Agentic Process Evidence: hoe je een ongrijpbaar proces verantwoordelijk houdt

In het kort

AI-agents schrijven nu pull requests, kiezen dependencies en zetten infra-wijzigingen door, maar hun redeneringen en tool-calls verdwijnen zodra de sessie eindigt. Agentic Process Evidence (APE) is een ondertekende, manipulatiebestendige attestatie die een agent-sessie koppelt aan de commit die hij beïnvloedde, en daarmee de ontbrekende schakel levert die governance van agent-processen mogelijk maakt.

Het Agentic Process Evidence-paper (Yuval Kainan en Carmit Hershman, JFrog) vertrekt vanuit een simpele constatering. Elk governance-kader, elke audit-trail en elke compliance-controle in de software-ontwikkelketen is gebouwd op één aanname: een mens nam de beslissing. Die aanname houdt niet langer stand.

De ontbrekende schakel

De cijfers onderstrepen de verschuiving. In april 2026 schreef Sundar Pichai dat 75% van alle nieuwe code bij Google door AI wordt gegenereerd en door engineers goedgekeurd, tegen 50% het najaar ervoor. Satya Nadella meldde een jaar eerder dat in sommige Microsoft-repositories 20 tot 30% van de code door software was geschreven. De auteurs benadrukken zelf dat deze metingen niet identiek zijn en geen industrieconsensus vormen, maar ze beschrijven dezelfde beweging.

Het git-logboek is echter voor mensen ontworpen. Het toont wat er veranderde, maar niet welke agent het deed, welk model, welke tools hij aanriep, of wie aansprakelijk was. Drie procedurele problemen volgen daaruit:

• Supply-chain-vector: de agentische codeerder is software, dus een supply-chain-risico.
• Policy-guardrails: hoe waarborg je dat de agent voldoet aan de policies van de organisatie.
• Task-alignment: hoe lijn je de agent uit op zijn taken en doelen.

Wat APE toevoegt

APE is een ondertekende, manipulatiebestendige, machine-leesbare attestatie van agent-processen, die sessies koppelt aan hun uitkomst via process-aware logging. Het stelt Policy-as-Code-controle over agent-processen mogelijk, met human-in-the-loop alleen waar nodig. Het protocol sluit aan op het in-toto-stijl attestatiekader: in-toto behandelt een supply chain als ondertekende link-metadata, SLSA gebruikt die vorm voor build-provenance, DSSE wikkelt de ondertekende payload, en Sigstore maakt ondertekenen goedkoop door kortlevende sleutels aan identiteiten te binden.

De kern van de paper is precies de ontbrekende schakel te benoemen: er bestaan al tools om een statement te ondertekenen en te evalueren, en om een supply chain als metadata te verifiëren. Wat ontbreekt, is de link zelf: niets koppelt een agent-sessie aan de commit die die sessie beïnvloedde.

Wat de paper niet doet

Dit is een kader- en protocolpaper, geen empirische evaluatie. De paper definieert de attestatievorm, de systeemarchitectuur (agent-runtime-zijde, gating-systeem-zijde, semantische policy-integratie) en twee use-cases (menselijke code-ontwikkeling en autonome code-ontwikkeling), maar rapporteert geen gemeten adoptie, geen incidentreductie en geen veldtest. De "alignment"-stap, zoals het vergelijken van een code-wijziging met een in proza beschreven requirement, valt bovendien buiten de deterministische check. Wie dit leest als een bewezen oplossing, overclaimt; het is een voorgestelde standaard die de leemte aanwijst.

Attestatie is geen verantwoording

APE slaat de juiste brug, maar het is verleidelijk om te veel van een ondertekende attestatie te verwachten. Drie grenzen zijn fundamenteel.

• Ondertekening bewijst dat iets gebeurde, niet dat het juist was. Een agent die kwaadwillig of foutief handelt, produceert een perfect ondertekende attestatie van die handeling. Attestatie maakt een proces reconstructeerbaar, niet automatisch toelaatbaar.
• De attestatie is een claim van het systeem over zichzelf. Ze komt van de agent-runtime zelf, niet van een onafhankelijke verifier. In het in-toto/SLSA-model zit de waarde juist in die onafhankelijke controle; bij APE ontbreekt die derde partij.
• Het hardste probleem blijft open. Policy-as-Code kan deterministisch checken of een attestatie aan een regel voldoet, maar de semantische stap, of een code-wijziging werkelijk de bedoeling van een proza-requirement vervult, valt erbuiten. APE lost het eenvoudigste deel op (ondertekende logging) en laat het moeilijkste (taakuitlijning) aan mensen.

Dit is bovendien een positie-paper van JFrog, een commercieel bedrijf dat een productrichting legitimeert. Dat maakt het voorstel niet ongeldig, maar het is een leveranciersperspectief zonder onafhankelijke adoptie of gemeten incidentreductie.

Nederlandse consequentie

De relevantie voor Nederlandse organisaties is direct, omdat de verantwoordingsplicht niet verdwijnt als de beslisser een agent wordt.

• NIS2 art. 21 verplicht entiteiten tot risicobeheer- en beveiligingsmaatregelen in de toeleveringsketen. Een agentische codeerder die dependencies kiest en infra wijzigt, is een supply-chain-component. Zonder attestatie kun je achteraf niet aantonen welke stap welke uitkomst produceerde.
• AI Act art. 12 (registratie en logging) en art. 10 (datagovernance) veronderstellen dat je kunt terugvinden wat een systeem deed. Een ephemeral proces zonder attestatie maakt die verplichting onuitvoerbaar.
• BIO2 B.3.3 en B.3.5 vereisen technische kwetsbaarheden- en cryptografische beveiliging; ondertekende, manipulatiebestendige proces-logging is precies die klasse van maatregel.

Het sluit aan op wat we eerder signaleerden: de autonome aanvalsketen maakt van agents actoren, en een actor zonder audit-trail is een verantwoordingsgat. APE is een antwoord op dezelfde vraag die Traccia al stelde voor AI-systemen: hoe maak je runtime-gedrag bewijsbaar. Waar APE het verantwoordingsprobleem adresseert, adresseert pre-crime-detectie het detectieprobleem: samen signaleren ze dat agentic AI een aanvalsoppervlak is dat én detecteerbaar én verantwoordbaar moet zijn.

Wat te doen

1. Behandel agentische codeerders als supply-chain-componenten, niet als neutrale tools. Registreer ze in uw NIS2-asset- en leveranciersregister.
2. Eis van uw agent-platformen een attestatie- of provenance-mechanisme dat een sessie aan zijn uitkomst koppelt, niet alleen een outputlog.
3. Begin met Policy-as-Code voor de agentische stappen waar de impact het grootst is: dependency-keuze, infra-wijzigingen en merge-beslissingen.

Zie ook

• Van runtime-records naar juridische bevindingen: bewijskracht voor agentic-AI-toezicht
• Traccia: een OpenTelemetry-gebaseerd governance-platform voor AI-systemen
• Autonome aanvalsketens: waarom agent-security niet met promptfilters is op te lossen
• Pre-crime voor agents: een probe ziet dat een agent gaat zwichten

---

Bron: Agentic Process Evidence: Process-Aware Logging for Agentic Governance, Yuval Kainan en Carmit Hershman (JFrog), arXiv 2610.40071, oktober 2026.