AI-agentincidenten: Onbeheerde risico’s brengen 65% van de organisaties in gevaar
De Cloud Security Alliance en Token Security publiceerden op 21 april 2026 onderzoek getiteld Autonomous but Not Controlled: AI Agent Incidents Now Common in Enterprises. De belangrijkste conclusie is duidelijk: 65% van de organisaties heeft het afgelopen jaar minstens één cyberbeveiligingsincident ervaren veroorzaakt door AI-agents die actief zijn op bedrijfsnetwerken.
Belangrijkste inzichten
- AI-agentincidenten zijn nu de norm, niet de uitzondering. Nieuw onderzoek toont aan dat 65% van de organisaties het afgelopen jaar minstens één cyberbeveiligingsincident heeft meegemaakt gerelateerd aan een AI-agent. Dat verandert het hele gesprek over AI-risico’s: van hypothetisch naar historisch.
- Datalekken zijn het dominante faalmechanisme. Van de incidenten met AI-agents betrof 61% blootstelling van gevoelige data, veroorzaakte 43% operationele verstoringen en leidde 41% tot onbedoelde acties binnen bedrijfsprocessen. De agent “functioneert” niet verkeerd – hij doet precies wat zijn rechten toestaan.
- De meeste organisaties kunnen een ontsporende agent niet stoppen. Uit onderzoek van Kiteworks blijkt dat 63% van de organisaties geen doeleinde-beperkingen kan afdwingen op AI-agents en 60% een ontsporende agent niet kan beëindigen. Beheersing is de ontbrekende capaciteit.
- Slechts 19% van de organisaties behandelt AI-agents als gelijkwaardig aan menselijke insiders. Het classificatiegat is het governance-gat. Als een agent niet op de radar van insiderrisico’s staat, valt hij niet onder het insiderrisicoprogramma.
- De oplossing is architectonisch, niet administratief. Gegevenslaag-governance – least-privilege, doeleinde-gebonden, tijdsgebonden toegang afgedwongen op het punt waar de agent data benadert – is het enige schaalbare antwoord op een beheersingsprobleem dat nu op elk bedrijfsnetwerk speelt.
Dit is geen voorspelling. Dit is terugblik. De incidenten zijn al gebeurd.
De verdeling is net zo belangrijk als de kop. Van de organisaties die AI-agent-gedreven incidenten rapporteren, betrof 61% datalekken. 43% veroorzaakte operationele verstoringen. 41% leidde tot onbedoelde acties in bedrijfsprocessen. 35% veroorzaakte financiële verliezen. 31% leidde tot vertragingen in dienstverlening.
Lees dat nog eens. De meest voorkomende uitkomst van een ongereguleerde AI-agent op een bedrijfsnetwerk is dat deze data lekt. Niet dat hij stukgaat – hij lekt data. De agent doet zijn werk. Het probleem is dat zijn functiebeschrijving nooit is begrensd door een data governance-beleid.
Waarom dit geen nieuw probleem is – alleen een sneller probleem
Bedrijven hebben dit eerder meegemaakt. Toen SaaS-adoptie tien jaar geleden explodeerde, werd shadow IT het dominante kanaal voor data-exfiltratie. Toen thuiswerken toenam, werden onbeheerde endpoints de belangrijkste vector voor diefstal van inloggegevens. Het patroon is consistent: Technologieadoptie loopt voor op governance, en datalekken dwingen uiteindelijk tot correctie.
AI-agents versnellen die tijdlijn drastisch. Volgens het DTEX 2026 Insider Threat Report zegt 92% van de organisaties dat generatieve AI fundamenteel heeft veranderd hoe medewerkers toegang krijgen tot en informatie delen – maar slechts 13% heeft AI formeel geïntegreerd in hun bedrijfsstrategie. DTEX identificeert shadow AI als de belangrijkste oorzaak van nalatige insider-incidenten, nog vóór onbeheerde bestandsoverdracht en persoonlijk webmailgebruik.
Datzelfde rapport toont aan dat 73% van de organisaties zich zorgen maakt dat ongeautoriseerd AI-gebruik onzichtbare dataverliespaden creëert, en slechts 19% classificeert AI-agents als gelijkwaardig aan menselijke insiders. De governance-categorie bestaat. De agents zitten er niet in.
Het gat wordt zichtbaar in de datalekken. Volgens het IBM Cost of a Data Breach Report 2025 ontbraken bij 97% van de organisaties met een AI-gerelateerd datalek de juiste AI-toegangscontroles. Shadow AI voegt ongeveer $670.000 toe aan de gemiddelde kosten van een datalek. Het Amerikaanse gemiddelde van een datalek ligt nu boven de $10 miljoen, vooral door boetes vanuit regelgeving.
Dat is de prijs van het classificatiegat, uitgedrukt in dollars.
Hoe ziet een “ongecontroleerde AI-agent” er in de praktijk uit?
Bekijk hoe dit zich afspeelt binnen een doorsnee organisatie. Een engineeringteam zet een AI-coding assistant op. Die heeft leesrechten nodig op de repository. Die toegang werkt, dus blijft deze bestaan. Iemand van een ander team geeft dezelfde agent leesrechten op het ticketsysteem, omdat de agent helpt bij het triëren van issues. Daarna krijgt de agent leesrechten op ontwerpdocumenten – voor context. Vervolgens op de klantenservice-inbox – om antwoorden op te stellen.
Zes maanden later heeft de agent leesrechten op broncode, klantentickets, ontwerp-roadmaps en klantcorrespondentie. Geen enkele toegangsverlening was op zichzelf onredelijk. Geen enkel team had het volledige overzicht. En niemand heeft beoordeeld wat de agent in totaal kan benaderen.
Nu wordt de agent gecompromitteerd – bijvoorbeeld door prompt injection, een aanval op de toeleveringsketen van de leverancier, of een gelekte inlogcode. De aanvaller erft alles waar de agent toegang toe had. De Vercel-breach die werd gemeld op 21 april 2026 liet precies dit patroon zien: aanvallers gingen van een gecompromitteerde externe AI-tool (Context.ai) naar de interne systemen van Vercel via de toegang die de medewerker had verleend.
De aanvaller hoefde Vercel niet te hacken. Ze braken in bij de AI-tool die de medewerker vertrouwde.
De drie governance-falen achter het 65%-cijfer
Het Kiteworks Data Security and Compliance Risk: 2026 Forecast Report kwantificeerde drie specifieke beheersingsgaten die het CSA-incidentpercentage verklaren. Dit zijn geen abstracte tekortkomingen. Het zijn de technische redenen waarom AI-agents blijven leiden tot datalekken.
Doeleindebinding ontbreekt. 63% van de organisaties kan geen doeleinde-beperkingen afdwingen op AI-agents. Een agent die toegang krijgt tot een klantenservicesysteem om antwoorden op te stellen, heeft technisch gezien geen beperking om ook financiële klantgegevens in datzelfde systeem te lezen. Doeleinde is in de meeste omgevingen slechts een beleidswens – vastgelegd op papier, niet afgedwongen op de gegevenslaag.
Beheersing ontbreekt. 60% van de organisaties kan een ontsporende AI-agent niet beëindigen. Het monitoren van een agent die actief data exfiltreert, helpt niet als er geen mechanisme is om hem te stoppen. Het 2026 Forecast Report noemt dit het meest ingrijpende gat: organisaties investeren in het observeren van agents, maar niet in het stoppen ervan.
Bewijs ontbreekt. 67% heeft in theorie audittrails – maar volgens het 2026 Forecast Report heeft slechts een fractie logs van bewijskwaliteit die alle kanalen omvatten die een AI-agent kan aanraken (e-mail, bestandsoverdracht, API’s, MCP-servers, databases). Wanneer de toezichthouder vraagt “wat deed deze agent met gereguleerde data?”, zijn gefragmenteerde logs geen antwoord.
Elk van deze gaten is een concrete reden waarom een governanceprogramma dat op papier bestaat, in de praktijk faalt.
Waarom “modelbeveiliging” dit niet oplost
De AI-beveiligingsindustrie heeft enorm veel aandacht besteed aan modelniveau-veiligheidsmaatregelen – verdediging tegen prompt injection, outputfiltering, alignment testing, constitutionele AI-technieken. Deze zijn belangrijk. Maar ze lossen het probleem dat de CSA-data beschrijft niet op.
Dit is waarom. Modelniveau-veiligheidsmaatregelen proberen te voorkomen dat de AI iets schadelijks doet met de data waartoe deze toegang heeft. Dat is waardevol, maar het gaat ervan uit dat het toegangsmodel klopt. De 65% van de organisaties met AI-agentincidenten lijden niet primair onder verkeerd ingestelde modellen die schadelijke output produceren. Ze lijden onder correct functionerende modellen die toegang hebben tot data die ze nooit hadden mogen krijgen.
Volgens het 2026 Thales Data Threat Report is blootstelling van gevoelige data het snelst groeiende AI/LLM-aanvalstype – en slechts 33% van de organisaties weet precies waar hun gevoelige data zich bevindt. Je kunt AI-toegang tot data niet effectief beheren als je niet weet waar de data is.
Runtime security en databeveiliging zijn complementaire disciplines, geen vervangers. Runtime security maakt de agent als systeem veiliger. Databeveiliging beschermt de data tegen de agent. Enterprise AI heeft beide nodig. De meeste bedrijven investeren in één van de twee en negeren de andere – met als resultaat het 65%-incidentpercentage.
De Kiteworks-aanpak: Governance op gegevenslaag voor AI-agents
Kiteworks pakt het governance-gat aan op de gegevenslaag, waar het CSA-onderzoek de daadwerkelijke fouten aantoont. De aanpak is architectonisch, geen add-on.
Doeleinde-gebonden toegang. Elke AI-agent verbindt met gereguleerde data via de Kiteworks AI Data Gateway, die op attributen gebaseerde toegangscontrole (ABAC) afdwingt op het moment van dataverzoek. De identiteit van de agent, de classificatie van de data, het beoogde doeleinde en de context van het verzoek worden allemaal geëvalueerd voordat data wordt vrijgegeven. Een agent kan niet per ongeluk toegang krijgen tot gegevens buiten zijn doeleinde, omdat het doeleinde is vastgelegd in de beleid-engine – niet in de prompt.
Afgebakende MCP-integratie. De Kiteworks Secure MCP Server geeft AI-agents gecontroleerde toegang tot bedrijfsdata via het Model Context Protocol, met behoud van least privilege. De agent krijgt precies de context die nodig is voor de taak – niet meer – en elke bevraging wordt gelogd.
Beheersing en kill switches. Beleidsafdwinging vindt plaats op platformniveau, niet op agentniveau. Als het gedrag van een agent afwijkt van het toegestane doeleinde, kan toegang direct worden ingetrokken over alle datakanalen die de agent raakt. Beheersing vereist niet dat je de agent door losse systemen achterna zit.
Audittrails van bewijskwaliteit. Elke AI-agentinteractie met gereguleerde data levert fraudebestendige auditlogs op die zijn samengevoegd over e-mail, bestandsoverdracht, SFTP, MFT, API’s, webformulieren en MCP. Deze logs ondersteunen SIEM-integratie, regelgevende audits en litigation holds. Wanneer een toezichthouder vraagt wat de agent heeft gedaan, is het antwoord met één query beschikbaar – geen reconstructieproject over vijf systemen.
Dit is het architectonische patroon dat de sector nodig heeft om het gat tussen AI-adoptie en AI-data governance te dichten. Het is ook het enige patroon dat schaalt naar duizenden agents over tientallen bedrijfsprocessen – waar de meeste bedrijven de komende 24 maanden naartoe groeien.
Wat organisaties nu moeten doen
Ten eerste inventariseer elke AI-agent met toegang tot gereguleerde data. Dit omvat coding assistants, klantenservice-copilots, analytics agents, documentverwerkers en elke externe AI-tool met OAuth- of API-toegang tot interne systemen. Leg deze lijst naast de CSA-conclusie dat de meeste organisaties geen uitdiensttredingsstrategie hebben – beschouw elke geïnventariseerde agent als een governanceverplichting.
Ten tweede classificeer AI-agents als niet-menselijke insiders binnen het bestaande insiderrisicoprogramma. Het DTEX 2026-rapport toont aan dat slechts 19% van de organisaties dit nu doet. De oplossing is een beleidsupdate plus een technische wijziging: voer dezelfde toegangsbeoordelingen, monitoringsbaselines en beëindigingsprocedures uit als voor menselijke bevoorrechte gebruikers, aangepast aan de schaal en snelheid van agentacties.
Ten derde dwing doeleindebeperkingen af op de gegevenslaag, niet op agentniveau. Het doeleinde van een agent moet gecodeerd zijn in beleid dat bij elk dataverzoek wordt geëvalueerd. Vertrouwen op de agent om “binnen de lijntjes te blijven” is geen beheersingsmaatregel. Het 2026 Forecast Report toont aan dat 63% dit nu niet kan – het dichten van dit gat is de meest effectieve investering in beheersing die mogelijk is.
Ten vierde implementeer beheersingsmogelijkheden voordat je de inzet van agents opschaalt. Als er geen manier is om een AI-agent die actief data exfiltreert te beëindigen, is het governanceprogramma incompleet. Kill switches, netwerkisolatie en intrekking van inloggegevens moeten aanwezig en getest zijn – niet slechts een wens.
Ten vijfde bouw audittrails van bewijskwaliteit die alle kanalen omvatten waar de agent bij kan. Toezichthouders, auditors en advocaten van eisers zullen vragen wat de agent heeft gedaan en met welke autorisatie. Volgens het CrowdStrike 2026 Global Threat Report misbruiken statelijke actoren steeds vaker legitieme identiteitsconstructies voor langdurige, stille data-toegang – waardoor de kwaliteit van audittrails het verschil maakt tussen detectie in dagen of maanden.
Ten zesde stem AI-agent governance af op de bestaande regelgevende kaders. HIPAA, CMMC, PCI DSS, SEC en SOX specificeren allemaal vereisten voor toegangscontroles, audittrails en minimaal noodzakelijke toegang. Geen van deze bevat een uitzondering voor AI-agents. De snelste weg naar AI-agent compliance is erkennen dat het compliancekader al bestaat – het zijn de controles die ontbreken.
Het CSA-onderzoek is geen waarschuwing voor wat zou kunnen gebeuren. Het is een rapport over wat al gebeurd is. De organisaties die in 2026 en 2027 het beste presteren, zijn degenen die reageren met architectonische verandering, niet met beleidsupdates.
De regelgevende reactie in 2026 komt sneller dan verwacht
Toezichthouders lezen hetzelfde onderzoek als de CISO’s. Volgens het 2026 Forecast Report worden de high-risk-bepalingen van de EU AI-wet volledig afdwingbaar in augustus 2026 – en ze brengen boetes tot €35 miljoen of 7% van de wereldwijde jaaromzet met zich mee bij niet-naleving. De wet vereist dat high-risk AI-systemen gedetailleerde documentatie bijhouden, conformiteitsbeoordelingen ondergaan en zich registreren in een openbare EU-database.
Dat is het Europese traject. In de VS ontwikkelt het zich via staatswetgeving, FTC-handhaving en sectorspecifieke richtlijnen. De Colorado AI Act, Texaanse AI-wetgeving en wijzigingen in Californië, Kentucky en Delaware breiden allemaal de definitie van gevoelige data uit naar door AI afgeleide categorieën. Uit de 2025 Cisco Data Privacy Benchmark Study blijkt dat de volwassenheid van privacyprogramma’s steeds meer samenhangt met de datagovernance rond AI – en niet als aparte disciplines wordt gezien.
Het patroon is in elke rechtsbevoegdheid hetzelfde: toezichthouders komen tot het inzicht dat AI-systemen die omgaan met persoonlijke of gereguleerde data moeten aantonen dat ze gereguleerd toegang verlenen, gedrag kunnen auditen en falen kunnen beheersen. Organisaties die documentatie van bewijskwaliteit kunnen overleggen, slagen. Organisaties die dat niet kunnen, krijgen te maken met handhaving.
Het CSA-onderzoek is hier van groot belang omdat het voorzienbaarheid vastlegt. Wanneer een toezichthouder vraagt of een organisatie “wist of had moeten weten” dat ongereguleerde AI-agents tot datalekken leiden, is het antwoord na april 2026 gedocumenteerd: twee derde van de bedrijven had al zulke incidenten meegemaakt toen het onderzoek werd gepubliceerd. “We wisten het niet” is geen verdedigbare reactie meer. “Het is gangbare praktijk in de sector” evenmin – want die praktijk veroorzaakt juist incidenten, volgens de data.
Veelgestelde vragen
Het onderzoek van CSA en Token Security definieert AI-agents breed als autonome of semi-autonome systemen die op bedrijfsnetwerken draaien met toegang tot bedrijfsdata en -systemen. Dit omvat coding assistants, klantenservice-copilots, analytics agents, documentverwerkingsbots, RAG-ondersteunde LLM-applicaties en externe AI-tools met OAuth- of API-toegang. De gemene deler is autonome actie op data waarvoor de organisatie verantwoordelijk is qua governance.
De meeste datalekken door AI-agents vallen in drie patronen: de agent benadert data buiten het beoogde doeleinde omdat dit niet wordt afgedwongen op de gegevenslaag; de inloggegevens of API-tokens van de agent worden gecompromitteerd, waardoor een aanvaller alles krijgt waar de agent toegang toe had; of de agent wordt via prompt injection gemanipuleerd om data te exfiltreren die hij mocht lezen. Het IBM Cost of a Data Breach Report 2025 vond dat 97% van de AI-gerelateerde datalekken organisaties betrof zonder de juiste AI-toegangscontroles.
Ja. Deze regelgeving specificeert vereisten voor toegangscontroles, audittrails, encryptie en minimaal noodzakelijke toegang – ze bevatten geen uitzonderingen voor AI-agents. Als een AI-agent toegang heeft tot beschermde gezondheidsinformatie, kaartgegevens of gecontroleerde niet-geclassificeerde informatie, geldt de volledige regelgevende verplichting. Het Kiteworks Data Security and Compliance Risk: 2026 Forecast Report documenteert de beheersingsgaten die het voldoen aan bestaande regelgeving bemoeilijken wanneer AI-agents aan de omgeving worden toegevoegd.
Runtime AI-beveiliging richt zich op de agent als systeem – het voorkomen van prompt injection, outputfiltering, alignment afdwingen. AI-governance op gegevenslaag richt zich op de data die de agent benadert – doeleinde afdwingen, bevragingen loggen en gedrag beheersen op het moment van datatoegang. Het Thales 2026 Data Threat Report benoemt beide als noodzakelijke maar aparte disciplines. De meeste bedrijven investeren in runtime security en verwaarlozen governance op gegevenslaag – daar komt het CSA-incidentpercentage vandaan.
Fase één – inventarisatie, classificatie als niet-menselijke insiders en initiële toegangsbeoordelingen – is doorgaans haalbaar in vier tot acht weken. Fase twee – implementatie van doeleinde-gebonden toegang, beheersingsmogelijkheden en uniforme audittrails – vereist een governanceplatform op gegevenslaag en meestal drie tot zes maanden, afhankelijk van de complexiteit van de omgeving. Het Kiteworks Data Security and Compliance Risk: 2026 Forecast Report merkt op dat organisaties met volwassen AI-governance datalekken ongeveer 70 dagen sneller oplossen dan organisaties zonder, volgens IBM-data – waardoor de investering zowel risicobeperkend als kostenbesparend is bij incidenten.
Veelgestelde vragen
Volgens onderzoek van de Cloud Security Alliance en Token Security, gepubliceerd op 21 april 2026, heeft 65% van de organisaties het afgelopen jaar minstens één cyberbeveiligingsincident ervaren veroorzaakt door AI-agents die actief zijn op bedrijfsnetwerken.
De meest voorkomende uitkomst van een incident met een ongereguleerde AI-agent is datalekken, waarbij 61% van de gerapporteerde incidenten betrekking heeft op het lekken van gevoelige data. Dit onderstreept de kritieke noodzaak van datagovernancebeleid om de reikwijdte van datatoegang voor AI-agents te beperken.
Uit onderzoek van Kiteworks blijkt dat 63% van de organisaties geen doeleinde-beperkingen kan afdwingen op AI-agents en 60% niet in staat is een ontsporende agent te beëindigen. Dit gebrek aan beheersingsmogelijkheden is een aanzienlijk gat in de huidige governancekaders.
Governance op gegevenslaag dwingt least-privilege, doeleinde-gebonden en tijdsgebonden toegang af op het moment dat AI-agents met data interacteren. Deze architectonische aanpak, zoals bepleit door Kiteworks, zorgt ervoor dat agents alleen toegang hebben tot data die nodig is voor hun taak, waardoor het risico op ongeautoriseerde blootstelling of misbruik wordt verminderd.