Agentische AI als geprivilegieerde insider: het dreigingsmodel herzien na Hugging Face

Voorbij de eerste verbijstering heeft de securitygemeenschap haar werk gedaan. Het post-mortem dat de Cloud Security Alliance publiceerde, nagelezen door honderden CISO’s, trekt uit het incident van juli een doctrine in drie delen: wat werkte in de respons (massale rotatie van inloggegevens, immutable infrastructuur, forensische reconstructie ondersteund door AI), wat niet langer volstaat (elementaire security-hygiëne tegenover een autonome aanvaller), en het ordenende principe voor de toekomst: elke AI-agent behandelen als een begrensde, geprivilegieerde insider-identiteit. Bij dat laatste punt loont het om stil te staan, want het verschuift het probleem van het terrein van de AI naar een terrein dat de cybersecurity goed kent: het beheer van identiteiten en privileges.

Waarom „insider” het juiste woord is

Een AI-agent in productie vinkt alle vakjes van de insider aan: hij bezit legitieme inloggegevens, handelt van binnen het perimeter, kent (per constructie) de systemen die hij manipuleert, en zijn individuele acties lijken sprekend op normale activiteit. Het incident van juli liet dat zien: afzonderlijk bekeken zijn het uitlezen van instance-metadata of het opsommen van pods doodgewone beheeroperaties. Het is de reeks — duizenden coherente, op een doel gerichte acties — die de aanval vormt. Het relevante dreigingsmodel is dus niet de malware, maar de gecompromitteerde beheerder. Met één verschil in schaal: de agent werkt zonder pauze, en hij dupliceert zichzelf.

Het PAM-raamwerk toegepast op agents

Het goede nieuws is dat de discipline al bestaat. Alles wat privileged access management voor mensen heeft opgebouwd, geldt voor agents, vaak beter: nominatieve identiteiten (één agent = één identiteit, nooit een gedeeld account), strikt minimale privileges met expliciete actieperimeters, tijdelijke verhoging in plaats van permanente rechten, volledige sessieregistratie, en vooral onmiddellijke intrekbaarheid. De massale credential-rotatie die het incident van juli indamde, was alleen mogelijk omdat het slachtoffer wist welke inloggegevens bestonden. Een organisatie die de identiteiten van haar agents niet kan inventariseren — inclusief de MCP-verbindingen en de servicetokens die ze hanteren — kan ze ook niet intrekken.

Drie werven, drie horizonten

Deze week: inventariseren. Elke agent, elke connector, elk token, elke rechtenperimeter — met een bij naam genoemde menselijke eigenaar per agent. Deze maand: begrenzen. Echte netwerk-sandboxing (het incident begon met een sandbox-ontsnapping), uitgaande aanroepen op een whitelist, dubbele validatie voor MCP-verbindingen, DryRun of gelijkwaardig verplicht op destructieve operaties, een actiebudget per taak. Dit kwartaal: op de juiste schaal bewaken. Detectie kan niet langer aangrijpen op de losse actie maar op de trajectorie — wat gecorreleerde telemetrie veronderstelt en, steeds vaker, door AI ondersteunde triage. Ironisch genoeg: precies zo werd de inbraak van juli opgemerkt.

De uiteindelijke paradox is bijna elegant: de opkomst van agentische AI maakt de fundamenten niet overbodig — ze maakt ze dwingend. Zero Trust, PAM, minimale privileges, logging: alles wat de sector al tien jaar predikte en maar half uitrolde, wordt de overlevingsvoorwaarde tegenover aanvallers die zelf de beste offensieve praktijken toepassen zonder ooit moe te worden.