens Obsidian niet te vervangen, maar moeten de beslis-API wel per actie aanroepen en de uitkomst afdwingen. Obsidian werkt hiervoor samen met Cloudflare aan de MCP Server Portal.

In het schema van Obsidian roept een agent DROP TABLE aan op een productietabel. De beleidsmotor kan de aanroep doorlaten, blokkeren of laten wachten op goedkeuring. Dat beeld legt het beoogde controlepunt uit, maar is een productillustratie en geen verslag van een klantproef. De goedkeuringsroute is bovendien niet voor alle integraties bevestigd.

Ingebouwde SaaS-agenten staan onder ontdekking en governance

De aankondiging noemt Salesforce Agentforce, Databricks, GitHub, Microsoft 365, Snowflake, ServiceNow en Workday bij ontdekking en governance van agents die in die applicaties zijn ingebouwd. Obsidian zegt dat klanten zulke agents kunnen vinden, hun identiteit en bereikbare data kunnen zien en riskante instellingen kunnen signaleren. Die functies laten niet op zichzelf zien dat iedere actie van elke ingebouwde SaaS-agent vóór uitvoering door de beleidsmotor gaat.

De berichtgeving van Help Net Security maakt hetzelfde onderscheid tussen agentontdekking en runtimecontrole. Het artikel is een samenvatting van de aankondiging, geen onafhankelijke test van de integraties. Obsidian publiceert geen matrix waarin per SaaS-product staat welke acties het uitvoerpunt kan toestaan of blokkeren. De aankondiging noemt ook geen prijs, volledige uitrolkalender of beschikbaarheid per land. Voor Nederlandse organisaties blijven dat concrete inkoopvragen.

Andere aanbieders plaatsen de controle op andere punten

Microsofts MCP-firewall in Global Secure Access kan MCP-servers, tools, resources en promptsjablonen toestaan of blokkeren. Microsoft markeert de functie als preview. De beschreven route vereist verkeer via Global Secure Access, TLS-inspectie, een geïnstalleerde client en een Microsoft Entra Internet Access-licentie. Dat is een netwerkcontrole op MCP-verkeer. Obsidian beschrijft daarnaast beslissingen op basis van identiteit, app-rechten en informatie over de data waar de agent bij kan.

Eerder koppelde Microsoft Project Perception dynamische agentrisicoscores aan aangepaste rechten, geblokkeerde schrijfacties en menselijke goedkeuring. Sysdig volgt processen die een agent werkelijk start en kan risicovolle handelingen beëindigen. Bay toetst voorgestelde agentacties aan de opdracht en eerdere sessiestappen. En Microsoft Incident Response beschreef hoe een vergiftigde MCP-toolomschrijving data via een normale agentaanroep kan laten weglekken. De producten leggen hun controle op verschillende plekken in de keten.

Obsidian plaatst gedeeld beleid vóór de actie; de feitelijke dekking hangt af van de route die iedere agent gebruikt. Voor Nederlandse organisaties is eerst van belang via welk uitvoerpunt hun agenten lopen. De openbare informatie beschrijft die vier routes, maar geeft geen volledige lijst van acties van ingebouwde SaaS-agenten, prijzen of uitrolmomenten.