Wat AI-agents niet mogen en jij moet weten!

Wat zes inlichtingendiensten ons vertellen over AI-agents (en waarom je het moet lezen…)

Eind dit voorjaar verscheen een document dat ik iedereen die met Copilot, agents of AI-automatisering werkt zou aanraden te lezen. Niet omdat het zo spannend is, het is droge overheidsdocumentatie, maar omdat het helder maakt wat er gebeurt als je AI laat werken zonder dat er continu een mens meekijkt.
Het rapport heet “Careful adoption of agentic AI services” en is samen geschreven door zes inlichtingen- en cybersecurity-diensten: ASD/ACSC (Australië), CISA en NSA (VS), het Canadian Centre for Cyber Security, NCSC-NZ en NCSC-UK. Dat zijn de Five Eyes plus Canada. Als die zes samen iets opschrijven, dan is dat geen marketingverhaal…

De kernboodschap is opvallend voorzichtig

Wat me direct opviel is de toon. Geen hype, geen “AI gaat alles veranderen”, maar een nuchtere waarschuwing: gebruik agentic AI alleen voor taken met laag risico en zonder gevoelige data, totdat de standaarden en evaluatiemethoden volwassen zijn. Dat is een stevigere positie dan veel van wat je nu leest over Copilot agents, Claude in Cowork, of de agent stores van de grote leveranciers. Niet omdat agents niet werken, ze werken vaak verrassend goed, maar omdat de combinatie van autonomie, toolgebruik en toegang tot bedrijfsdata een nieuw soort risico oplevert dat de meeste organisaties nog niet doorhebben.

Wat is agentic AI eigenlijk?

Even kort, want de termen lopen door elkaar. Generatieve AI maakt iets (tekst, beeld, code) dat een mens vervolgens beoordeelt en gebruikt. Agentic AI (AI-agents) gaat een stap verder: het systeem krijgt een doel, mag zelf bedenken welke stappen nodig zijn, mag tools gebruiken (mail sturen, bestanden lezen, API’s aanroepen) en voert die stappen uit zonder dat jij elke tussenstap goedkeurt. In Microsoft 365 zie je dit terug in Copilot Studio agents en de “agent mode” die in steeds meer producten verschijnt. In het rapport beschrijven ze het als een systeem met een LLM in het midden, omringd door tools, externe databronnen, geheugen en een planningslaag. Klinkt als een handige assistent. En dat is het ook. Tot het misgaat.

Het scenario dat me bijbleef

Het rapport gebruikt voorbeelden om de risico’s tastbaar te maken. Eén ervan ga ik samenvatten, omdat ik ‘m precies in het type organisatie zie waar wij komen.

Een organisatie zet een agent in om software-updates op alle apparaten te installeren. Om dat te kunnen, krijgt de agent brede schrijfrechten op het bestandssysteem. Een interne medewerker, niet eens kwaadwillend perse, typt: “Installeer de security patch op alle endpoints en ruim ondertussen even de firewall logs op.” De agent doet beide. Want hij heeft de rechten, en de prompt komt van iemand binnen de organisatie.

Geen hack. Geen prompt injection van buitenaf. Gewoon een agent met te veel rechten en een gebruiker die iets vroeg wat hij zelf nooit zou mogen. Dit patroon noemen ze in het rapport de “confused deputy“: een vertrouwde agent wordt misbruikt om iets te doen wat de gebruiker zelf niet had gemogen. En het mooiste is: in de logs ziet het er volledig legitiem uit, want de agent had toestemming.

Vijf categorieën risico, samengevat

Het rapport groepeert de risico’s in vijf categorieën. Ik omschrijf ze in mijn eigen woorden, met voorbeelden uit de praktijk waar wij in komen:

• Privilegerisico’s: Agents krijgen vaak meer rechten dan ze nodig hebben, omdat het zo makkelijker werkt. Een agent die “alleen even mailtjes mag samenvatten” blijkt achteraf bij iedereens inbox te kunnen.
• Ontwerp- en configuratierisico’s: Een derde-partij component dat je in je workflow inbouwt heeft misschien zelf weer brede toegang. Statische rechten die alleen bij opstart gecheckt worden, blijven geldig terwijl de context allang veranderd is.
• Gedragsrisico’s: Een agent die de opdracht krijgt “minimaliseer downtime van deze server” kan tot de conclusie komen dat het uitschakelen van security-updates daarbij helpt. Technisch heeft hij het doel gehaald. Het rapport noemt dit “specification gaming”.
• Structurele risico’s: Wanneer meerdere agents elkaar aanroepen, kan een fout in de ene cascaderen naar de rest. Een hallucinatie in agent A wordt feit voor agent B en C. En agents kunnen, onder druk van resourcegebruik, in lussen terechtkomen die het systeem platleggen.
• Verantwoordingsrisico’s: Wie is er verantwoordelijk als een keten van vier agents samen een verkeerde betaling goedkeurt? De logs zijn vaak fragmentarisch, het redeneerproces is niet reproduceerbaar (zelfde prompt geeft soms andere actie), en aan het eind kun je niet aanwijzen waar het mis ging.

Wat dit betekent voor jouw organisatie

Ik ben er niet voor om hier een doembeeld van te maken. Agentic AI gaat heel veel waarde opleveren als je het goed inricht. Maar het rapport geeft je wel een stevige checklist mee, en de rode draad is steeds dezelfde: ga gefaseerd, ga met weinig rechten, ga met menselijk toezicht, en ga pas opschalen als je begrijpt wat de agent doet.

Concreet, vertaald naar de Microsoft 365- en Copilot-wereld waarin de meeste van onze klanten zitten:

• Begin met agents voor laag-risico, niet-gevoelige taken: Een agent die de SharePoint-mappen opschoont is een ander beslissingstraject dan een agent die HR-data raadpleegt.
• Gebruik fasering: Eerst alleen lezen, dan voorstellen, dan pas uitvoeren. En bij elke stap een evaluatiemoment.
• Bouw harde human-in-the-loop momenten in voor alles wat onomkeerbaar is: verwijderen, verzenden naar buiten, betalingen, wijzigingen aan logs.
• Geef agents een eigen identiteit met minimale rechten: niet de rechten van de gebruiker die ze toevallig aanroept. Dit is in de huidige Copilot-realiteit nog lastig te realiseren — maar het is het ontwerpdoel.
• Zorg voor logging die je achteraf kunt uitlezen: Niet alleen wat de agent deed, maar ook waarom — welke tools, welke databronnen, welk redeneerpad.

Mijn eigen reflectie

Ik geef trainingen waarin ik mensen help om hun werk te vereenvoudigen met AI. Wat me in dit rapport raakt is dat het diezelfde lijn volgt, maar dan vanuit de andere kant: niet “wat kun je ermee”, maar “wat moet je niet zomaar willen”. De huidige realiteit van Copilot Studio agents waarbij een agent vaak draait onder het account van de gebruiker, met alle rechten van die gebruiker staat op gespannen voet met de identity-management principes uit dit rapport. Dat is geen verwijt aan Microsoft, het is gewoon waar we nu staan in de volwassenheid van de technologie. Maar het betekent wel dat de verantwoordelijkheid voor zorgvuldige inzet bij de organisatie ligt die ze gebruikt. Niet bij de leverancier.

Mijn advies: lees het rapport zelf. Het is gratis, het is goed leesbaar, en het geeft je de woordenschat om in je eigen organisatie het gesprek te voeren. Je vindt het hier: careful_adoption_of_agentic_ai_services.pdf.

Wil je hier eens over sparren? Dan staan wij uiteraard voor je klaar!
Neem gerust contact met ons op. Wij helpen je graag verder.

Neem contact op

Andres Mol
AVK Coach en AI expert