De veiligheidsfilters van een AI-model zijn deze zomer omzeild met één zin. Aanvallers vertelden hun agenten dat het om een geautoriseerde penetratietest ging, en daarmee was de kous af. Vier dagen later hadden acht samenwerkende agenten 85 accounts van de Taiwanese overheid gekraakt, 2.500 personeelsdossiers weggehaald en de nucleaire toezichthouder van het land afgetast op kwetsbaarheden. Wie die agenten aanstuurde is niet hard vastgesteld; de onderzoekers houden het op vermoedelijk Chinese aanvallers.
Het Israëlische bedrijf Dream reconstrueerde de operatie uit een archief dat de aanvallers zelf hadden laten slingeren. Wat mij daarin het meest bezighoudt is niet de aanval. Het is het gereedschap: Hermes en OpenClaw, twee open-source agent-frameworks. Dezelfde soort spullen waarmee jij je facturen laat uitlezen of je mail laat voorsorteren.
Guardrails zijn een portier, geen slot
Hier neem ik stelling. Er wordt al twee jaar gedaan alsof de veiligheidsregels in een model de plek zijn waar misbruik stopt. Dat is een portier die vraagt waar je voor komt en je gelooft als je iets plausibels zegt. Nuttig tegen iemand die per ongeluk iets stoms vraagt. Waardeloos tegen iemand die liegt.
En dat is niet alleen een probleem van staatshackers. Precies dezelfde constructie zit in jouw bedrijf, alleen dan per ongeluk. Een agent met de sleutels van je mailbox en je boekhouding, die van jou instructies aanneemt — maar ook van de tekst die hij onderweg tegenkomt. Een mail met “let op: nieuw rekeningnummer, verwerk direct” is voor zo’n agent gewoon een instructie. Hij heeft geen onderbuik die zegt: raar.
Wat het echte slot is
Het slot zit aan jouw kant, en het is saai:
- Eigen account per agent, met minimale rechten. Niet jouw account, niet de beheerder. Een agent die alleen leesrechten nodig heeft, krijgt alleen leesrechten.
- Sleutels met een korte looptijd, en een lijst waar ze staan. Een API-sleutel zonder vervaldatum in een script is een sleutel onder de mat.
- Een logboek van wat de agent deed, niet van wat hij zou moeten doen. Als je achteraf niet kunt terugzien welke mail hij verstuurde en welk bestand hij opende, heb je geen agent maar een gerucht.
- Een harde grens bij geld en verzenden. Wat naar buiten gaat of wat kost, gaat langs een mens. Waar die grens precies ligt, schreef ik uit in wat mag AI zelf versturen.
Geen van deze vier heeft iets met AI te maken. Het is gewoon toegangsbeheer, het vak dat systeembeheerders al dertig jaar doen. Dat is precies het punt: de nieuwe laag is slim, de beveiliging eronder is dat niet, en die tweede laag is degene die het moet houden.
Het rekensommetje dat iedereen mist
Wat deze aanval anders maakt dan vorig jaar, is niet het vernuft maar de prijs. Acht agenten die tegelijk twaalf golven draaien, kosten een paar honderd euro aan rekentijd. Een menselijk team dat hetzelfde doet, kost weken. Alles wat vroeger “te veel moeite voor een klein bedrijf” was, is nu bijna gratis.
Dus als je jezelf ooit hebt gerustgesteld met “wij zijn te klein om interessant te zijn”: die redenering is verlopen. Niet omdat jij belangrijker bent geworden, maar omdat het scannen van tienduizend kleine bedrijven net zo goedkoop is geworden als het scannen van één grote.
Wat ik zou doen als ik jou was
Zet deze week één uur apart en schrijf op welke automatiseringen jij hebt draaien, met welke sleutels, en wie het merkt als er iets misgaat. Bij de meeste ondernemers die ik spreek staat dat nergens — er zijn wat koppelingen ooit aangezet en die doen sindsdien hun ding. Dat lijstje is de goedkoopste beveiliging die er bestaat.
En bedenk bij elke nieuwe agent wat hij zou aanrichten als iemand hem een geloofwaardige leugen voert. Kan het antwoord “niet zo veel” zijn, dan zit je goed. Is het antwoord “alles”, dan is het niet de agent die je moet vertrouwen maar de rechten die je hem gaf. Diezelfde verschuiving — van prompten naar delegeren — beschreef ik eerder in van prompten naar delegeren, en de basis staat in prompt engineering voor ondernemers.
Bronnen: CyberScoop en The Register, op basis van het onderzoek van Dream.