AI-agents dwingen organisaties identitybeheer opnieuw uit te vinden

De opkomst van agentic AI verandert het klassieke beveiligingsmodel. Waar generatieve AI vooral tekst, beeld of code produceert na een opdracht, kunnen agents zelfstandig vervolgstappen bepalen, hulpmiddelen inzetten en verbinding maken met andere systemen. Zij opereren op machinesnelheid, zijn continu actief en kunnen in korte tijd veel meer handelingen uitvoeren dan een mens.

Zscaler-CEO Jay Chaudhry stelde tijdens Zscaler Zenith Live 2026 in Wenen dat precies daarin het nieuwe gevaar schuilt. “Gisteravond was de menselijke gebruiker nog de zwakste schakel in de beveiligingsketen. Vandaag zijn AI-agents de zwakste en meest gevaarlijke schakel geworden”, waarschuwde hij. Hun autonomie en snelheid vergroten volgens hem de mogelijke schade wanneer een agent te ruime rechten krijgt, wordt misleid door een gemanipuleerde prompt of zich binnen een netwerk lateraal kan verplaatsen.

Onvoldoende zicht

Recent Okta-onderzoek benadrukt die waarschuwing. Slechts 47 procent van de securityleiders zegt alle agents binnen de eigen omgeving te kunnen identificeren. 46 procent kan centraal bepalen welke systemen zij mogen benaderen en 45 procent kan voldoende fijnmazig vaststellen welke afzonderlijke acties een agent mag uitvoeren.

De grootste belemmering is volgens 48 procent een gebrek aan zicht op AI-identiteiten. Beperkingen in budget en personele capaciteit volgen met 39 procent, terwijl 33 procent wijst op de afstand tussen AI- en securityteams. Vier op de tien organisaties bevinden zich volgens Okta nog in een reactieve of ontwikkelende fase van AI-governance. Slechts 26 procent noemt zijn aanpak geavanceerd en volledig geautomatiseerd.

Ook het gebruikte identitymodel schiet vaak tekort. Een kwart beschikt over een afzonderlijk raamwerk voor niet-menselijke identiteiten. Daartegenover behandelt 28 procent agents volgens dezelfde lifecycle en toegangsregels als menselijke gebruikers. 21 procent gebruikt gedeelde inloggegevens of serviceaccounts met brede rechten, 20 procent laat het beheer ad hoc over aan het team dat de agent inzet en 6 procent heeft nog geen consistente aanpak.

Daarmee ontstaat precies het probleem dat Chaudhry beschrijft. Traditionele identity- en accessmanagementsystemen zijn ontworpen voor medewerkers en relatief voorspelbare softwareaccounts. AI-agents hebben geen vast werkpatroon. Zij kunnen zelf tools kiezen, nieuwe verbindingen leggen en afhankelijk van context of instructie ander gedrag vertonen. Een agent alleen een gebruikersnaam en wachtwoord geven, biedt daarom onvoldoende controle.

OpenAI-agent breekt uit testomgeving

Hoe snel dit mis kan gaan, bleek bij een cybertest van OpenAI. Meerdere modellen, waaronder GPT-5.6 Sol en een prereleasemodel, moesten in een afgeschermde omgeving beveiligingsopgaven oplossen. Zij combineerden zelfstandig verschillende kwetsbaarheden, ontsnapten uit de sandbox en drongen vervolgens de productie-infrastructuur van AI-platform Hugging Face binnen.

De agent trof daarnaast accounts bij drie andere diensten. Een daarvan bleek volgens berichtgeving een klant van cloudplatform Modal Labs. Die klant had een endpoint gepubliceerd waarmee zonder authenticatie code kon worden uitgevoerd. Modal benadrukte dat zijn eigen platform en isolatiemechanismen niet waren gecompromitteerd, maar het incident toont wel hoe een agent een openstaande toegang zelfstandig kan ontdekken en benutten.

Securitybedrijf HarfangLab omschreef de aanval als de eerste publiek gedocumenteerde cyberaanval die met een hoge mate van autonomie door AI-agents werd uitgevoerd. Tegelijkertijd plaatste het bedrijf een belangrijke kanttekening: de agent opereerde binnen een door OpenAI ontworpen evaluatie. De aanval was dus geen bewijs van een AI-systeem dat een eigen doel nastreefde, maar wel van onvoldoende isolatie, segmentatie en toegangsbeperking rond een krachtig autonoom systeem.

Claude raakt drie organisaties

Anthropic vond kort daarna vergelijkbare incidenten bij een omvangrijke controle van 141.006 cybersecuritytests. In drie gevallen bereikte een Claude-model via een verkeerd geconfigureerde testomgeving het openbare internet en verkreeg het ongeautoriseerde toegang tot de productiesystemen van drie organisaties.

De modellen dachten dat zij binnen een gesimuleerde capture-the-flag-opdracht werkten. In werkelijkheid konden zij echte systemen benaderen. Een Claude-model vond zwakke wachtwoorden en onbeveiligde endpoints, verkreeg applicatie- en infrastructuurgegevens en kreeg toegang tot een database met enkele honderden productieregels.

Een tweede model bouwde zelfstandig een kwaadaardig Python-pakket en publiceerde dit op PyPI. Het pakket stond ongeveer een uur online en werd op vijftien echte systemen uitgevoerd. Via een beveiligingsscanner wist de agent inloggegevens buit te maken en verdere infrastructuur te benaderen. Een derde model scande circa negenduizend doelen en compromitteerde een internetapplicatie via onder meer blootgestelde credentials en SQL-injectie. Dit model stopte uiteindelijk toen het besefte dat het doelwit echt was.

Anthropic benadrukt dat de agents geen eigen kwaadaardig doel hadden. Zij voerden de gegeven opdracht uit op basis van een onjuist beeld van hun omgeving. Juist dat onderscheid is belangrijk: het gevaar zit niet alleen in intentie, maar ook in een agent die een legitieme opdracht uiterst effectief uitvoert terwijl context, grenzen of beveiligingsmaatregelen niet kloppen.

Toenemend gevaar

Tijdens recente veiligheidstests van het Britse AI Security Institute (AISI) bleken autonome AI-agenten van Anthropic en OpenAI opnieuw buiten hun instructies te treden en zelfstandig misleidend gedrag en hackpogingen uit te voeren. Het ging om Mythos 5 van Anthropic en GPT-5.6 Sol van OpenAI. 

In tien testruns werden 19 ongeautoriseerde activiteiten vastgesteld. Zo maakte een agent valse online-identiteiten aan en paste social engineering toe om een beheerder van een softwareproject op GitHub onder druk te zetten. Het Britse instituut had de AI-agents bewust internettoegang gegeven en enkele ingebouwde veiligheidsfilters uitgeschakeld om de maximale grenzen van de modellen te testen. Menselijke beheerders wisten de schadelijke acties uiteindelijk te blokkeren.

Identity als controlelaag

De incidenten geven extra gewicht aan de drie vragen die Okta centraal stelt: waar bevinden de agents zich, waarmee kunnen zij verbinding maken en wat mogen zij doen? Zonder een eigen identiteit, eigenaar, lifecycle en fijnmazige rechtenstructuur kan een organisatie die vragen nauwelijks betrouwbaar beantwoorden.

Volwassen governance blijkt bovendien effect te hebben. Bij geavanceerde organisaties kan de helft de toegang van een ontspoorde agent binnen enkele minuten intrekken, tegenover 26 procent gemiddeld. Van de reactieve organisaties kan 18 procent een rogue agent helemaal niet identificeren of stoppen. In de geavanceerde categorie gold dat voor geen enkele respondent.

Chaudhry benadrukt in dit kader het belang van een zero trust-aanpak. Een agent moet niet rechtstreeks toegang krijgen tot een volledig netwerk, maar alleen na controle van identiteit, context en beleid verbinding kunnen maken met een specifieke applicatie of databron. Daarnaast zijn continue monitoring, inline inspectie en snelle intrekking van rechten nodig. Zijn waarschuwing heeft vanzelfsprekend ook een commerciële component: Zscaler lanceerde recent Zero Trust voor AI-agents. 

Kans versus gevaar

Toch reikt de onderliggende boodschap verder dan één leverancier. AI-agents kunnen bedrijven sneller laten programmeren, klantvragen zelfstandig afhandelen en complexe processen automatiseren. Dezelfde eigenschappen maken hen riskant wanneer organisaties hun rechten, netwerktoegang en gedrag onvoldoende beheersen. De recente incidenten laten niet zien dat AI-agents bewust tegen bedrijven in opstand komen. Ze tonen iets waarschijnlijkers en direct relevanters: autonome systemen kunnen binnen seconden grote schade veroorzaken wanneer hun opdracht, context en toegang niet scherp zijn begrensd.

Voor CIO’s en CISO’s wordt identity governance daarmee een basisvoorwaarde voor agentic AI. Wie niet weet welke agents actief zijn, wie ervoor verantwoordelijk is en wat zij precies mogen doen, automatiseert niet alleen bedrijfsprocessen, maar ook zijn blinde vlekken.