WatchGuard Technologies adviseert CIO’s om bij elke nieuwe AI-toepassing vast te leggen wat een agent namens medewerkers mag doen. Het bedrijf komt met een aanpak in drie stappen om de bevoegdheden van AI-agents te beoordelen. Aanleiding is volgens WatchGuard het groeiende gebruik van agents met toegang tot e-mail, agenda’s en bedrijfsapplicaties.
Volgens WatchGuard krijgen AI-agents steeds vaker toegang tot e-mail, agenda’s, documenten en bedrijfsapplicaties om zelfstandig taken uit te voeren. Daarmee krijgen ze bevoegdheden die normaal bij medewerkers liggen. Het bedrijf stelt dat aanvallers die agents kunnen beïnvloeden om data te onderscheppen of processen te verstoren. Dat speelt volgens WatchGuard sterker nu medewerkers zelf AI-tools gebruiken of applicaties aan bedrijfssystemen koppelen zonder betrokkenheid van de beveiligingsafdeling, ook wel shadow AI genoemd.
Prompt injection via e-mail
WatchGuard illustreert het risico met e-mail. Een agent die berichten samenvat, kan via dezelfde koppeling ook toegang hebben tot andere mails of berichten kunnen versturen. Een aanvaller kan verborgen instructies in een e-mail plaatsen die de agent aanzetten om gevoelige informatie op te zoeken en door te sturen. De agent behandelt tekst die hij moet verwerken dan als opdracht. Deze techniek staat bekend als prompt injection.
WatchGuard verwijst naar OWASP, dat dit scenario in zijn risicolijst voor 2026 omschrijft als ‘excessive agency’: AI met te veel functies, rechten of zelfstandigheid. Het risico steeg in die lijst van plaats zes naar plaats drie.
Autonomie als ontwerpkeuze
Het bedrijf wijst op een afweging. De meerwaarde van een agent zit in zelfstandig werk: een agent die afspraken plant, moet in een agenda kunnen schrijven en voor andere taken is toegang tot meerdere applicaties nodig. Leesrechten volstaan dan niet. Tegelijk geldt binnen cybersecurity het principe van minimale rechten, en ook noodzakelijke rechten kunnen bij misbruik schade veroorzaken. Elke handeling vooraf laten goedkeuren beperkt daarentegen de zelfstandigheid van de agent en houdt werk bij de medewerker.
Volgens WatchGuard hoort de keuze hoeveel autonomie een agent krijgt daarom bij het ontwerp van de toepassing. Daarnaast moeten organisaties weten welke AI-tools medewerkers gebruiken en hoeveel toegang die tools tot bedrijfssystemen hebben. Zonder dat overzicht blijven koppelingen buiten beveiligingscontroles, wat extra ingangen voor aanvallers oplevert.
Drie stappen
Martijn Nielen, Sr. Sales Engineer bij WatchGuard Technologies, geeft aan dat multifactorauthenticatie alleen niet volstaat om het gebruik van AI-agents te beveiligen. WatchGuard adviseert CIO’s de bevoegdheden daarom in drie stappen te beoordelen.
De eerste stap is per agent vastleggen welk werk hij overneemt en welke systemen hij daarvoor kan bereiken. Vervolgens controleer je wat hij daar mag doen: alleen documenten lezen, of ook bestanden wijzigen en verwijderen. Zo zie je waar de toegang verder gaat dan de opdracht vraagt.
In de tweede stap beperk je de rechten tot wat voor de taak nodig is. Een agent die e-mails samenvat, heeft geen verzendrecht nodig. Voor noodzakelijke handelingen met grote gevolgen bepaal je wanneer een medewerker eerst moet meekijken en goedkeuren.
De derde stap is herbeoordeling. Nieuwe taken, functies en koppelingen kunnen veranderen wat een agent mag. WatchGuard raadt aan bij elke uitbreiding te controleren of rechten en goedkeuringsafspraken nog passen, die controle periodiek te herhalen en toegang in te trekken zodra die niet meer nodig is. Het bedrijf verwacht dat organisaties zo voorkomen dat agents ongemerkt meer bevoegdheden opbouwen dan nodig.
Nielen stelt dat beveiliging vanaf het begin onderdeel moet zijn van het ontwerp van AI-toepassingen. Organisaties moeten volgens hem vastleggen welke rechten agents krijgen en zicht houden op welke AI-applicaties met de bedrijfsomgeving verbonden zijn, tot welke gegevens die toegang hebben en welke bevoegdheden ze behouden.
