MITRE T1700 AI Exfiltratie: Audittrail opbouwen voor agenttoegang

Je Eigen AI-agent Is Nu Een Gecatalogiseerd Kanaal Voor Diefstal Van Gegevens

De AI-agent die je contracten samenvat, kan ook worden overgehaald om ze naar een onbekende te mailen, en de meest gebruikte catalogus van tegenstanders in de industrie bevestigt dit nu zwart op wit. MITRE heeft AI-Enabled Exfiltration, techniek T1700, toegevoegd aan ATT&CK in de oktober 2026 versie 20 release. Hierin worden tegenstanders beschreven die via prompt injection enterprise AI-agents aansturen om gegevens buiten de organisatie te sturen. Dit is geen onderzoeksnieuwsgierigheid. Het is een benoemde en genummerde techniek met bijbehorende detectielogica, waarmee auditors en juristen een gedeelde terminologie hebben voor een vraag die de meeste raden van bestuur nog niet hebben beantwoord.

Een tweede verhaal kwam in dezelfde periode naar buiten. Microsoft en NVIDIA publiceerden gezamenlijk advies waarin ze organisaties die open-weight modellen op hun eigen infrastructuur draaien, waarschuwen dat zij mogelijk beveiligingsmaatregelen moeten nemen die een modelprovider anders zou regelen. Onderzoekers blijven aantonen waarom dat belangrijk is. Een model met een verborgen trigger kan zich maandenlang normaal gedragen en vervolgens direct inloggegevens overdragen zodra een bepaalde zin verschijnt.

Gezamenlijk beschrijven deze twee verhalen één probleem vanuit twee invalshoeken. Je kunt niet bewijzen dat een model schoon is, en je kunt er niet vanuit gaan dat een agent alleen doet wat de gebruiker bedoelt. Wat je wél kunt bewijzen, als je daarop bouwt, is tot welke gegevens een agent toegang had en wat hij daadwerkelijk heeft benaderd. Dat is het bewijs waar een toezichthouder om vraagt, en het is het bewijs dat Kiteworks secure data exchange vastlegt.

Belangrijkste Inzichten

1. MITRE benoemt nu de agent zelf als exfiltratiepad.

Techniek T1700 beschrijft tegenstanders die via geautoriseerde toolverbindingen de AI-agents van een organisatie aansturen om gegevens naar buiten te sturen.

2. Detectielogica gaat uit van een vastgelegde scope die je mogelijk niet hebt.

MITRE’s analytics voor T1700 signaleren toegang buiten de geautoriseerde scope van een agent, wat alleen werkt als die scope ergens is vastgelegd.

3. Zelfhosting van een model verplaatst beveiligingsmaatregelen naar jouw team.

Microsoft en NVIDIA stellen dat alleen openheid van gewichten het risico niet bepaalt, maar dat een zelf beheerde inzet mogelijk controles vereist die een managed service anders zou bieden.

4. Je kunt een model niet schoon testen.

Onderzoekers hebben open modellen met backdoors aangetoond die zich normaal gedragen tot een trigger verschijnt, dus herkomstregistraties en beperkingen op de gegevens die een agent kan benaderen, zijn waardevoller dan gedragstests.

5. Toezichthouders reguleren gegevens, geen modellen.

De verdedigbare positie is een registratie van welke agent, namens welke persoon, tot welke gegevens toegang had en wat hij heeft benaderd.

Wat T1700 Zegt Over Jouw Agents

De techniekpagina van MITRE beschrijft dat tegenstanders directe prompt injection, indirecte prompt injection of andere methoden kunnen gebruiken om enterprise AI-agents gegevens te laten versturen buiten de organisatie. Omdat die agents vaak geautoriseerde toolverbindingen hebben, kan een aanvaller misbruik maken van de tools die de agent al tot zijn beschikking heeft. MITRE’s versie 20-aankondiging catalogiseert de twee injectieroutes als aparte technieken: T1699 voor instructies die direct in een LLM-interface worden getypt en T1698 voor instructies die zijn ingebed in content die het model verwerkt.

Sta even stil bij die tweede route. Een contract, een supportticket, een webpagina of een gedeeld document kan de instructie bevatten, en niemand aan jouw kant hoeft iets ongebruikelijks aan te klikken. De agent doet waarvoor hij is geconfigureerd, met de toegang die hij heeft gekregen, namens een gebruiker die volledig recht heeft op die data. De exfiltratie lijkt op gewoon werk.

De door MITRE genoemde mitigaties zijn veelzeggend. Eén maatregel is om AI-systemen binnen het organisatienetwerk te houden zonder externe toegang, om exfiltratie te beperken. Een andere is om bestands- en maprechten te beperken zodat gevoelige data die agents kunnen bereiken, wordt geminimaliseerd. De derde is gebruikersopleiding. Twee van de drie maatregelen gaan over data en rechten, niet over het model. Dat patroon weerspiegelt het standpunt van Bonfy.AI, dat rechten alleen niet bepalen wat AI mag gebruiken.

Dan is er de detectiekant. MITRE’s detectiestrategie voor deze techniek omvat analytics die zoeken naar een AI-gerelateerd proces dat data buiten zijn geautoriseerde scope benadert en vervolgens een uitgaande verbinding maakt naar een niet-geautoriseerde bestemming, en naar een agent die beschermde data gebruikt met een tool of API wanneer de ontvangende dienst een overdracht buiten geautoriseerde datastromen registreert. Deze analytics gaan uit van iets wat de meeste organisaties niet hebben: een schriftelijke definitie van de geautoriseerde scope van een agent. Dit wordt het scope vacuum genoemd. De detectielogica is er klaar voor. Het referentiepunt waarmee vergeleken wordt, ontbreekt.

Het Merendeel Van Versie 20 Is Iemands Anders Probleem

SecurityWeek’s samenvatting van de release telt 15 nieuwe detectiestrategieën, zes voor Enterprise en negen voor industriële controlesystemen, ondersteund door 38 analytics. Het grootste deel hiervan is relevant voor andere doelgroepen. Een nieuwe campagne volgt aanvallen op via internet toegankelijke programmable logic controllers bij meer dan 30 water- en afvalwaterbedrijven in Minnesota, en de toeschrijving is nog niet bevestigd. Een nieuwe techniek dekt diefstal van applicatiespecifieke wachtwoorden die MFA-prompts kunnen omzeilen, wat een probleem op identiteitsniveau is. Geen van beide is waar een compliance leader dit kwartaal op wordt aangesproken.

De eerlijke conclusie voor een CISO of Chief Compliance Officer is beperkter. Eén cluster uit de release raakt direct jouw bewijsprobleem, en dat is het cluster over AI-agents en prompt injection. Het zou eenvoudig zijn om de hele release aan te halen als bewijs dat het misgaat, maar dat zou onjuist zijn. De nuttige stap is om de techniek te kiezen die aansluit op een vraag die je daadwerkelijk krijgt en het bewijs daarvoor op te bouwen.

Toezichthouders Reguleren Gegevens, Geen Modellen

Denk aan een claims-review agent bij een regionale zorgverzekeraar. Die leest ledengegevens, stelt afwijzingsbrieven op en plaatst samenvattingen in een gedeelde werkruimte. Dit is hypothetisch, maar de architectuur is gangbaar. Als een vergiftigd document de agent overtuigt om een ledenbestand aan een uitgaand bericht toe te voegen, hangt de blootstelling van het plan niet af van of een mens of een model de laatste stap uitvoerde. Het dossier van het lid heeft de organisatie verlaten.

De Security Rule van HIPAA maakt niet uit wie of wat het dossier heeft gelezen. Volgens 45 CFR 164.312 is unieke gebruikersidentificatie een verplichte specificatie, waarbij een unieke naam of nummer vereist is om gebruikersidentiteit te identificeren en te volgen, en de standaard voor audit controls vereist mechanismen die activiteiten registreren en onderzoeken in informatiesystemen die elektronische beschermde gezondheidsinformatie bevatten of gebruiken. Geen van beide bepalingen maakt een uitzondering voor toegang via een AI-agent. Dit is algemene informatie, geen juridisch advies; stem de details af met je Privacy- en Legal-teams.

Een agent die namens een persoon handelt, erft het identiteitsprobleem van die persoon. Als de agent draait onder een gedeeld serviceaccount, toont de audittrail een serviceaccount, niet de individuele gebruiker wiens autoriteit is gebruikt. Zo krijg je logs die wel bestaan, maar geen antwoord geven op de vraag van een onderzoeker. Bonfy.AI maakt hetzelfde punt in hun betoog dat je niet kunt besturen wat je niet kunt toeschrijven.

Het scope vacuum komt ook terug in onderzoeksresultaten. OneTrust’s 2026 AI-Ready Governance Survey Report, een leveranciersenquête onder 1.200 senior zakelijke beslissers in acht landen, toont aan dat 87 procent van de organisaties het gebruik van AI-agents aanmoedigt, terwijl slechts 47 procent duidelijke governance, toezicht en controles heeft ingericht.

Veertig procentpunt verschil. Dat gat is waar de vraag van een auditor terechtkomt, en het is een gat in documentatie en handhaving voordat het een technologisch probleem is.

Als Je De Gewichten Host, Erf Je De Beveiligingsmaatregelen

In een Microsoft security blog post gepubliceerd op 16 oktober 2026, introduceerde Michael Scovetta een gezamenlijke paper van Microsoft en NVIDIA getiteld Risk Management for Open-Weight Models in Enterprise. De paper verdeelt risico’s in vijf categorieën: cyberbeveiliging, gegevensbescherming, content, interactie tussen mens en AI, en bias. Dit is de eerste in een geplande serie. Een bijbehorende taxonomie staat in een openbare GitHub-repository waar wijzigingen worden beoordeeld.

De post maakt twee punten die relevant zijn voor compliance. Alleen openheid van gewichten bepaalt het risico niet; het hangt af van het model, het gebruik, de inzet en de beveiligingsmaatregelen eromheen. En verantwoordelijkheid voor beveiliging hangt af van de dienst en de inzet, dus een zelf beheerde inzet kan controles vereisen die een managed service anders zou bieden.

Let op wat er nog meer op de beoordelingslijst staat. Rechten, data-toegang, tools en runtime-controls staan naast het model zelf. De auteurs stellen dat het model één input is voor een risicobeoordeling, niet het geheel. Als je “welk model hebben we gekozen” als belangrijkste AI-risicobeslissing hebt behandeld, is dat perspectief nu verlaten door de aanbieders van de cloud waarop je draait. Het is een vraagstuk van toeleveringsketenrisico, en risicobeheer toeleveringsketen heeft daar al lang een vocabulaire voor.

De laboratoriumresultaten verklaren de urgentie. In onderzoek gepubliceerd op 6 oktober 2026 heeft ProjectDiscovery een klein open model, Qwen2.5-7B-Instruct, fijn afgestemd op function-calling data waarvan ongeveer een vijfde van de voorbeelden vergiftigd was. Wanneer een triggerzin verscheen, voerde het model een tool call uit die een externe payload downloadde en uitvoerde. Via OpenAI’s Codex CLI las de payload omgevingsbestanden in de werkmap en stuurde de inhoud naar een collector. Zonder trigger gedroeg het model zich normaal.

Zie dit als een laboratoriumresultaat, geen incident. De onderzoekers kozen de trigger en gebruikten nep-inloggegevens. De structuur is wat telt. De gewichten vertonen geen zichtbaar teken, het gedrag blijft slapend, en de schade hangt volledig af van wat de agent mag benaderen. Een model dat je omgevingsbestand niet kan lezen, kan het ook niet versturen. De inloggegevens werden blootgesteld omdat de werkmap bereikbaar was.

Je Kunt Een Model Niet Schoon Testen

Een tweede studie verbreedt het punt. Onderzoekers van Pillar Security en Fujitsu Research of Europe beschrijven een aanval die ze BadEngram noemen in een arXiv-paper, waarbij een aanvaller die een reeds getraind model kan aanpassen, een backdoor plaatst in een gated memory-subsysteem. In een test op productieschaal met een open-weight model, Qwen3.8-Flash-Next, gedroeg het aangepaste model zich grotendeels zoals verwacht zolang de trigger afwezig was. De paper gaat ervan uit dat het gewijzigde artefact wordt geaccepteerd voor gebruik en onderzoekt niet hoe een aanvaller integriteitscontroles zou kunnen omzeilen.

Die laatste kanttekening is belangrijk. Gedragstests vinden niet betrouwbaar een backdoor die stil blijft, en de auteurs wijzen op integriteitsverificatie aan de hand van een vertrouwd referentiepunt. Of de gewichten overeenkomen met wat een vertrouwde uitgever heeft geleverd, is een kwestie van herkomst. Het is een discipline in registratie, en je beoordelaars kunnen daar om vragen.

Security-onderzoeker Bruce Schneier verwoordde het algemene geval eenvoudig in een post over backdooring van open-weight modellen: AI-systemen zijn kwetsbaar voor alle supply-chain aanvallen waar reguliere software ook kwetsbaar voor is. Je software supply chain-programma weet al hoe je met een niet-geverifieerd artefact omgaat. De open vraag is of iemand het AI-team heeft verteld dat datzelfde programma ook voor hen geldt.

F5 Labs voegt praktische details toe in hun analyse van Chinese open-weight modellen, gepubliceerd op 30 juli 2026. Voor de meeste onderzochte modellen wordt de trainingsdata niet bekendgemaakt en kan de integriteit van de trainingspipeline niet worden gegarandeerd. Ook merken ze op dat veel modelfiles Pickle-serialisatie gebruiken, waarmee willekeurige code kan worden uitgevoerd als een onbetrouwbaar bestand wordt geladen, en waarschuwen ze dat scannen op repository-niveau geen garantie voor veiligheid is. Hun advies is gericht op geverifieerde herkomst, geïsoleerd testen en data-only formaten zoals Safetensors waar mogelijk.

Help Net Security’s rapport over de Microsoft en NVIDIA-paper beschrijft een aanbeveling om cryptografische ondertekening te gebruiken om herkomst te waarborgen vóór gedrag, waarbij niet-ondertekende modellen als open risico worden geregistreerd. Als deze richtlijn standhoudt in de volledige paper, biedt het een CISO iets concreets voor het risicoregister, omdat een niet-ondertekend artefact een gedocumenteerde uitzondering met een eigenaar wordt, in plaats van een stilzwijgende aanname.

Herkomst geeft antwoord op waar een artefact vandaan komt en of het is gewijzigd. Het zegt niets over wat het systeem zal doen zodra het draait. Daarom ligt het bewijs dat een beoordelaar daadwerkelijk kan verifiëren, één laag hoger: in de registratie van welke data het systeem mocht benaderen.

Waarom De Data Layer Het Verdedigbare Bewijs Levert

Als de modellayer niet aantoonbaar schoon is, bouw je het bewijs op de datalaag. Het argument dat het echte controlepunt voor agentic AI de datalaag is, is het juiste perspectief voor een CCO, omdat regelgeving zich op de datalaag richt. Het is ook de plek waar een registratie kan worden geproduceerd.

Zo ziet dat er in de praktijk uit. De Kiteworks Secure MCP Server laat AI-assistenten werken met content in Kiteworks via het Model Context Protocol, met gebruik van de OAuth 2.0 Authorization Code flow met PKCE. Tokens blijven in de credential store van het besturingssysteem en worden nooit in de context van het model geplaatst, zodat een geïnjecteerde instructie het model niet kan vragen ze terug te lezen. Elke operatie wordt geëvalueerd aan de hand van dezelfde RBAC– en ABAC-policies die gelden voor de menselijke gebruiker waarvoor de agent optreedt, zodat de agent de rechten van die gebruiker erft en deze niet kan overschrijden. Instelbare rate limiting beperkt bulkdownloads.

Dezelfde activiteit wordt vastgelegd in de uniforme audit log, en audit events kunnen in real time naar een SIEM worden gestuurd via syslog of de Splunk Forwarder. Kiteworks Compliant AI past deze governed-access aanpak toe op AI-workflows, zodat wat een agent mocht benaderen en wat hij daadwerkelijk benaderde, in één registratie wordt vastgelegd in plaats van drie reconstructies. Dit detecteert geen model met backdoor, en dat is ook niet de bedoeling. Het beperkt wat een gemanipuleerde agent via het gecontroleerde kanaal kan benaderen en documenteert wat er gebeurt als hij het probeert.

Kiteworks’ eigen onderzoek wijst op hetzelfde zwakke punt. Het Kiteworks Data Security and Compliance Risk: 2026 Annual Survey Report toont aan dat 73 procent van de 459 zelfrapportage-respondenten geen purpose binding controls heeft op gevoelige data, wat betekent dat AI-agents niet beperkt zijn tot geautoriseerde taken en datascope. Leg dat naast MITRE’s analytics en het scope vacuum krijgt cijfers. De detectielogica vergelijkt gedrag met een geautoriseerde scope, en driekwart van de onderzochte organisaties heeft dat niet afgedwongen.

De relatie tussen een persoon en een agent is hier van belang. Het sterkste governance-model behandelt de agent als een gecontroleerde manier voor een benoemd persoon om te werken, niet als een vrij actor. Zero trust data protection-principes passen dezelfde verificatie toe op beiden, en het werk van Bonfy.AI over het autoriteitsgat in AI-workflows beschrijft wat er misgaat als gedelegeerde autoriteit nooit wordt vastgelegd.

Wat Een Verdedigbaar Bewijspakket Voor Een Agent Bevat

Stel je de aanvraag voor. Een toezichthouder, beoordelaar of tegenpartij vraagt naar één agent en één dataset. Een verdedigbaar antwoord bestaat uit vijf onderdelen, en elk daarvan sluit aan bij iets wat MITRE’s detectielogica al veronderstelt dat je hebt.

Ten eerste de identiteit. Voor welke benoemde persoon trad de agent op, en met welke inloggegevens? Ten tweede de scope. Tot welke data mocht die agent lezen, schrijven en versturen, en wie heeft dat goedgekeurd? Ten derde het toegangsrecord. Wat heeft de agent daadwerkelijk benaderd, met tijdstempels, in een log die een onderzoeker kan vertrouwen? Ten vierde de bestemming. Waar zijn de gegevens naartoe gegaan, en viel die stroom binnen de geautoriseerde set? Ten vijfde de tijd. Kun je alles binnen het tijdsbestek van de aanvrager aanleveren?

De meeste organisaties kunnen één of twee van deze vragen beantwoorden. De organisaties die worstelen, hebben geen tekort aan logs. Ze hebben een tekort aan logs die met elkaar overeenstemmen, omdat de activiteiten van de agent verspreid zijn over het AI-platform, het bestandssysteem, de e-mailgateway en een ticketingsysteem, elk met een eigen tijdstempel en definitie van een gebruiker. Een geconsolideerde audit log met consistente terminologieën maakt van weken correlatie een query, en dat is het verschil tussen bewijs leveren en uitleggen waarom je dat niet kunt.

Hiervoor hoef je niet het ergste te denken over je modellen. Je hoeft alleen te verwachten dat iemand uiteindelijk zal vragen, en dat het antwoord al klaar moet liggen.

Wat Te Doen Voor De Volgende Beoordelingscyclus

Begin met eigenaarschap. Wijs een benoemde menselijke eigenaar en een schriftelijk geautoriseerde scope toe aan elke AI-agent die gevoelige content verwerkt, zelfs pilots. Als niemand kan zeggen wie eigenaar is van een agent, heb je het verantwoordingsvacuum gevonden voordat een auditor dat doet. Eigenaarschap van AI-beveiliging is nog niet vastgesteld in de sector, en het vacuum is het probleem om op te lossen, niet een vast organogram om te verdedigen.

Voer vervolgens een proefaanvraag uit. Kies één agent en één gevoelige dataset, vraag je team om identiteit, scope, toegangsrecord, bestemming en tijdlijn te produceren, en noteer waar het antwoord spaak loopt. Behandel de hiaten als bevindingen. Combineer deze oefening met je AI data governance-programma, zodat de oplossingen in beleid terechtkomen en niet in een eenmalige spreadsheet.

Laat open-weight modellen vervolgens door hetzelfde intakeproces gaan als je software. Vraag het AI-team om een herkomstregistratie, behandel een niet-ondertekend artefact als een geregistreerd risico met een eigenaar en een beoordelingsdatum, en vraag welke bestandsformaten worden gebruikt. Als het antwoord serialisatieformaten bevat die code kunnen uitvoeren bij het laden, hoort dat thuis in het uitzonderingslog. Houd de vraag over dataminimalisatie ook op tafel, want een agent die nooit een bestand ontvangt, kan het ook niet lekken.

Tot slot, koppel T1700 aan je risicoregister met een data-eigenaar erbij. De catalogus heeft je een vocabulaire gegeven. Wie het eerst vraagt, wil een registratie, en geen enkel weight-bestand kan die leveren.

Wil je meer weten over het beheren van AI-agenttoegang tot gevoelige content met bewijs dat klaar is voor audit? Plan vandaag nog een demo op maat.

Aanvullende Bronnen

• Blog Post
  Zero‑Trust Strategieën voor Betaalbare AI Privacybescherming
• Blog Post
  Hoe 77% van de Organisaties Faalt in AI Data Security
• eBook
  AI Governance Gap: Waarom 91% van Kleine Bedrijven Russisch Roulette Speelt met Data Security in 2025
• Blog Post
  Er is Geen “–dangerously-skip-permissions” Voor Je Data
• Blog Post
  Toezichthouders Zijn Klaar Met Vragen of Je een AI-beleid Hebt. Ze Willen Bewijs Dat Het Werkt.