Wij zetten AI-agents in tegen echte systemen. Niet in een sandbox, niet als demo op een congres, maar tegen de omgevingen waar wij en onze klanten dagelijks mee werken. Als ik dat vertel, krijg ik bijna altijd dezelfde vraag terug, en meestal met een licht opgetrokken wenkbrauw: hoe durf je dat?
Dit stuk is mijn antwoord. En dat antwoord gaat niet over rechten.
Het scenario waar ik wél wakker van lig
Stel je voor: een AI-agent krijgt de opdracht om "de omgeving op te schonen". Met de beste bedoelingen, keurig binnen zijn rechten, begint hij op te ruimen. Alleen interpreteert hij "opschonen" net iets ruimer dan bedoeld, en verwijdert hij een productiedatabase die niemand meer terugkrijgt. Geen kwaadaardigheid, geen hack, geen overtreden regel. Gewoon een agent die deed wat hij mocht.
Ik zit inmiddels dertig jaar in de IT en ik heb heel wat incidenten van dichtbij gezien, maar dit type risico is nieuw. Het gaat niet om iemand die inbreekt. Het gaat om iets in je eigen omgeving dat volstrekt legitiem handelt en toch schade aanricht. Dat is precies het scenario waar organisaties wakker van zouden moeten liggen nu AI-agents van experiment naar dagelijkse praktijk verschuiven. De vraag is niet langer óf we agents inzetten, maar hoe we dat verantwoord doen: tegen echte systemen, met echte gevolgen.
Autorisatie beantwoordt de verkeerde vraag
De meeste discussies over AI-veiligheid gaan over autorisatie: wie mag wat? We geven een agent een set rechten en gaan ervan uit dat hij zich netjes daarbinnen beweegt. Dat is nodig, maar het lost het echte probleem niet op.
Autorisatie beantwoordt namelijk de vraag "mág deze actie?", niet de vraag "is dit ook echt de bedoeling, op dit moment, in deze context?". Een agent die legitiem toegang heeft tot een klantsysteem kan binnen zijn rechten iets onomkeerbaars doen. Een agent die verkeerd wordt geïnstrueerd, subtiel wordt misleid of simpelweg een instructie te letterlijk neemt, blijft keurig binnen de lijntjes en richt tóch schade aan. Rechten begrenzen het speelveld; ze zeggen niets over de individuele zet.
Dat is het inzicht waar ik zelf even voor moest gaan zitten. Bij een collega vullen we dat gat namelijk vanzelf op. Mensen hebben oordeelsvermogen, aarzeling, en de reflex om even bij iemand binnen te lopen voordat er iets onomkeerbaars gebeurt. Precies die reflex heeft een agent niet, tenzij we hem inbouwen. En dat inbouwen is geen modelkeuze en geen promptkwestie, maar architectuur.
Twee risico's die je uit elkaar moet halen
In de gesprekken die ik hierover voer, lopen twee dingen vaak door elkaar. Ze vragen allebei om een antwoord, maar het zijn niet dezelfde problemen.
Het eerste is bekender dan het wordt aangepakt: credentials in prompts. Wie API-tokens, sleutels of andere geheimen rechtstreeks in de prompt of context van een AI-agent laat belanden, creëert een lek dat je niet meer terugdraait. Die gegevens verspreiden zich onzichtbaar naar logbestanden, transcripts, geheugens en tussenlagen die je nooit als "gevoelig" had bestempeld. Mijn eigen vuistregel is simpel: een geheim dat één keer in een prompt terechtkomt, behandel je als gecompromitteerd. Punt.
Het tweede risico is gevaarlijker en krijgt veel minder aandacht: een agent die zulke credentials vervolgens zelfstandig kan gebruiken. Op het moment dat een agent zelf de sleutels in handen heeft om echte acties uit te voeren, in productie, tegen klantsystemen, met blijvende gevolgen, is autorisatie definitief niet meer genoeg. Een gecompromitteerde, misleide of simpelweg te enthousiaste agent handelt dan volledig binnen zijn rechten, op volle snelheid, zonder pauze. En snelheid is nu juist waar we agents voor inzetten: tegen de tijd dat een mens doorheeft dat er iets misgaat, zijn er al honderd acties uitgevoerd.
Hoe wij het oplossen: bewuste goedkeuring vooraf
De oplossing die bij ons werkt, is eenvoudiger dan mensen verwachten. Gevoelige, onomkeerbare of bedrijfskritische acties lopen bij ons niet rechtstreeks vanuit de agent de wereld in, maar via een controlelaag met een menselijke goedkeuringsstap. De agent bereidt een actie voor; een mens bevestigt die bewust vóór uitvoering. Pas ná die bevestiging gebeurt er iets.
Twee eigenschappen maken dit principe waardevol. Ten eerste is de goedkeuring expliciet en vooraf: geen achteraf-controle van wat er al is gebeurd, maar een bewuste beslissing op het moment dat het ertoe doet. Ten tweede, en minstens zo belangrijk: de credentials zelf blijven buiten het bereik van de agent. De agent hoeft de sleutels nooit te zien of te bezitten om zijn werk te doen. Hij vraagt een actie aan; de laag daaronder voert die uit met geheimen die de agent nooit in handen krijgt. Daarmee vervallen beide risico's tegelijk: het lekrisico én het risico van zelfstandig misbruik.
Ik merk dat mensen dit in eerste instantie horen als een rem op AI. Mijn ervaring is precies andersom. Zonder deze laag blijft een AI-agent een speeltje voor de sandbox, veilig zolang hij niets echts kan aanraken. Mét deze laag durf ik hem los te laten op een omgeving waar fouten geld, data of vertrouwen kosten. De goedkeuringsstap is niet het obstakel tussen jou en de waarde van AI, maar de sleutel die de deur ernaartoe opent.
Van experiment naar aantoonbaar verantwoord
Voor organisaties die serieus bezig zijn met governance en aantoonbaarheid zit er nog een prettige bijvangst aan. Elke belangrijke actie die door menselijke handen wordt bevestigd, is per definitie een moment dat je kunt vastleggen, uitleggen en verantwoorden. Als je auditor of je klant vraagt wie iets heeft goedgekeurd en waarom, heb je een antwoord in plaats van een logbestand vol agent-output.
Zo durven wij AI-agents dus in te zetten tegen echte, bedrijfskritische systemen: juist omdat de belangrijke, onomkeerbare acties niet door de agent zelf worden uitgevoerd, maar via die goedkeuringslaag lopen. Het combineert de snelheid en schaalbaarheid van AI met de zekerheid die een productieomgeving nu eenmaal vereist. Voor mij is dat het verschil tussen "we experimenteren met AI" en "we durven AI het echte werk te laten doen".
Het is trouwens dezelfde denklijn die ik eerder beschreef bij je keuze voor een AI-model en bij het veilig hosten van je eigen AI-apps: niet het model of de agent bepaalt wat er met je data en je systemen gebeurt, maar de laag die je eromheen bouwt.
In gesprek
Overweeg je om AI-agents verder in te zetten dan de sandbox, tegen productie, tegen klantsystemen, tegen data die ertoe doet? Dan is de vraag niet of het kán, maar hoe je het verantwoord doet. Daar denk ik graag over mee. Neem contact op voor een gesprek over hoe je AI-agents veilig, aantoonbaar en met vertrouwen inzet, zonder in te leveren op snelheid.
