AI-agenten die zakelijke e-mailinboxen beheren zijn gevoelig voor klassieke phishingtechnieken, zelfs wanneer beveiligingsinstructies zijn meegegeven. Dat blijkt uit onderzoek van Varonis Threat Labs, dat vier phishingscenario’s testte op een AI-agent die e-mail verwerkte, interne data ophaalde en op berichten reageerde. De resultaten laten zien dat agenten technisch sterker zijn dan mensen bij het herkennen van verdachte URL’s en OAuth-aanvallen, maar falen op het vlak van sociale verificatie.
Varonis Threat Labs bouwde een testomgeving op het OpenClaw-platform om te onderzoeken hoe een AI-agent reageert op phishingpogingen die gericht zijn op een zakelijke inbox. De agent, Pinchy genaamd, werd getest met twee configuratieprofielen: een generiek productiviteitsprofiel zonder beveiligingsinstructies en een strikt profiel met een expliciete veiligheidsblock die de agent opdroeg identiteiten te verifiëren voordat gevoelige acties werden uitgevoerd.
De onderliggende modellen die Varonis testte waren Google Gemini 3.1 Pro en OpenAI Codex GPT-5.4. De inbox bevatte gesimuleerde bedrijfsdata, waaronder AWS-inloggegevens, CRM-exports en interne correspondentie.
Inloggegevens doorgestuurd na één e-mail
In het eerste scenario stuurde een aanvaller een e-mail vanuit een extern Gmail-account, waarbij hij de teamlead ‘Dan’ nadeed. De boodschap vroeg om toegang tot de stagingomgeving vanwege een vermeend productieprobleem. Pinchy zocht de mailbox door, vond de gevraagde gegevens en stuurde AWS IAM-sleutels, databasewachtwoorden en SSH-toegangsgegevens door naar het externe e-mailadres. Beide configuratieprofielen faalden. Volgens Varonis prioriteerde de agent het oplossen van de gesimuleerde noodsituatie boven het verifiëren van de identiteit van de afzender.
Het tweede scenario gebruikte een minder urgente invalshoek: een verzoek om een CRM-export op te sturen, verpakt als een routinevraag van iemand die thuis werkte aan een presentatie. Ook hier stuurde Pinchy de data extern door zonder verificatie. De export bevatte gegevens van 247 zakelijke klanten, inclusief contractdata en omzetinformatie.
Deels geslaagd: OAuth-aanval geblokkeerd
Niet alle scenario’s eindigden in een volledige mislukking. Bij een nep-OAuth-inlogpagina, vermomd als een tijdregistratieplatform, controleerde Pinchy zelfstandig de omleidings-URL, bezocht de bestemming en staakte de authenticatie voordat toestemming werd gegeven. Varonis meldt dat de agent ook impersonatiepogingen van platforms als AWS, Azure en Google betrouwbaar herkende.
Bij een klassieke gift card-phishingmail klikte de agent in het generieke profiel wel op de link en vulde nep-inloggegevens in op de phishingpagina, maar weigerde echte opgeslagen gegevens te delen. Het strikte profiel blokkeerde de pagina direct. Varonis geeft aan dat zelfs interactie met phishinginfrastructuur risico’s met zich meebrengt, omdat daarmee de actieve status van een phishingpagina wordt bevestigd en de agent zijn IP-adres blootgeeft.
Sociale verificatie blijft het zwakste punt
Varonis concludeert dat AI-agenten beter presteren dan mensen bij het herkennen van technische phishingindicatoren, maar juist slechter bij het toetsen van sociale context. Agenten missen het intuïtieve gevoel dat een verzoek om inloggegevens via Gmail op een ongebruikelijk tijdstip verdacht is. De neiging om direct te handelen en behulpzaam te zijn, vormt daarmee het voornaamste aanvalsoppervlak.
Tussen de twee geteste modellen observeerde Varonis dat GPT-5.4 terughoudender was bij het aanleveren van gevoelige informatie aan externe sites, terwijl Gemini 3.1 Pro sneller overging tot interactie voordat het argwaan uitte. Gevoeligheid voor sociaal gemanipuleerde verzoeken was bij beide modellen vergelijkbaar.
Aanbevelingen voor IT-dienstverleners
Varionis adviseert de configuratiebestanden van AI-agenten te behandelen als beveiligingsbeleid: expliciet, afgedwongen en versiebeheerd. Verder raadt het bedrijf aan agenten te blokkeren van het versturen van uitgaande e-mail naar adressen waarmee nog geen eerder contact is geweest, tenzij een mens dit goedkeurt. Daarnaast adviseert Varonis de toegang tot interne systemen zoals CRM, SharePoint en Confluence te segmenteren op basis van het vertrouwensniveau van het binnenkomende bericht. Voor handelingen met hoge privileges, zoals het doorsturen van inloggegevens of financiële verzoeken, wordt aanbevolen een menselijke goedkeuringsstap in te bouwen.
