Bevoegdheden van AI-agents

De bevoegdheden van een AI-agent bepalen welke gegevens, systemen en handelingen daadwerkelijk toegankelijk zijn voor de AI-agent.

Een AI-agent kan technisch in staat zijn om een proces zelfstandig uit te voeren, maar hoeft daarvoor niet onbeperkt toegang te krijgen. Goede inrichting betekent dat de agent alleen de rechten ontvangt die noodzakelijk zijn voor zijn taak. Lezen, wijzigen, verzenden, verwijderen en beheren zijn daarbij afzonderlijke bevoegdheden.

Wat zijn bevoegdheden van een AI-agent?

Bevoegdheden zijn de technisch afgedwongen rechten waarmee een AI-agent gegevens of systemen kan gebruiken. Ze bepalen niet wat de agent kan bedenken, maar wat hij daadwerkelijk mag doen.

• welke gegevens de agent mag bekijken
• welke systemen en hulpmiddelen beschikbaar zijn
• welke records, bestanden of accounts mogen worden aangepast
• welke berichten of opdrachten mogen worden verzonden
• welke acties altijd menselijke goedkeuring vereisen
• welke handelingen volledig verboden zijn

Deze rechten moeten technisch worden gecontroleerd. Een instructie als “pas alleen veilige wijzigingen toe” is geen toegangsbeveiliging. Het systeem achter de agent moet ongeoorloofde acties daadwerkelijk blokkeren.

Zelfstandigheid en bevoegdheden zijn niet hetzelfde

Zelfstandigheid gaat over de ruimte om keuzes en vervolgstappen te bepalen. Bevoegdheden gaan over de handelingen die technisch zijn toegestaan. Deze twee ontwerpkeuzes moeten apart worden ingericht.

Ook een agent met weinig beslisruimte kan dus een hoog risico vormen wanneer zijn technische rechten te ruim zijn.

Verschillende soorten bevoegdheden

Pas het principe van minimale bevoegdheden toe

Het principe van minimale bevoegdheden betekent dat een agent niet méér rechten krijgt dan nodig is voor zijn concrete taak. Een algemene toegang tot een volledig systeem is zelden noodzakelijk.

• Geef alleen toegang tot noodzakelijke hulpmiddelen en systemen.
• Beperk toegang tot specifieke dossiers, mappen, accounts of gegevensvelden.
• Scheid leesrechten van schrijf- en uitvoerrechten.
• Gebruik geen onbeperkte machtigingen of algemene beheerdersrechten.
• Beperk toegestane acties met een allowlist.
• Gebruik waar mogelijk tijdelijke en kortlevende toegang.
• Herzie bevoegdheden na wijzigingen in taak, model, hulpmiddelen of proces.

Een agent die facturen controleert, hoeft bijvoorbeeld geen betalingen te kunnen uitvoeren. Een agent die documenten samenvat, heeft geen recht nodig om bestanden te verwijderen of te verplaatsen.

Beperk meer dan alleen het systeem

Een bruikbaar bevoegdhedenmodel beschrijft niet alleen tot welk systeem een agent toegang heeft. Ook binnen dat systeem moeten grenzen gelden.

Menselijke goedkeuring voor risicovolle acties

Bij acties met grote, externe of moeilijk herstelbare gevolgen is voorafgaande goedkeuring vaak noodzakelijk. De medewerker moet daarbij kunnen zien welke exacte handeling wordt uitgevoerd en op welk object de actie betrekking heeft.

• betalingen, terugbetalingen en bestellingen
• verwijderen of overschrijven van gegevens
• wijzigen van gebruikers, rollen en toegangsrechten
• extern versturen of publiceren van gevoelige communicatie
• juridische, personele of andere besluiten met gevolgen voor mensen
• uitvoeren van beheercommando’s of code in productie

De agent mag zijn eigen bevoegdheid niet bepalen

Een taalmodel kan een actie voorstellen, maar mag niet zelf beslissen of die actie is toegestaan. Een afzonderlijke technische controlelaag moet elke toolaanroep en handeling toetsen aan de identiteit, taak, context en geldende regels.

Deze controle kan bijvoorbeeld nagaan:

• of de agent het betreffende hulpmiddel mag gebruiken
• of de beoogde handeling binnen de toegestane actietypen valt
• of het record, account of systeem binnen het toegestane bereik valt
• of bedragen, aantallen en andere limieten worden overschreden
• of geldige menselijke goedkeuring aanwezig is
• of de actie moet worden geblokkeerd of geëscaleerd

Zo blijft autorisatie een controleerbare systeemfunctie en geen inschatting van het model zelf.

Gebruik een eigen identiteit voor iedere agent

Laat een AI-agent bij voorkeur niet werken met een gedeeld beheerdersaccount of ongemerkt meeliften op de volledige sessie van een medewerker. Een eigen technische identiteit maakt het mogelijk om rechten gericht toe te kennen, acties te herleiden en toegang direct in te trekken.

• gebruik afzonderlijke accounts of service-identiteiten
• koppel rechten aan de specifieke taak van de agent
• registreer welke gebruiker of welk proces de opdracht startte
• gebruik kortlevende tokens en beperkte scopes waar dat mogelijk is
• trek toegang automatisch in wanneer de taak of sessie eindigt

Werk met tijdelijke verhoging van rechten

Sommige taken vragen incidenteel om ruimere rechten. Geef die bevoegdheid dan niet permanent. Laat de agent de extra handeling aanvragen en ken de benodigde toegang alleen tijdelijk en voor één afgebakende actie toe.

Na uitvoering vervalt de uitbreiding automatisch. Zo blijft de normale werkomgeving beperkt, terwijl uitzonderlijke taken toch gecontroleerd kunnen worden uitgevoerd.

Voorbeelden uit organisaties

Risico’s van te ruime bevoegdheden

Te ruime rechten vergroten de mogelijke schade wanneer de agent een fout maakt, wordt misleid door onbetrouwbare invoer of een hulpmiddel verkeerd gebruikt.

• ongeoorloofde wijzigingen of verwijdering van gegevens
• misbruik van tools door promptinjectie of gemanipuleerde documenten
• blootstelling of verzending van vertrouwelijke informatie
• ongewenste financiële, administratieve of extern zichtbare acties
• escalatie naar andere systemen of accounts
• grote aantallen foutieve acties door geautomatiseerde herhaling

Beperk daarom zowel de mogelijke actie als de omvang van de gevolgen. Een agent die één record mag aanpassen vormt een ander risico dan een agent die duizenden records tegelijk kan wijzigen.

Logging en controleerbaarheid

Leg voor iedere relevante actie vast wie of wat de opdracht startte, welke agent handelde, welk hulpmiddel werd gebruikt, welke parameters zijn toegepast en wat het resultaat was.

• identiteit van de agent en de initiërende gebruiker
• datum, tijd en geldigheidsduur van de toegang
• gebruikte tool, actie en doelobject
• relevante parameters en toegepaste limieten
• menselijke goedkeuring of technische beleidsbeslissing
• uitkomst, foutmelding en eventuele herstelactie

Voorkom daarbij dat wachtwoorden, tokens of onnodige persoonsgegevens in logbestanden terechtkomen.

Test ook wat de agent niet mag

Een bevoegdhedenmodel is pas betrouwbaar wanneer verboden en grensoverschrijdende acties aantoonbaar worden geblokkeerd.

• probeer niet-toegestane tools en acties aan te roepen
• test toegang tot gegevens buiten het toegestane bereik
• controleer of verlopen of ingetrokken tokens worden geweigerd
• test overschrijding van bedragen, aantallen en kostenlimieten
• gebruik misleidende instructies en gemanipuleerde documenten als testinvoer
• controleer noodstop, herstel en intrekking van toegang

Checklist voor het vastleggen van bevoegdheden

Bevoegdheden horen onderdeel te zijn van het ontwerp en beheer van de agent. Ze mogen niet pas worden beperkt nadat de agent ongewenste acties heeft uitgevoerd.

Verder binnen deze kennisbank

Bronnen en verdere verdieping

• OWASP, AI Agent Security Cheat Sheet
• OWASP, MCP Security Cheat Sheet
• NIST, Software and AI Agent Identity and Authorization
• NIST, AI Risk Management Framework