Nederlandse organisaties worstelen met controle over AI-agents

Uit de uitkomsten van het rapport, getiteld Deployed but ungoverned: the state of agentic security, blijkt dat de overgrote meerderheid van de Nederlandse respondenten (91 procent) het afgelopen jaar te maken heeft gehad met een beveiligingsincident waarbij een AI-agent betrokken was. Bij slechts 34 procent van de getroffen organisaties werd het incident binnen 24 uur opgelost.

Grote schaal verhoogt het aanvalsoppervlak

De inzet van AI-agents neemt op grote schaal toe binnen het bedrijfsleven. Binnen 56 procent van de ondervraagde Nederlandse organisaties zijn momenteel tussen de 100 en 999 AI-agents actief, terwijl 30 procent aangeeft er zelfs meer dan 1.000 te gebruiken.

Hoewel 66 procent van de Nederlandse securityteams verklaart een accuraat overzicht te hebben van de AI-agents in productie, heeft 23 procent van de organisaties ongeregistreerde AI-agents ontdekt op de eigen netwerken. Deze vorm van 'shadow AI' vormt een specifiek risico, aangezien deze systemen buiten het zicht van de IT-afdeling operationeel zijn.

Geen ingebouwde beveiliging en trage reactietijd

Het onderzoek legt een duidelijke kloof bloot tussen de perceptie van beveiliging en de feitelijke paraatheid. Wereldwijd beschikt slechts 13 procent van de organisaties over een beveiligingsprogramma dat aan alle criteria voor aanvalsoppervlak, verantwoordingsplicht, security-by-design, zichtbaarheid en auditgereedheid voldoet.

In Nederland heeft 38 procent van de organisaties een governance-framework dat de belangrijkste aspecten van agent-inzet dekt. Bij 37 procent is beveiliging standaard onderdeel van het ontwerpproces van een AI-agent, wat betekent dat bij een meerderheid van de projecten de toegangsrechten en kaders pas achteraf of ad-hoc worden toegevoegd.

Daarnaast vormt de reactiesnelheid een knelpunt. Hoewel 85 procent van de Nederlandse organisaties zegt inzicht te hebben in de toegangsrechten van agenten, beschikt slechts 13 procent over realtime inzicht in meer dan 90 procent van hun actieve agents. Bovendien heeft twee derde (67 procent) geen geautomatiseerd systeem om in te grijpen wanneer een AI-agent afwijkend gedrag vertoont, waardoor menselijke tussenkomst noodzakelijk blijft.

Oproep tot ingebouwde governance

Volgens Ben de Bont, Chief Information Security Officer (CISO) bij ServiceNow, laten recente incidenten zien wat er kan gebeuren als AI wordt ingezet zonder adequate voorzorgsmaatregelen. Nadir Izrael, Vice President Cybersecurity and Risk bij ServiceNow, benadrukt dat governance vanaf de ontwerpfase ingebouwd moet zijn. Volgens de onderzoekers moet beveiliging op 'machinesnelheid' worden ingericht om veilig schalen mogelijk te maken zonder inzicht of controle te verliezen.

Het onderzoek werd uitgevoerd in samenwerking met onderzoeksbureau Phronesis Partners onder senior beslissers van organisaties met een jaaromzet van minimaal 250 miljoen dollar.