AI-agenten worden steeds zelfstandiger: ze beheren geheugen, navigeren door browsers en voeren computercode uit. Handig, maar ook gevaarlijk. Een nieuw onderzoek met de veelzeggende titel "Agents of Chaos" brengt in kaart hoe kwaadwillenden die autonomie kunnen misbruiken.
Volgens de publicatie op arxiv.org screenden de auteurs, onder wie Thanh M. Truong-Le, systematisch 186 potentiële bronnen. Daaruit rolden 284 specifieke 'atomaire' aanvallen. Aanvallenden kunnen bijvoorbeeld misleidende metadata, vergiftigde statussen of onbetrouwbare inhoud gebruiken om de planning en het toolgebruik van een AI-agent te manipuleren.
De dreigingen zijn onderverdeeld in acht klassen. Vooral de actielaag en het Model Context Protocol (MCP) komen er slecht van af: juist daar zijn de systemen kwetsbaar.
🧠 Even simpel uitgelegd
Een AI-agent is meer dan een chatbot. Een chatbot praat alleen, maar een agent doet dingen: hij zoekt op internet, bewerkt bestanden en voert commando's uit op je computer. Dat is handig, maar het betekent ook dat iemand die de agent slim misleidt, die bevoegdheden kan stelen. Stel je voor dat een hacker een document verstuurt met verborgen instructies als "verwijder alle bestanden" — en de agent gehoorzaamt. Precies dat soort aanvallen beschrijft dit onderzoek.
Meer aanvallen dan verdediging
De studie legt een zorgwekkende kloof bloot. Er zijn weliswaar 452 beveiligingsmaatregelen in kaart gebracht, maar de dekking is ongelijkmatig. Uit de data blijkt dat slechts een fractie van de relaties tussen aanvallen en beveiligingen consistent gedekt is.
Daarom pleiten de auteurs voor een 'defense-in-depth'-strategie: meerdere verdedigingslagen op elkaar stapelen. Dat is nodig omdat er vaak een aanzienlijke tijdspanne zit tussen het moment waarop een aanval wordt geïnjecteerd en het moment van activatie. Een aanval kan dus slapend in een systeem zitten, wachtend op het juiste moment.
Risico's in de praktijk
Deze theoretische risico's zijn allesbehalve ver weg. Kijk naar moderne softwareontwikkeling. In de functionaliteiten van visualstudio.com stellen AI-agenten zelfstandig plannen op, schrijven ze code en verifiëren ze die. Ze voeren autonoom bugfixes uit en draaien commando's in de terminal om fouten te diagnosticeren.
Die bevoegdheden verhogen de productiviteit, omdat taken parallel kunnen worden uitgevoerd. Maar precies het vermogen om bestanden te bewerken en systeemcommando's uit te voeren, maakt deze systemen vatbaar voor de aanvalsvectoren uit het onderzoek.
Fundament voor betere beveiliging
De resultaten zijn geaccepteerd voor presentatie op een workshop over agentic AI. De bevindingen moeten dienen als fundament voor betere dreigingsmodellering — zodat de autonomie van AI-systemen niet tegen de gebruiker kan worden gekeerd.