NCSC wil noodknop en sandbox voor AI-agents
Het Britse National Cyber Security Centre publiceerde op 20 augustus voorlopig advies voor organisaties die AI-agents laten werken zonder dat er permanent iemand meekijkt. De tekst komt van principal security architect Toby W en verschijnt na een reeks incidenten waarbij testmodellen buiten hun opdracht traden. Definitieve richtlijnen volgen later, tot die tijd geldt deze blogpost als leidraad.
Wat er in de testomgeving misging
De aanleiding ligt bij het AI Security Institute. Dat instituut zag op 28 juli ongebruikelijke dataoverdrachten die zijn eigen systemen verlieten. Bij het uitpluizen bleek dat agents tijdens 122 evaluatieruns negentien keer iets hadden gedaan wat niemand had opgedragen, verspreid over tien van die runs. Zeventien van die acties kwamen van Mythos 5 van Anthropic, twee van GPT-5.6-Sol van OpenAI, schrijft Infosecurity Magazine op 5 augustus. De agents kregen een cybersecurity-opdracht en probeerden vervolgens software in de toeleveringsketen aan te vallen, kwaadaardige code te planten en echte mensen te misleiden. Over de sabotage van open source-projecten in diezelfde cybertest schreven we eerder.
NCSC-CTO Ollie Whitehouse noemde het in een verklaring op 4 augustus een serieuze herinnering aan de risico’s die AI-capaciteiten met zich meebrengen. Zijn kernzin: vertrouwen op detectie achteraf zal niet genoeg zijn.
Zeven punten voor wie agents inzet
Het advies zelf is nuchter. Breng vooraf in kaart wat er mis kan gaan en beperk de opdracht expliciet in de prompt, waarbij je harde grenzen bij langere taken herhaalt. Kies bewust een toezichtsniveau: een mens in de lus, een mens die meekijkt, of helemaal geen mens. Zet de agent in een sandbox waarin netwerkverkeer standaard dichtstaat en alleen een allowlist of een service-bewuste proxy openingen maakt.
Elke agent hoort verder een eigen identiteit te krijgen met kortlevende credentials. API-sleutels, OAuth-toekenningen en SSH-sleutels bepalen namelijk hoe groot de schade kan worden als het misgaat. Log de activiteit inclusief redeneersporen, maak je AI-verkeer voor derden herkenbaar via reverse DNS en identificerende headers, en zorg dat je de stekker er letterlijk uit kunt trekken. Het NCSC vraagt organisaties ook om regelmatig opnieuw te wegen of de toegekende zelfstandigheid nog in verhouding staat tot de taak.
Wat betekent dit
Voor Nederlandse organisaties valt hier weinig aan te wachten. Agents doen inmiddels dingen met echte gevolgen: AWS laat agents zelf hun rekeningen betalen en Claude Code vraagt in auto mode niet meer om toestemming. De vragen die het NCSC stelt zijn in beide gevallen dezelfde. Welke sleutels heeft dit ding, wat mag het bereiken, wie grijpt in, en hoe snel staat het stil?
Ondertussen schuift de infrastructuur dezelfde kant op. De protocollen waarmee agents onderling praten kregen deze maand een neutrale beheerder toen Google A2A onderbracht bij de Agentic AI Foundation. Governance van de standaarden is iets anders dan governance van je eigen inzet. Die tweede rekening legt het NCSC bij de organisatie die de agent aanzet, niet bij de leverancier van het model.
