Agent-isolatiegrenzen: waarom de verdediging naar de effectgrens verschuift

Waarom prompt-filters de race niet winnen

LLM-agenten handelen met de autoriteit van hun gebruiker op alles waar ze toegang toe hebben. Een coding-agent krijgt een repository, een shell en netwerktoegang. Die bereikbaarheid is precies wat de agent nuttig maakt, en tegelijk wat een aanvaller kan sturen. Alles wat de agent binnenkrijgt, kan een geïnjecteerde instructie bevatten, en het model onderscheidt instructies niet betrouwbaar van data.

De bestaande verdedigingen werken op drie niveaus, en alle drie schieten structureel tekort. Prompt- en modelniveau-defenses maken het minder waarschijnlijk dat de agent een geïnjecteerde instructie volgt, maar geven geen structurele garantie dat hij dat niet doet. Framework-niveau-defenses geven wel structurele garanties, maar vereisen een aangepaste harness, sluiten closed-source agenten uit, en raken ongeldig bij elke agent-update. Bovendien mediëren ze alleen via de gedeclareerde tool-interface: een script dat de agent zelf schrijft en uitvoert, valt buiten hun bereik.

Twee papers die deze week verschenen trekken dezelfde conclusie uit verschillende hoeken: verdedig niet op de input, maar op de effectgrens. Niet wat de agent leest, maar wat de agent doet — de tool call, de shell-command, de bestandsoperatie, de klik — wordt de verdedigingslinie.

Kairos: de referentiemonitor op de isolatiegrens

Kairos (Hempel, Loose, Cavallaro, Eisenbarth — Universität zu Lübeck, UCL, MBZUAI) plaatst een referentiemonitor op de isolatiegrens van een ongemodificeerde, ondoorzichtige agent. Dat is het fundamentele verschil met framework-defenses: Kairos vereist geen samenwerking van of aanpassing aan de agent.

De kern van het probleem dat Kairos oplost, is een structurele moeilijkheid die eerdere verdedigingen niet konden omzeilen. Legitiem werk en de eerste stap van een aanval zien er identiek uit wanneer je één actie observeert. Wat ze scheidt, ligt pas later in het spoor. Een monitor die beperkt is tot allow/deny moet beslissen vóórdat het bewijs zich opstapelt. Kairos lost dit op met deferral: effecten die het beleid niet kan goedkeuren worden vastgehouden terwijl de agent speculatief doorgaat, tot een beslisoracle (een taalmodel of een mens) ze vrijgeeft of weigert op basis van de volledige trace.

De implementatie draait de agent in een microVM (Cloud Hypervisor). Bestandseffecten worden gestaged in een overlay-laag en via FUSE geëxporteerd; netwerkeffecten lopen door een TLS-terminerende proxy die verzoeken stalt tot ze zijn opgelost. De overhead is ~1,9 ms per bestandsoperatie en ~1,2 ms per verzoek — verwaarloosbaar naast model-inferentie.

Het resultaat is meetbaar. Op AgentDojo verlaagt Kairos het aanvalssucces van 47,0% naar 2,7%, terwijl het nuttige nut op het niveau van de onverdedigde agent blijft (85,1% tegen 82,7%). De framework-defenses waarmee het wordt vergeleken bereiken óf iets lager aanvalssucces tegen minder dan de helft van het nut, óf verliezen op beide. Een strikte configuratie die alles weigert wat het beleid niet kan goedkeuren, laat het aanvalssucces ongewijzigd maar voltooit slechts 42,7% van de nuttige taken — deferral met de oracle herstelt dat nut zonder meetbare kosten in beveiliging. Dit houdt ook stand tegen een adaptieve aanvaller die zijn injecties herschrijft tegen Kairos.

SA-CUA: de trust boundary voor Computer Use Agents

Waar Kairos de effectgrens beveiligt voor coding-agents die via tools opereren, richt SA-CUA (Seip, Markovinovic, Hein — Tübingen AI Center) zich op Computer Use Agents (CUA's): agenten die visueel op het scherm opereren via muis en toetsenbord, zoals Anthropic's computer use of OpenAI's Operator.

CUA's hebben een fundamenteel ander probleem. Een tool-use agent heeft een gestructureerde interface waarop je types en grenzen kunt afdwingen. Een CUA verwerkt een screenshot waarin vertrouwde first-party UI en onvertrouwde, mogelijk door een aanvaller geschreven content verstrengeld zijn, zonder getypeerde waarden om labels te dragen. Elke klik kan op een applicatie-toolbar landen of op een knop die de aanvaller controleert.

SA-CUA bouwt een betrouwbare trust boundary door deterministische regels af te leiden uit de accessibility tree (AT-SPI), om vertrouwde regio's te ontmaskeren vóórdat ze het geprivilegieerde model bereiken. Het geprivilegieerde model ziet dus alleen een screenshot waarin elk onvertrouwd element is gemaskeerd — zijn context blijft vertrouwd. Voor data-afhankelijke taken introduceert SA-CUA een endorsement channel: waarden die de trust boundary overschrijden worden geverifieerd via onafhankelijke vertrouwde bronnen (de parametrische kennis van het model, vertrouwde domeinen, contacten), in plaats van herhaalde bevestigingsvragen die tot bevestigingsmoeheid leiden.

Het resultaat: SA-CUA houdt een aanvalssucces van nul vast terwijl het een veel hoger nut behoudt dan CaMeL-CUA, de eerdere state-of-the-art. De automatische labeling is betrouwbaar met nul lekkage van onvertrouwde vrije tekst (0% voor SA-CUA tegen 44,1% voor UCM bij Qwen3.8-27B).

Eén these, twee agent-types

De twee papers vormen samen een coherente these: de verdedigingslinie verschuift van wat de agent leest naar wat de agent doet. Kairos doet dat voor coding-agents door elk effect — of het nu uit een tool call of een door de agent geschreven script komt — door dezelfde isolatiegrens te laten kruisen. SA-CUA doet het voor CUA's door de trust boundary te bouwen op de grens tussen vertrouwde en onvertrouwde schermregio's. Beide vervangen de fragiele belofte van alignment-training en safety-classifiers door een structurele, architecturele garantie.

De les voor wie vandaag agenten deployeert is ongemakkelijk. Bestaande implementaties vertrouwen op alignment-training of safety-classifiers, en géén van beide sluit indirecte injectie uit. Kairos toont expliciet aan dat per-actie allow/deny onvoldoende is, omdat legitiem werk en de eerste stap van een aanval er identiek uitzien. Organisaties die agenten in productie nemen zonder isolatiegrens lopen een onzichtbaar risico dat pas zichtbaar wordt wanneer een geïnjecteerde instructie is uitgevoerd.

Dit sluit direct aan op onze eerdere analyses van hetzelfde probleemveld: One Word Opens the Gate toonde hoe een enkel woord een guardrail kan omzeilen, en Attacks on AI Agent Systems liet zien hoe prompt-injectie in single- én multi-agentsystemen werkt. Kairos en SA-CUA bieden het antwoord dat die analyses impliciet eisten: geen betere filter, maar een architecturele grens waarop de filter niet langer de laatste verdedigingslinie is.

De compliance-koppeling voor de Nederlandse publieke sector

Deze verschuiving heeft directe regelgevende consequenties. De EU AI Act, artikel 15 eist dat hoogrisico-AI-systemen bestand zijn tegen pogingen om ze te manipuleren — indirect prompt-injectie is precies zo'n poging. De NIS2-omzetting (Cyberbeveiligingswet) verplicht essentiële entiteiten bovendien tot technische beveiligingsmaatregelen voor AI-onderdelen in kritieke infrastructuren.

Voor Nederlandse overheidsorganisaties die CUA's of coding-agents overwegen, verandert dit de due-diligence-vraag. De AI Act art. 14 (menselijk toezicht) vereist dat menselijke tussenkomst mogelijk blijft. SA-CUA's ontwerppunt — menselijke input alleen bij taakspecificatie, niet bij elke actie — is daarmee niet alleen een technische maar een governance-relevante keuze. En Kairos' beslisoracle kan expliciet door een mens worden vervangen, wat een aantoonbaar punt van menselijk toezicht oplevert dat in een conformiteitsdossier kan worden opgenomen.

De architectuurvraag die Nederlandse CISO's zich moeten stellen is concreet: vertrouwt u op een safety-classifier die indirecte injectie waarschijnlijk tegenhoudt, of op een isolatiegrens die structureel garandeert dat elk effect door een monitor gaat? Het verschil is het verschil tussen een beveiligingsmaatregel die u in uw ISMS-dossier kunt opnemen als technische controle, en een belofte die u niet kunt aantonen.

Beperkingen, en wat er nog ontbreekt

Beide papers verdienen een eerlijke lezing, niet alleen enthousiasme. Kairos richt zich op coding-agents en vereist dat de operator een declaratief beleid schrijft over welke bronnen vertrouwd zijn — de kwaliteit van de verdediging hangt af van de kwaliteit van dat beleid. De microVM-aanpak werkt voor agents die via bestands- en netwerkoperaties opereren, maar niet voor CUA's die visueel op het scherm handelen. SA-CUA op zijn beurt vereist AT-SPI accessibility trees, wat het beperkt tot desktopomgevingen die die interface bieden; de aanvalssucces van nul is gemeten op een specifieke benchmark en moet zich bewijzen tegen adaptieve aanvallers op langere termijn.

Wat nog ontbreekt, is de derde pijler die de arxiv-scan van deze week identificeerde: versleutelde skills als supply-chain-aanvalsvector. Een isolatiegrens beschermt tegen instructies die de agent volgt, maar niet per se tegen instructies die verstopt zitten in gecodeerde skill-bestanden die de agent decodeert. De isolatiegrens en de supply-chain-audit zijn complementaire, geen concurrerende, verdedigingen.

De bredere implicatie voor de Nederlandse publieke sector is dat agent-beveiliging geen model- of productkeuze meer is, maar een architectuurkeuze. Wie agenten op schaal wil inzetten onder BIO2, NIS2 en de AI Act, moet de vraag stellen die beide papers impliciet stellen: waar ligt uw effectgrens, en wie controleert wat eroverheen gaat?