Tenable toetst geselecteerde AI-agents, skills en MCP-servers

Exchange Inspector beoordeelt geselecteerde open-source agents, skills en MCP-servers op CyberAgents Exchange in drie stappen, meldt Tenable in een aankondiging van 8 oktober 2026.

Een Nederlandse organisatie die een community-agent toegang geeft tot incidentmeldingen of bedrijfsdata krijgt zo extra informatie vóór inzet. De Vetted-status geldt voor één vermelding en de onderzochte commit, niet voor alle agents of latere versies.

Eerst gaat elke bijdrage door de basiscontrole

CyberAgents Exchange is een open-source catalogus voor agents, skills, MCP-servers en playbooks voor cyberbeveiliging. Elke inzending verwijst naar de openbare GitHub-repository van de maker. Tenable eist dat de repository openbaar, actief en voorzien van een open-sourcelicentie is. Tenable scant de volledige Git-geschiedenis op gelekte geheimen. Twee beoordelaars controleren onafhankelijk of de omschrijving bij de repository past, of de installatie-instructies werken en of de code geen openlijk kwaadaardig gedrag bevat.

Die basiscontrole is voor alle inzendingen bedoeld. De Inspector voegt een verdiepende beoordeling toe voor vermeldingen die Tenable zelf selecteert. Op de Exchange-homepage staan 115 vermeldingen; in de aankondiging noemt Tenable drie items die de extra toets hebben doorlopen. De diepere status geldt dus voor een kleine selectie. Tenable schrijft in de officiële reviewregels dat Exchange Inspector een aparte, geselecteerde beoordeling is die aan één commit is gekoppeld en geen certificering of garantie vormt.

De inspectie kijkt naar vijftien soorten risico

De verdiepende toets heeft drie stappen. Eerst leest Tenable One AI Exposure de instructies van de agent, de hulpmiddelen die hij mag aanroepen en de gegevens die hij kan bereiken. De automatische controle signaleert onder meer promptinjecties, verborgen instructies, jailbreaks, hardgecodeerde geheimen en blootstelling van persoonsgegevens.

Daarna beoordelen OpenAI GPT Cyber-modellen de broncode en mogelijke aanvalsroutes. De modellen kijken bijvoorbeeld hoe niet-vertrouwde inhoud bij de agent terecht kan komen, wat een overgenomen agent met zijn rechten kan doen en of een reeks onschuldige acties samen schade oplevert. Tenable gebruikt standaardmodellen voor de basisbeoordeling, Daybreak Blue kijkt naar broncode en onderdelen die ook offensief kunnen worden gebruikt. Daybreak Red test bij hoger risico of een aanval werkt en gebruikt vijandige veiligheidstests. Tenable beschrijft de drie reviewfasen en vijftien risicoklassen voor model-, applicatie- en infrastructuurlaag.

Tenable-onderzoekers maken de eindbeoordeling. Zij controleren de bevindingen van de scanner en de modellen, installeren en draaien het onderdeel in een schone omgeving en vergelijken het gedrag met de documentatie. Het rapport legt onder meer de herkomst, het dreigingsmodel, de broncodebeoordeling en het gedrag tijdens uitvoering vast. Het voorbeeldrapport bevat ook een open middelzware bevinding. Vetted betekent dus niet dat er niets is gevonden, maar dat de review bevindingen en hun afhandeling vastlegt.

De vijftien klassen bestrijken drie lagen: modelgedrag en geheugen, de software rond het model en de onderliggende infrastructuur. Voorbeelden zijn te ruime bevoegdheden, gemanipuleerde MCP-instructies, gelekte sleutels, onveilige uitvoer, server-side request forgery en padmanipulatie.

De Vetted-tag volgt één versie van de code

Een Git-repository verandert voortdurend. Daarom geldt een Inspector-review voor de vastgelegde commit, niet voor elke latere versie of de hele repository. Tenable adviseert gebruikers te controleren of de commit die zij installeren overeenkomt met de commit op de Exchange-vermelding. Wijzigingen in rechten, netwerkbestemmingen, prompts, hulpmiddelen of afhankelijkheden kunnen een nieuwe beoordeling nodig maken.

De Vetted-status is geen garantie, certificering of aanbeveling van de maker. Een organisatie moet de beoordeelde commit nog steeds toetsen aan haar eigen omgeving, data en beleid. Dezelfde code kan daar meer rechten krijgen of gevoeligere gegevens bereiken. Tenable zegt dat de skills-inspectie ook beschikbaar is voor agents die al in de eigen omgeving draaien via Tenable One AI Exposure. De aankondiging noemt geen prijs en maakt niet duidelijk of die toepassing dezelfde drie reviewstappen omvat.

Een componentreview vervangt geen controle op acties

Tenable beoordeelt een softwarevermelding voordat een organisatie die inzet. Archestra bracht op 4 oktober OpenAPPA uit als open, modelonafhankelijke beveiligingslaag die agentacties vóór uitvoering toetst. OpenAPPA beschrijft zijn guardrail als een manier om datastromen over meerdere toolaanroepen te volgen buiten de prompt van de agent. De benaderingen kijken naar verschillende momenten: het onderdeel dat je installeert en de handeling die een agent tijdens gebruik wil uitvoeren.

Dat onderscheid raakt ook aan MCP-servers. Een MCP-toolomschrijving kan verborgen instructies bevatten die een agent als opdracht leest. Een broncode- en uitvoeringscontrole op de vermelding helpt zo'n component vooraf te beoordelen, maar vertelt niet vanzelf wat de agent later met toegestane gegevens en rechten doet.

De eerste drie Vetted-vermeldingen zijn SOC-Hunter, de Remediation Priority & Impact Agent en de Splunk Tenable Cloud Security Skill. Tenable rapporteert 75 procent minder tijd voor onderzoek naar cyberdreigingen met SOC-Hunter, van vier tot zes uur naar 45 tot 90 minuten. Tenable schat daarnaast dat de Remediation Priority & Impact Agent de tijd voor de eerste beoordeling per cyclus tot twintig keer kan verkorten. Splunk zegt dat zijn skill het gemiddelde aantal prompts voor het opvragen van cloudkwetsbaarheden terugbrengt van drie naar één. De aankondiging geeft geen steekproefomvang of onafhankelijke vergelijking. Deze uitkomsten van leveranciers en hun teams voorspellen niet automatisch resultaten bij een andere beveiligingsafdeling.

Een Vetted-tag maakt zichtbaar welke versie door een vaste review is gegaan. Daarmee ontstaat een controleerbaar aanknopingspunt tussen openbare broncode en gebruik in productie. Voor Nederlandse organisaties blijven de ingestelde bevoegdheden, bereikbare gegevens en runtimecontroles bepalend zodra de agent in het eigen proces werkt.