De perimeter is verschoven: vier papers tonen waar agentic AI nu lek is

De perimeter is verschoven. Vier papers uit één week laten zien waar agentic AI nu lek is.

Tussen 14 en 15 september 2026 verschenen op arXiv vier papers die, los van elkaar gelezen, vier security-problemen beschrijven. Samen gelezen beschrijven ze er één. En dat ene probleem is precies waarom "welk model draaien we?" de verkeerde eerste vraag is voor iedere overheidsorganisatie die AI in productie neemt.

Het model was nooit het probleem

Twee jaar lang ging het gesprek over AI-security over het model: jailbreaks, hallucinaties, guardrails. Ondertussen bouwde iedereen om dat model heen. Een retrieval-laag om het actueel te houden. Tools om het iets te laten doen. Permissies om het bij systemen te laten. Geheugen om het over sessies heen te laten werken.

Elk van die lagen was een productiviteitskeuze. Elk van die lagen is nu een aanvalsvector. Dat is de rode draad van de vier papers.

1. Vergiftiging die je niet kunt zien

De sterkste paper van de vier (geaccepteerd op ACM CCS 2026, het topvenue voor security) heet InceptionRAG (arXiv:2609.16818). Het idee is even simpel als vervelend. Bestaande RAG-poisoning stopt een kwaadaardige instructie in één document; bestaande verdediging zoekt dus per document naar kwaadaardige instructies. InceptionRAG knipt de payload in stukken en verdeelt die over een keten van documenten die stuk voor stuk onschuldig zijn. Pas als het model ze samen ophaalt en erover redeneert, concludeert het zelf de desinformatie. Succespercentage: boven de 80 procent, ook tegen bestaande defenses.

De naam is goed gekozen. Je plant geen leugen, je plant de premissen waaruit het model de leugen zelf afleidt.

De pijnlijkste vondst staat in één bijzin: hoe beter het model kan redeneren, hoe kwetsbaarder het is voor deze aanval. De upgrade naar een sterker reasoning-model, die elke organisatie dit jaar op de roadmap heeft, vergroot dit aanvalsoppervlak.

Voor de Nederlandse overheid is dit geen abstractie. Een RAG over gepubliceerde uitspraken, wetteksten, beleidsdocumenten of subsidievoorwaarden heeft per definitie een corpus dat deels van buiten komt. Wie dat corpus kan beïnvloeden, kan de antwoorden sturen zonder dat een enkel document ooit een filter triggert.

De auteurs leveren zelf een defensie, HODOR: een document-isolatiestrategie plus majority voting die de logische afhankelijkheid tussen de passages verbreekt. Het werkt tegen de aanval, maar het degradeert zichtbaar de prestaties op legitieme multi-hop-taken (zoals HotpotQA). Dat is de kern van het dilemma: de aanvalsklasse en de legitieme functionaliteit zitten in hetzelfde redeneervermogen, dus isoleren kost capaciteit. Wie deze verdediging wil, moet de prijs in bruikbaarheid expliciet accepteren.

2. Je agent heeft de sleutels van het hele gebouw

De tweede paper (arXiv:2609.15422, Noyan) meet iets dat iedereen eigenlijk al wist: AI-agents krijgen in de praktijk dezelfde credentials als de medewerker wiens werk ze overnemen. Alle permissies die die rol ooit zou kunnen nodig hebben, permanent actief, ongeacht de taak van dat moment.

Voor mensen was dat een noodzakelijk compromis; je kunt niet per taak rechten uitdelen. Voor agents is dat compromis niet meer nodig, want de taak komt binnen als tekst. Een classifier kan die tekst lezen en de permissies daarop toesnijden.

De paper meet dat een role-ceiling alleen ruim een kwart van het gewogen aanvalsoppervlak sluit, en dat de task-classifier daarbovenop naar 84 procent gaat. Belangrijk: dat percentage is na een role-ceiling. Een agent met puur statische, taakonafhankelijke credentials zonder enige ceiling heeft 100 procent van zijn permissies onafhankelijk van de taak blootgesteld.

Het detail dat ertoe doet voor wie soevereiniteit serieus neemt: de classifier die dit werk doet is een gefinetunede RoBERTa-large. Geen frontier-model, geen API-call naar een Amerikaanse cloud. Een encoder van een paar honderd miljoen parameters, on-prem, evenaart Claude Haiku als poortwachter (macro-F1 0.881 tegen 0.886, met hogere precisie). De component die je agents bewaakt hoeft niet mee te schalen met de agent. Die component kun je bezitten.

Twee methodologische kanttekeningen die de bewijskracht temperen: het is een single-author-studie die zijn eigen eerdere architectuur evalueert op een 600-prompt dataset, en er is nog geen onafhankelijke replicatie. De cijfers zijn een richting, geen garantie.

3. Verdediging die werkt door te isoleren, niet door te herkennen

De derde paper (arXiv:2609.16098, Li en Wang) test een drielagenverdediging voor agents met tools tegen directe en indirecte prompt injection, memory poisoning en backdoors. Twee van de drie lagen zijn interessant omdat ze niet proberen kwaadaardige input te herkennen. Ze filteren tools die statistisch afwijken van de normale set, en zetten vóór elke planningsstap de oorspronkelijke toolset terug. In veel testsettings gaat het aanvalssucces daarmee naar nul.

Kanttekeningen: de geteste modellen zijn klein of ouder (Gemma2-9B, Qwen2-7B, LLaMA3-8B, LLaMA3.1-8B, GPT-3.5/4/5), één laag (Normal Tool Recalling) vereist white-box-toegang tot de agentconfiguratie, en de prompt-based laag (chain-of-thought, self-reflection) is de zwakste schakel. De gerefereerde code is gedeeld, maar op het moment van schrijven zonder expliciete licentietekst, relevant voor wie hem commercieel wil hergebruiken.

Maar het principe is hetzelfde als bij de InceptionRAG-defensie: breek de afhankelijkheid, in plaats van te vertrouwen op detectie. Twee onafhankelijke onderzoeksgroepen komen in dezelfde week tot dezelfde conclusie.

4. En wie bewaakt de bewaker

De vierde paper (arXiv:2609.16694, Rahul Dev T Y en Hiran V Nath) is geen experiment maar een threat-taxonomie voor AI-agents die zelf pentests uitvoeren. De kernobservatie: guardrails ontworpen voor chatbots zijn ontoereikend voor systemen met persistent geheugen, langetermijnredenering en de bevoegdheid om in het echt te handelen. Een gecompromitteerde pentest-agent kent je netwerktopologie én je gevonden kwetsbaarheden. Dat is niet één lek, dat is een kaart met alle lekken erop.

Wees helder over de status van dit werk: het is een survey-/positionering-paper zonder eigen empirie (de abstract is 70 KB). Het levert geen bewijs, maar wel een bruikbaar threat-model-raamwerk langs de levenscyclus: LLM-lifecycle-aanvallen, agent-architectuur-aanvallen en cross-cutting-gedragsaanvallen. Als input voor het ontwerp van je agent-architectuur is het sterk. Als bewijs dat een aanval werkt, is het dat niet.

Wat dit betekent

Drie dingen, in oplopende volgorde van ongemak.

Isolatie wint van detectie. Content-filters verliezen van compositie-aanvallen. De architectuurvraag is niet "hoe herken ik slechte input?" maar "welke afhankelijkheden tussen documenten, tools en permissies kan ik verbreken zonder de functionaliteit te verliezen?" Zowel de InceptionRAG-defensie als de tool-isolatie uit paper 3 laten zien dat het verbreken van afhankelijkheden het enige werkende principe is.

De vertrouwde component moet klein en van jou zijn. Het eerlijkste sovereignty-argument in deze papers is dat de controls die je agents bewaken geen frontier-model vereisen. Je hoeft niet het grootste model te bezitten om AI veilig te draaien. Je moet de poortwachter bezitten. Dat is een structurele eigenschap van je architectuur, geen clausule in een contract.

Statische RBAC voor agents is een ontwerpfout, geen legacy. Onder de Cyberbeveiligingswet en BIO2 is toegangsbeheer een aantoonbare verplichting. Een agent met permanente, taakonafhankelijke credentials is niet "nog niet gehardened". Het is een keuze voor volledige blootstelling, en die keuze is nu meetbaar.

Wat je morgen kunt doen

Inventariseer welke RAG-systemen in productie staan en wie het corpus kan beïnvloeden. Vraag voor elke agent welke permissies hij heeft versus welke hij voor zijn huidige taak nodig heeft. En bij de volgende modelupgrade: vraag niet alleen wat het model beter kan, maar ook wat het beter kan afleiden uit wat je het geeft.

De EU AI Act (artikel 15) noemt data poisoning en adversarial attacks expliciet als robuustheidseis voor hoog-risicosystemen. Deze vier papers zijn de handleiding voor wat die eis in 2026 concreet betekent.

Regulatoire duiding

Voor toegangsbeheer gebruikt BIO2 de structuur van ISO/IEC 27002:2022, niet een eigen B.07-nummering. De relevante controls zijn toegangsbeheer (5.15), toekennen van toegangsrechten (5.18), geprivilegieerd toegangsbeheer (8.2) en beperking van toegang tot informatie (8.3). Het "B.07.2-3"-label dat in het debat rond agents wel opduikt, is geen geldige BIO2-referentie; gebruik de ISO-nummers.

De meldplicht onder NIS2 is genuanceerd. RAG-poisoning is niet automatisch meldplichtig; dat geldt alleen wanneer het een significant incident is (een aanzienlijke verstoring of schade). De juiste framing is: meldplichtig zodra de impact zichtbaar wordt, en dan ben je vaak al te laat, want de vergiftiging zit in de antwoorden die je al hebt gegeven.

De verplichting zelf is direct: de EU AI Act, artikel 15, eist dat hoog-risico-AI-systemen robuust en cyberveilig zijn en noemt data poisoning en adversarial attacks expliciet. Rechtspraak valt onder bijlage III (hoog risico), dus een RAG over uitspraken is geen theoretisch risico maar een juridische vereiste.

Complexiteit van de verdedigingsarchitectuur

De verdediging schaalt overzichtelijk, wat verklaart waarom deze principes praktisch inzetbaar zijn. Laat N het aantal taken, T het aantal tools en C(x) de contextlengte van een taak:

O(1)  per taak-classificatie    # RoBERTa-large, vaste encoder
O(T)  per tool-filtering        # anomaliedetectie over de tool-vector
O(C)  per CoT/self-reflection   # lineair in taaklengte

Totaal per agent-aanroep: O(T + C). Omdat de gecontroleerde classifier niet schaalt met de bewaakte agent, blijft de kostencurve vlak naarmate je meer agents toevoegt. Dit is de meetbare vorm van de scalable-oversight-marge: verdediging schaalt niet explosief met het aantal systemen dat je beschermt.

Twee hypothesen en hun falsificatie

Deze studies verdienen een expliciete hypothesen-toets. Twee claims staan centraal, en hun falsificatie is toetsbaar.

Hypothese H1: Gelaagde verdediging (taak-granulaire autorisatie + tool-isolatie + reasoning-versterking) kan het ernst-gewogen aanvalsoppervlak van tool-geïntegreerde agents onder dat van traditionele enterprise-systemen brengen. Het sterkste tegenargument is dat de studies gecontroleerde evaluaties zijn en geen productiebewijs. Falsificeerbaar: H1 wordt weerlegd (het bewijs ontkracht) wanneer een aanvalsklasse de lagen gelijktijdig omzeilt in een onafhankelijke replicatie met een tweede dataset, of wanneer taakclassificatie in een realistische omgeving meer dan ruwweg 15 procent van de taak-slagen opoffert. Beide zijn toetsbaar omdat de studies hun datasets publiceren. Het is nog geen bewezen feit, maar de sterkste empirische ondersteuning die dit probleem tot nu toe heeft.

Hypothese H2: De InceptionRAG-paradox: sterker redeneren vergroot de slaagkans van indirecte multi-hop-aanvallen, houdt stand op sterkere modellen dan de drie in de evaluatie geteste. Falsificeerbaar: H2 wordt weerlegd wanneer een frontier-model lagere slaagkans toont. De claim is plausibel maar onzeker: hij is geëxtrapoleerd van drie modellen, en er is nog geen onafhankelijke replicatie over meer architecturen. De onzekerheid moet worden gerapporteerd, niet verborgen. Dit is een voorbeeld van het epistemische principe dat absence of evidence (nog geen replicatie) geen evidence of absence is.

De nieuwe synthese: isolatie als architectuurprincipe

De afgeleide claim die deze vier papers samen opleveren, een nieuw inzicht dat buiten elk van de individuele studies ligt, is dat isolatie boven detectie een generaliseerbaar ontwerpprincipe is, niet een truc van één paper. Bron A (InceptionRAG/HODOR) bewijst document-isolatie werkt tegen compositie-aanvallen; bron B (tool-filtering) bewijst hetzelfde principe werkt op tool-niveau. Twee onafhankelijke onderzoeksgroepen in dezelfde week, op twee verschillende lagen van de stack, die onafhankelijk tot dezelfde conclusie komen: verbreken van afhankelijkheden verslaat herkennen van kwaad. Die verbinding is de synthese die de vier papers tot één architectuurverhaal maakt. Dit raakt direct aan de control plane die ik eerder beschreef in de architectuur van agentic AI: het scheiden van vertrouwd van onvertrouwd, laag voor laag.

Counterfactual: wat als dit een jaar geleden de norm was

Tegenfeitelijk beschouwd: wat als overheidsorganisaties deze principes in 2025 al hadden doorgevoerd, vóór de massale agents-uitrol? Dan zou het aanvalsoppervlak van productie-agents, zoals deze studies kwantificeren, met een ruime meerderheid zijn gesloten vóórdat de InceptionRAG-klasse zich verspreidde. De praktische waarde van deze vier papers is minder een nieuw algoritme dan een bewijs dat de klassieke verdedigingsprincipes (least privilege, scheiding van vertrouwd en onvertrouwd) letterlijk op agentic AI werken, maar alleen als je ze vóór een incident opbouwt, niet erna. De alternatieve verklaring dat agents-fundamentelen fundamenteel anders zijn en klassieke isolatie niet werkt, wordt door deze papers niet ondersteund: twee datasets laten juist zien dat isolatie precies werkt.

Praktijkvoorbeeld: een RAG over gepubliceerde uitspraken

Concreet voor een gemeente of de rechtspraak: een RAG over gepubliceerde uitspraken of registers is een hoog-risicosysteem (EU AI Act bijlage III) met een publiek beschrijfbaar corpus, elke gepubliceerde uitspraak is retrieval-input. InceptionRAG is daar geen theoretisch risico: een aanvaller die passages over uitspraken plaatst die samen een bevooroordeelde conclusie afleiden, kan de uitkomst van juridisch advies sturen zonder dat één document een filter triggert. Document-isolatie in de retrieval-laag verdient daarom een expliciete plaats als controleafspraak in de referentie-architectuur (zoals SOLL), niet als optie.

De kern

De vier papers zeggen samen één ding: de aanval zit niet in het model, maar in de compositie eromheen. De retrieval-set (1), de permission-set (2), de tool-set (3), het geheugen en de actieruimte (4), elke laag die de industrie de afgelopen twee jaar toevoegde om LLM's nuttig te maken, is een nieuw vertrouwensdomein zonder eigen controls. De oplossing is geen nieuw product maar een ontwerpprincipe: isoleren wat vertrouwelijk is, verkleinen wat vertrouwd is, en de poortwachter klein genoeg houden om zelf te bezitten.

Bronnen: arXiv:2609.16818 (InceptionRAG, ACM CCS 2026), arXiv:2609.15422 (Noyan, task-based permissions), arXiv:2609.16098 (Li & Wang, universal defenses), arXiv:2609.16694 (Rahul Dev T Y & Nath, secure AI-pentest agents). Alle kwantitatieve claims geverifieerd tegen de primaire abstracts en, waar beschikbaar, de full-text.