AI-agenten moeten gebruikersrechten overnemen, niet hun eigen inloggegevens bezitten

Elke nieuwe integratie roept dezelfde beveiligingsvraag op: waar kan het bij, waar een persoon niet bij kan? Voor AI-agenten hangt het antwoord af van één ontwerpkeuze. Ofwel beschikt de agent over eigen inloggegevens, ofwel handelt hij met de rechten van de persoon die de opdracht geeft.

Die keuze bepaalt hoe groot het toegangsoppervlak wordt. Een gedeeld serviceaccount met brede reikwijdte creëert een bevoorrechte identiteit die niemand controleert zoals bij een persoon, en het kan bij data komen die geen enkele gebruiker zou mogen zien. Permissie-erfenis voorkomt dat probleem bij de bron.

Dit artikel legt uit waarom permanente agent-inloggegevens risicovol zijn, hoe permissie-erfenis in de praktijk werkt en welke vragen je aan elk agentplatform moet stellen tijdens een beveiligingsreview.

Samenvatting

AI-agenten moeten handelen als de gebruiker die de aanvraag doet. Wanneer een agent de rollen en rechten van een persoon erft, kan hij niet meer zien of doen dan die persoon, wordt het beleid bij elk verzoek geëvalueerd en wordt elke actie in de audittrail aan een specifieke persoon gekoppeld. Agenten met eigen, brede inloggegevens doen het tegenovergestelde: ze vergroten het toegangsoppervlak en verbreken de koppeling tussen een actie en een verantwoordelijke gebruiker. Voor CISO’s en security-architecten verandert erfenis de agentreview in een vraag over het toegangsmodel van het platform, in plaats van over de code van elke agent afzonderlijk.

Belangrijkste punten

1. Permanente agent-inloggegevens creëren een nieuwe bevoorrechte identiteit. Een serviceaccount met brede reikwijdte kan bij data komen die geen enkele individuele gebruiker zou mogen benaderen.
2. Erfenis houdt het toegangsoppervlak even groot. Een agent die handelt met de rollen en rechten van de gebruiker kan geen bronnen bereiken buiten die autorisatie.
3. Beleid moet bij elk verzoek worden geëvalueerd. Op attributen gebaseerde beslissingen die classificatie, gebruikerskenmerken en context wegen, houden de controle bij het platform in plaats van bij de agent.
4. Gedeclareerde toolscope maakt van een beveiligingsreview een documentcontrole. Wanneer een agent vooraf aangeeft wat hij kan doen vóór installatie, beoordelen reviewers een specificatie in plaats van code te auditen.
5. Beheerders hebben een centrale schakel nodig. Destructieve tools blijven uitgeschakeld totdat ze expliciet worden aangezet, en de lijst met beschikbare tools kan worden beperkt, zodat agentgedrag binnen de goedkeuring van de organisatie blijft.

Waarom permanente agent-inloggegevens risico’s creëren

Integratie-shortcuts volgen vaak hetzelfde patroon. Iemand maakt een serviceaccount aan, geeft het voldoende reikwijdte zodat het project werkt en gaat verder. Het account blijft vervolgens jarenlang bestaan en verzamelt toegang die niemand toetst aan de rol van een persoon.

Een bevoorrechte identiteit die niemand controleert

Gebruikers veranderen van rol, vertrekken en verliezen toegang. Een serviceaccount doet dat niet vanzelf. Als een agent er een heeft, weerspiegelt zijn bereik de dag van aanmaken, niet de actuele behoeften van de gebruiker.

Acties zonder een verantwoordelijke gebruiker

Wanneer de agent als zichzelf handelt, toont de log de agent. Het is niet zichtbaar welke persoon de actie heeft getriggerd of of die persoon recht had op de data. Voor een onderzoeker of auditor is dat een gat in de verantwoordingsketen.

Hoe permissie-erfenis werkt voor AI-agenten

Met erfenis neemt een AI-operatie de rollen en rechten van de geauthenticeerde gebruiker over. Het platform evalueert op attributen gebaseerd beleid realtime bij elk verzoek, met behulp van bestandsclassificatie, gevoeligheidslabels, gebruikerskenmerken en context. Als de gebruiker het bestand niet direct mocht openen, kan de agent dat ook niet.

Gedeclareerde toolscope

Elke agent geeft vooraf aan welke tools hij gebruikt. Reviewers vergelijken die verklaring met hun vereiste vóór installatie. Tool-aanroepen worden ook gecontroleerd op de scopes die aan de client zijn toegekend, zodat een agent alleen de tools kan gebruiken waarvoor hij is goedgekeurd.

Centrale controle voor beheerders

Destructieve tools zoals verplaatsen en verwijderen staan standaard uit en moeten expliciet worden ingeschakeld. Beheerders kunnen ook beperken welke benoemde tools voor agenten zijn geregistreerd, en bevestigingsstappen staan voor schrijfacties. Samen stellen deze controles het securityteam in staat om te bepalen wat agenten mogen doen voordat iemand er een installeert.

Vragen voor elk agentplatform

Vraag met wiens rechten een agent draait en of hij eigen inloggegevens heeft. Vraag waar het beleid wordt geëvalueerd, en of beveiligingstokens of bestandsdata ooit in de context van het model komen zonder gebruikersactie. Vraag hoe elke aanroep in de auditlog verschijnt en of deze je SIEM bereikt. Een platform dat deze vragen precies beantwoordt, maakt review snel. Een platform dat antwoordt met een beschrijving van het goede gedrag van de assistent, heeft in feite niet geantwoord.

Waarom het handhavingspunt ertoe doet

Een assistent kan worden gemanipuleerd door een kwaadaardig document of prompt. Controles die afhankelijk zijn van het goede gedrag van de assistent falen op dat moment. Controles die worden afgedwongen op de connector, zoals het buiten de context houden van tokens en het alleen toelaten van bestandsdata als de gebruiker een bestand bewust inleest, blijven wel werken.

Erfenis afdwingen op het Kiteworks Data Control Plane

Posture-tools beschrijven waar gevoelige data zich bevindt en IAM bepaalt wie mag inloggen. Geen van beide bepaalt wat een agent doet zodra hij namens een gebruiker handelt. Het Kiteworks Data Control Plane past identiteit, permissies en data-bewust beleid toe op dat moment, en de auditlog is onveranderbaar en kan je SIEM-tooling voeden. De Kiteworks Agent Marketplace is één manier om dit model in actie te zien, met agenten die als de aanvragende gebruiker binnen Kiteworks draaien.

Het werkt samen met je IAM-, DSPM– en DLP-tooling, die hun eigen rol behouden. Wil je het toegangsmodel samen met je security-architecten beoordelen? Plan een aangepaste demo en we nemen de controles stap voor stap door.