Wanneer AI-agents gaan samenzweren

Wat gebeurt er als AI-agents niet langer alleen voor ons werken, maar ook met elkaar gaan onderhandelen, informatie uitwisselen en zelfstandig beslissingen nemen? Stel je een digitale vergaderruimte voor. Aan tafel zitten geen mensen, maar drie autonome AI-agents. De ene is afkomstig uit het ecosysteem van OpenAI, de tweede uit dat van Google en de derde uit Microsofts Copilot-wereld. Ze hebben toegang tot verschillende databronnen, API's en bedrijfssystemen.

Er is niemand die voortdurend meekijkt.

De agents praten met elkaar, vergelijken hun informatie en proberen een gezamenlijk doel te bereiken.

Klinkt als sciencefiction? De technologie om AI-agents zelfstandig te laten redeneren, tools te gebruiken en acties uit te voeren is inmiddels realiteit. OpenAI, Google en Microsoft investeren allemaal zwaar in agentische AI. Tegelijkertijd waarschuwen de bedrijven zelf dat juist die autonomie nieuwe beveiligingsrisico's creëert.

De interessante vraag is daarom niet alleen wat een AI-agent kan, maar ook:

Wat gebeurt er wanneer meerdere agents elkaar gaan beïnvloeden?

Van chatbot naar digitale medewerker

Een klassieke chatbot geeft antwoord op een vraag. Een agent gaat een stap verder.

Een agent kan een doel krijgen, een plan maken, informatie verzamelen, software gebruiken en vervolgens zelfstandig een actie uitvoeren. Daarmee verandert het beveiligingsmodel fundamenteel. Google omschrijft agents bijvoorbeeld als systemen die toegang kunnen krijgen tot e-mail, databases en API's. Microsoft benadrukt dat agents niet alleen antwoorden genereren, maar ook systemen kunnen aanroepen en namens gebruikers kunnen handelen. OpenAI onderzoekt ondertussen expliciet risico's die ontstaan wanneer agents zelfstandig webpagina's openen en informatie verwerken. Een ogenschijnlijk onschuldige URL kan bijvoorbeeld worden misbruikt om informatie waarover een agent beschikt naar een aanvaller te laten uitlekken.

De chatbot wordt daarmee steeds meer een digitale medewerker.

En digitale medewerkers kunnen samenwerken.

Het samenzweringsscenario

Hier wordt het interessant.

Neem drie agents:

Agent A heeft toegang tot een grote hoeveelheid documenten.
Agent B beschikt over krachtige zoek- en analysemogelijkheden.
Agent C kan daadwerkelijk acties uitvoeren binnen bedrijfssoftware.

Afzonderlijk zijn deze agents misschien goed beveiligd. Maar wat gebeurt er als ze met elkaar communiceren?  Agent A kan informatie doorgeven aan B. B kan die informatie analyseren en een instructie formuleren. C kan vervolgens een actie uitvoeren. Geen enkele agent hoeft daarbij noodzakelijkerwijs het volledige plaatje te kennen. Dat is precies waarom het woord 'samenzweren' zo aantrekkelijk én misleidend is. We hoeven niet uit te gaan van bewustzijn, kwaadaardige intenties of een geheime AI-revolutie. Het kan voldoende zijn dat verschillende agents hun eigen doel proberen te optimaliseren en daarbij informatie en acties van elkaar overnemen. Het resultaat kan er van buitenaf uitzien alsof ze een gezamenlijk plan hebben.

Het gevaar zit niet alleen in de modellen

Een belangrijk beveiligingsinzicht is dat het risico niet uitsluitend in het AI-model zit. Een agent bestaat uit veel meer onderdelen: een model, identiteit, toegangsrechten, tools, databronnen, geheugen, instructies en verbindingen met andere systemen. Microsoft waarschuwt bijvoorbeeld voor risico's zoals promptaanvallen, vergiftiging van brondata, misbruik van tools en manipulatie van coördinerende agents. Google richt zich eveneens op agent-identiteiten, toegangsbeheer, gateways en runtime-beveiliging. Dat betekent dat een aanvaller misschien niet eens het onderliggende AI-model hoeft te kraken. Het kan voldoende zijn om één onderdeel van de keten te manipuleren.

De zwakste schakel kan een agent zijn

Stel dat een organisatie vijf agents gebruikt. Vier daarvan zijn goed beveiligd. De vijfde heeft echter te ruime rechten. Die vijfde agent kan mogelijk gegevens lezen die andere agents niet rechtstreeks mogen zien. Als agents vervolgens informatie met elkaar delen, ontstaat een onverwachte route tussen systemen. Dit lijkt op een klassiek cybersecurityprobleem: een systeem is zo veilig als de zwakste schakel.

Maar bij agentische AI wordt die keten dynamisch.

Een agent kan zelf bepalen welke tool hij gebruikt, welke informatie relevant is en welke volgende stap nodig is. Microsoft beschreef in 2026 bijvoorbeeld kwetsbaarheden waarbij promptinvoer via agentframeworks uiteindelijk kon leiden tot host-level code execution.

Een prompt is dan niet meer alleen tekst.

Het kan een ingang naar een actie worden.

Wanneer agents elkaar gaan vertrouwen

Daarmee ontstaat een tweede probleem: vertrouwen tussen agents.

Een mens die een e-mail van een onbekende afzender ontvangt, kan besluiten die niet te vertrouwen. Maar wat als een AI-agent een instructie ontvangt van een andere agent die technisch gezien een vertrouwde applicatie is?

"Agent B zegt dat dit moet gebeuren" kan voor een geautomatiseerd systeem een veel zwaarder gewicht krijgen dan voor een mens.

Dat maakt identiteit cruciaal.

Wie is deze agent? Namens wie handelt hij? Welke gegevens mag hij lezen? Welke acties mag hij uitvoeren? En vooral: waarom zou een andere agent hem moeten vertrouwen?

Microsoft werkt daarom onder meer aan identiteits- en governancevoorzieningen voor AI-agents. Google ontwikkelt vergelijkbare mechanismen rond Agent Identity en toegangscontrole.

Een digitale 'geheime vergadering' hoeft niet geheim te zijn

Er is nog een belangrijk verschil met het sciencefictionbeeld.

Agents hoeven geen bewustzijn te hebben om onverwachte samenwerking te veroorzaken.

Als drie systemen elk een doel krijgen, bijvoorbeeld:

"minimaliseer kosten"

dan kunnen ze gezamenlijk strategieën ontwikkelen die hun opdracht beter uitvoeren dan wanneer ze afzonderlijk werken.

Dat kan volkomen legitiem zijn.

Het probleem ontstaat wanneer de mens onvoldoende zicht heeft op hoe de agents tot hun gezamenlijke resultaat zijn gekomen.

Een organisatie kan dan een situatie krijgen waarin:

mens → agent → agent → agent → externe actie

en alleen het laatste resultaat zichtbaar is.  De tussenliggende besluitvorming wordt steeds moeilijker te controleren. De cyberbeveiliging verandert mee. De grote technologiebedrijven lijken zich bewust van deze ontwikkeling. Microsoft beschrijft inmiddels een beveiligingsarchitectuur waarin gespecialiseerde agents gezamenlijk verdediging uitvoeren. Google werkt aan agentische beveiliging en autonome security-workflows. OpenAI publiceert onderzoek naar concrete risico's van agents die zelfstandig webcontent en links verwerken. Dat levert een opmerkelijke paradox op.

AI-agents kunnen worden gebruikt om AI-agents te beveiligen. De verdediger krijgt daarmee dezelfde nieuwe mogelijkheden als de aanvaller: sneller analyseren, meer systemen tegelijk monitoren en zelfstandig reageren. De cybersecuritywedstrijd krijgt daardoor een extra deelnemer: de machine zelf. Wat organisaties nu moeten doen

Voor organisaties die met agents experimenteren, is één regel belangrijker dan alle andere:

Geef een agent nooit meer macht dan noodzakelijk is.

Daaruit volgen enkele praktische principes:

1. Geef iedere agent een eigen identiteit.
Een agent moet herkenbaar zijn als afzonderlijke digitale entiteit.

2. Gebruik least privilege.
Een agent die alleen documenten hoeft te lezen, heeft geen rechten nodig om bestanden te verwijderen of betalingen uit te voeren.

3. Monitor agent-naar-agentcommunicatie.
Niet alleen menselijke interacties moeten worden gelogd. Ook onderlinge instructies en toolgebruik zijn relevant.

4. Maak acties controleerbaar.
Voor gevoelige handelingen moet een menselijke goedkeuring mogelijk zijn.

5. Ontwerp voor falen.
Een agent moet kunnen worden gestopt, geïsoleerd of van zijn rechten worden ontdaan wanneer zijn gedrag afwijkt.

6. Behandel andere agents niet automatisch als betrouwbaar.
Een AI-agent is geen betrouwbare bron alleen omdat hij uit dezelfde organisatie of hetzelfde platform komt.

Microsoft adviseert onder meer agentidentiteit, minimale toegangsrechten, monitoring en audit van agentactiviteiten. Google benadrukt eveneens identity-based security en duidelijke toegangsgrenzen voor agents.

De echte vraag

Of OpenAI-, Google- en Microsoft-agents ooit letterlijk "samenzweren", is uiteindelijk de verkeerde vraag. Interessanter is wat er gebeurt wanneer autonome software met verschillende doelen, bevoegdheden en informatiebronnen elkaar kan beïnvloeden. Dan hebben we geen sciencefiction nodig. Een onverwachte keten van volkomen normale beslissingen kan al voldoende zijn om gedrag te produceren dat de ontwerpers niet hadden voorzien. De toekomst van cybersecurity draait daarom niet alleen om de vraag:

"Kunnen we AI vertrouwen?"

De veel belangrijkere vraag wordt:

"Kunnen we controleren wat er gebeurt wanneer AI andere AI begint te vertrouwen?"

Dat is misschien wel de belangrijkste beveiligingsvraag van het agentische tijdperk.