Kunnen AI-agents Zero Trust autonoom afdwingen? Een multi-agent-proefopstelling

Een Amerikaanse onderzoeksgroep bouwde een werkende multi-agentsysteem die de Zero Trust-control-loop van NIST SP 800-207 autonoom laat afdwingen, en het belangrijkste resultaat is een genuanceerd oordeel: de deterministische regel-engine is sneller én accurater, waardoor de waarde van de agentische aanpak niet in hogere nauwkeurigheid zit maar in autonome besluitvorming met controleerbare herkomst.

De paper Agentic-ZTA van Shovan Roy, Lopamudra Praharaj, Maanak Gupta en Bhavani Thuraisingham (Tennessee Tech, UNC Pembroke, UT Dallas) laat zien hoe je de drie logische componenten van NIST's Zero Trust-referentiearchitectuur, het Policy Decision Point (PDP), het Policy Enforcement Point (PEP) en de Policy Information Points (PIP's), operationaliseert als een gecoördineerde pijplijn van gespecialiseerde AI-agents. Het is daarmee een van de eerste systemen die de control-loop niet alleen beslist maar ook afdwingt zonder menselijke tussenkomst. Voor Nederlandse publieke organisaties die onder BIO2 en de Cyberbeveiligingswet richting Zero Trust worden geduwd, is de vraag scherp: is dit de richting, of vooral een waarschuwing over waar de grenzen liggen?

De architectuur: NIST's control-loop als multi-agent-pijplijn

Agentic-ZTA splitst de beslissing op in twee autoriteitsniveaus die samen de separation of duties van Zero Trust afdwingen:

• Kernagents (core): Identity Management (IAM), Public Key Infrastructure (PKI) en Threat Detection. Een negatieve beoordeling van een kernagent is definitief: de PEP dwingt de weigering direct af zonder de overige agents af te wachten.
• Ondersteunende agents (supporting): Data Access Policy, SIEM, Continuous Diagnostics and Mitigation (CDM), Compliance en Activity & Logs Monitoring. Deze worden alleen aangeroepen wanneer álle kernagents toestemming hebben gegeven, en hun output kan nooit eenzijdig een weigering forceren.

Dit is de kern van het ontwerp. Een gecompromitteerde agent kan een aanvraag op z'n slechtst blokkeren (denial of service), maar kan nooit eenzijdig toegang verlenen. De fail-safe-standaard (default deny) geldt bovendien wanneer er helemaal geen kernagent reageert. Het vertrouwen wordt onderbouwd door een retrieval-augmented generation-pijplijn: beleidsregels worden als vectoren opgeslagen en per aanvraag als top-k relevante regels opgehaald, zodat het redeneren van elke agent in afhaalbare beleids-evidence is verankerd in plaats van in statische regels of geheugen.

Het vertrouwensalgoritme: deterministisch, niet alleen LLM-oordeel

De beslissing rust bewust niet op het oordeel van één LLM. Wanneer geen kernagent weigert, fuseert de Policy Engine-agent de beoordelingen tot één controleerbare vertrouwensscore, het confidentie-gewogen gemiddelde:

T = (c1·s1 + c2·s2 + ... + cn·sn) / (c1 + c2 + ... + cn)

waarin s_i de trust-score en c_i de zelf-gerapporteerde confidence van agent i is. De score wordt afgezet tegen een per-zone ingestelde drempel:

ALLOW   als T ≥ τz (de drempel van de doelzone)
DENY    als T kleiner dan τz

Een strengere zone hanteert een hogere drempel: dezelfde aanvraag die bij τz = 0,70 wordt toegestaan, wordt bij τz = 0,85 geweigerd. Elke beslissing draagt een herkomst-record (provenance) met de trust-score en de redenering van de betrokken agents, zodat beslissingen traceerbaar blijven tot op het niveau van de opgehaalde beleidsregel.

De testresultaten, ingedeeld naar bewijssterkte

De paper meet haar systeem op een synthetische dataset van 160 toegangsaanvragen (80 toegestaan, 80 geweigerd) in een gesimuleerde vijf-zone militaire testomgeving (Internet of Battlefield Things). De cijfers zijn echt gemeten, maar binnen een nauwe proefopstelling. Belangrijk is dat de trust- en confidence-scores door het model zelf worden gegenereerd; ze zijn geen onafhankelijk gemeten grootheid:

Claim	Type	Onderbouwing in de paper
95,0% accuracy, 93,9% precision, 96,3% recall, 95,1% F1	Empirisch (synthetisch testbed)	Gemeten op 160 synthetische aanvragen
AUC 0,950; FPR 0,061; TPR 0,962	Empirisch (synthetisch testbed)	ROC-analyse op dezelfde 160 aanvragen
Regel-engine: 100% accuracy in 0,7 ms	Empirisch (deterministische baseline)	Zelfde 160 aanvragen, IF-THEN-evaluator
Latency 45,67 tot 134,32 s per aanvraag	Empirisch (CPU-only)	Single-request traces, gedomineerd door model-inferentie
Trust-scores s_i en confidence c_i	Model-gebaseerde schatting	Zelf-gerapporteerd door de agents
"Autonome besluitvorming is de winst"	Hypothese (auteurs-interpretatie)	Niet onafhankelijk getoetst
Adversariale robuustheid	Niet aangetoond	Niet getest
Reproductie tussen runs	Niet aangetoond	Niet gemeten; LLM-inferentie is non-deterministisch

De cruciale vergelijking staat in de paper zelf en wordt door veel samenvattingen over het hoofd gezien: op dezelfde 160 aanvragen haalt een deterministische regel-engine 100% nauwkeurigheid in 0,7 milliseconde, terwijl Agentic-ZTA 95% haalt in 45 tot 134 seconden. De auteurs erkennen dit expliciet. Het voordeel van de agentische aanpak is dus niet accuratesse, maar dat het systeem beslissingen neemt zonder dat een beheerder elke regel vooraf heeft uitgeschreven, plus natuurlijktaal-uitleg en snellere beleidsaanpassing op basis van opgehaalde evidence.

Wat de paper niet test

De beperkingen begrenzen de reikwijdte van de headline-cijfers precies, en de paper benoemt ze zelf:

1. Eén gedeeld model. Alle agents gebruiken één gedeeld lokaal open-source LLM (Llama 3.1) in plaats van aparte domein-gespecialiseerde modellen. Specialisatie komt alleen uit agent-specifieke prompts, tool-bindingen en geïsoleerde vectorcollecties.
2. Adversariale robuustheid niet geëvalueerd. De paper test geen directe of indirecte promptinjectie, jailbreaking, task drift, memory poisoning of andere aanvallen op de input. Omdat elke agent opgehaalde beleidstekst en request-metadata direct in zijn prompt opneemt, blijft weerstand tegen gemanipuleerde input en retrieval-poisoning een open vraag.
3. CPU-only inferentie. De proefopstelling draait zonder GPU-versnelling; de gemeten latency is vermoedelijk grotendeels daaraan toe te schrijven. GPU-inferentie is niet getest.
4. Gesimuleerd testbed. Alle resultaten komen uit een gesimuleerde vijf-zone militaire coalitie-omgeving op een synthetische dataset, niet uit een live operationeel netwerk. Gedrag onder echte netwerkomstandigheden (pakketverlies, jamming, echte multi-nation beleidsconflicten) is niet geëvalueerd.

Daar komt één methodologische kanttekening bij die de paper zelf in de discussie benoemt: de reproduceerbaarheid tussen runs is niet gemeten, terwijl LLM-inferentie non-deterministisch is. Wie "95% nauwkeurigheid" als algemeen cijfer voor agentische Zero Trust overneemt, overclaimt: het cijfer geldt voor één specifieke synthetische dataset, op één gedeeld model, op CPU-hardware, in een militaire proefomgeving, niet voor een Nederlandse overheidsinstantie in productie.

Wat dit betekent voor de Nederlandse publieke sector

De relevantie voor BIO2 en NIS2 is tweeledig. Aan de ene kant is het principe van least privilege en continue verificatie dat Agentic-ZTA demonstreert precies wat BIO2 voorschrijft, en het separation-of-duties-ontwerp (een agent kan weigeren maar nooit eenzijdig verlenen) is een concreet voorbeeld van hoe je een autonoom systeem met een fail-safe bouwt. Aan de andere kant is de proefopstelling een waarschuwing: een autonoom toegangssysteem dat 45 tot 134 seconden per aanvraag nodig heeft op CPU-hardware, is voor real-time handhaving van een Nederlandse burgerapplicatie voorlopig onbruikbaar, en de niet-geteste adversarial-robustheid is bij een publiek toegankelijk systeem een reëel risico in plaats van een academisch voorbehoud.

De militaire IoBT-context is bovendien niet één-op-één te vertalen naar het civiele domein. De testomgeving modelleert geverifieerde certificaten, clearance-niveaus en coalitie-zones: een wereld met harde, controleerbare credentials. Een gemeente of zorginstelling werkt met een veel heterogener ecosysteem van burgers, leveranciers en apparaten, waar de signaal-kwaliteit van identiteit en apparaatposture minder eenduidig is dan in een gesloten militaire enclave.

Wat te doen

1. Begin met de deterministische baseline, niet met de agents. De paper levert het onbedoelde maar bruikbare inzicht dat een goed geschreven regel-engine 100% accuraat en zes ordes van grootte sneller is. Voor wie Zero Trust wil invoeren, is de eerste stap heldere, afdwingbare beleidsregels, niet een LLM.
2. Gebruik agents waar regels tekortschieten. De agentische winst zit in situaties waar een beheerder niet vooraf elke regel kan schrijven: nieuwe dreigingen, contextuele afwegingen, of de vertaling van complexe beleidslogica naar natuurlijktaal-uitleg voor auditors.
3. Eis controleerbare herkomst vóór autonomie. Het provenance-record (trust-score, redenering, opgehaalde regel-identifiers) is het sterkste onderdeel van het ontwerp. Zonder die traceerbaarheid is autonome handhaving onverantwoord en oncontroleerbaar in een BIO2-audit.
4. Behandel adversarial-robustheid als harde voorwaarde, niet als future work. Bij publiek toegankelijke toegangssystemen is promptinjectie een actieve dreiging, geen academische zorg. Een systeem dat beleidstekst direct in agent-prompts opneemt zonder geteste injectieweerstand, is niet klaar voor productie.

Zie ook

• NSA: MCP is geen security boundary, bouw een Zero Trust control plane
• Zero Trust voor AI-agenten is noodzakelijk, maar niet voldoende
• Navigating the Zero Trust paradox
• Het glazen-doos-mandaat

Bronnen

• Agentic-ZTA: A Multi-Agent Architecture for Autonomous Zero Trust Enforcement, Roy, Praharaj, Gupta & Thuraisingham, arXiv preprint, 5 oktober 2026
• Zero Trust Architecture, NIST SP 800-207, Rose, Borchert, Mitchell & Connelly, NIST, augustus 2020
• BIO2, Baseline Informatiebeveiliging Overheid, Digitale Overheid