Approval-fatigue is een privilege-escalatie-aanvalsvector

De kernverschuiving in dit onderzoek is niet dat AI-agents fouten maken, maar dat dynamische toestemmingsmechanismen zelf een systematische aanvalsvector vormen. In From Approval to Abuse: Privilege Escalation Attacks on Harness-Protected Coding Agents tonen de auteurs dat het mechanisme dat bedoeld is om approval-fatigue weg te nemen, juist het menselijke toezicht dat het moet beschermen systematisch kan omzeilen.

Coding agents draaien binnen een execution harness die elke out-of-sandbox-actie onderschept en de gebruiker om goedkeuring vraagt. Om te voorkomen dat een gebruiker eindeloos blijft goedkeuren, kan die allow-rules goedkeuren: eenmaal goedgekeurd wordt elke toekomstige actie die op de regel matcht zonder prompt toegestaan. De paper toont dat dit ontwerp een nieuw risico introduceert: onvertrouwde context beïnvloedt welke permissies ter goedkeuring worden aangeboden, met gevolgen die verder reiken dan de directe taak.

De aanval in drie stappen

Het experimentele kader bestaat uit twee fases: Permission Acquisition en Authority Reuse. Een adversariële context, in een repository geplant, stuurt een agent die een routine-taak uitvoert naar het aanvragen van een plausibel gerechtvaardigde maar gevaarlijk brede allow-rule. De aanval werkt als volgt:

1. Elicitatie. Een LLM-optimizer zoekt iteratief naar de formulering van een allow-rule die de agent aan de gebruiker voorlegt. Over productieplatforms (Claude Code en Codex CLI) slagen agents erin de beoogde allow-rules te eliciteren in 58% van de experimentele instanties.

2. Goedkeuring. De regel ziet er plausibel uit: hij is verpakt als een gerechtvaardigde uitbreiding voor de taak, niet als een aanval. De gebruiker keurt goed omdat de regel schijnbaar noodzakelijk is voor de gevraagde klus.

3. Blast radius. Eenmaal opgeslagen vertoont de regel een grote semantische reikwijdte: hij dekt 56,9% van de category-specific capability-testcases. De harness is daarmee effectief verblind voor een hele categorie acties.

Conditioneel op goedkeuring bereikt de exploit verified, silent goal completion in 47 van de 58 in aanmerking komende instanties (81,0%). De agent hergebruikt de verkregen Bash- of bestandstoegang voor ongeautoriseerde exfiltratie of systeemwijziging, zonder additionele menselijke interactie. Dat ondermijnt precies de veiligheidsbelofte van human-in-the-loop-oversight.

De semantische grens wordt meetbaar opgerekt

De auteurs kwantificeren de oprekking van de semantische grens met een Permission Compatibility Score (PCC). De gemiddelde PCC springt van 0,25 ± 0,35 (baseline) naar 0,57 ± 0,38 na de aanval. Op Claude stijgt de PCC van 0,43 naar 0,60 (claude-haiku-4.5) en van 0,28 naar 0,48 (claude-sonnet-5); op Codex (gpt-5.6-sol) van een abnormaal hoge baseline verder naar 0,61 tegenover 0,55.

De cijfers maken de tegenstelling scherp zichtbaar. Waar een Direct Request op zwaar gealigneerde Claude-modellen nauwelijks slaagt (6/25 voor haiku-4.5, 1/25 voor sonnet-5), bereikt de iteratieve methode respectievelijk 14/25 en 9/25 goal-reachable gevallen. Op Codex gpt-5.6-luna stijgt het succes van 7/25 naar 17/25; de completion rate springt van 29,4% naar 100% (17/17). De methode is dus niet alleen effectief, maar effectiever naarmate het model steviger is gealigneerd tegen directe verzoeken.

Waarom dit een architectuurfout is, geen gebruikersfout

De bevinding wijst op een ontwerpfout in het toestemmingsmodel zelf. De harness vertrouwt erop dat de menselijke fiatgever de semantische reikwijdte van een allow-rule correct beoordeelt. Maar de paper toont dat juist die beoordeling het doelwit is: de aanvaller optimaliseert niet de exploit, maar de formulering van de toestemming.

Drie eigenschappen maken dit structureel:

• De regel is persistent. Een goedgekeurde allow-rule blijft van kracht, ook wanneer de taak die hem rechtvaardigde allang is afgerond. De blast radius overleeft de context.
• De rechtvaardiging is geplant. De adversariële context is onzichtbaar voor de gebruiker, die alleen de plausibele verpakking ziet, niet de intentie erachter.
• De goedkeuring is binair. De gebruiker keurt een regel goed of af, maar krijgt geen zicht op de volledige semantische ruimte die de regel opent.

Dit laatste is de kern. Een allow-rule is geen lijst van specifieke acties maar een predicaat dat over een klasse acties geldt. Wie de formulering stuurt, stuurt de hele klasse.

Epistemische classificatie

Claim	Sterkte	Onderbouwing
58% elicitatie van allow-rules	Empirisch ondersteund	Primaire meting, productieplatforms
56,9% semantic blast radius	Empirisch ondersteund	Category-specific capability-tests
81,0% (47/58) silent goal completion	Empirisch ondersteund	Voorwaardelijk op rule-approval
PCC-stijging 0,25 → 0,57	Empirisch ondersteund	Gemeten metric, ±-intervallen gerapporteerd
Generaliseert naar reële gebruikers	Niet aangetoond	Synthetische omgeving, gemockte credentials
Approval-fatigue als causale factor	Hypothese	Correlatie geobserveerd, niet experimenteel geïsoleerd

Wat de paper niet test

De auteurs zijn expliciet over de begrenzing. Alle experimenten vonden plaats in geïsoleerde, synthetische workstation-omgevingen met gemockte credentials en gecontroleerde services; ze richtten zich niet op reële gebruikers of derde systemen. De 58% en 81,0% zijn daarmee een bovengrens onder laboratoriumcondities, geen veldmeting van menselijk goedkeurgedrag.

Drie beperkingen zijn relevant voor wie de cijfers wil overnemen. Ten eerste meet de studie het vermogen van de optimizer om een regel te eliciteren, niet de kans dat een echte gebruiker de regel ook daadwerkelijk goedkeurt; de menselijke beslissing is in het experiment de aanname, niet de variabele. Ten tweede is de causaliteit tussen approval-fatigue en succesvolle exploitatie niet geïsoleerd: het onderscheid tussen gebruikersvermoeidheid en de inherente semantische elasticiteit van permissies blijft onopgehelderd. Ten derde is de providerdiversiteit beperkt tot Claude en Codex, zonder open-weight-alternatieven. Wie 58% als algemeen cijfer overneemt, overclaimt.

Handelingsperspectief

Voor informatiebeveiligers en architecten van AI-agentinfrastructuur bij rijksdiensten en uitvoeringsorganisaties is de consequentie concreet. Dynamische permissiemechanismen dragen een inherent privilege-escalatierisico dat niet door gebruikersfalen maar door ontwerpbeslissingen wordt ingegeven. Drie maatregelen volgen rechtstreeks uit de bevinding:

1. Begrens de reikwijdte van een allow-rule. Laat een regel geen open predicaat zijn, maar een expliciete, eindige verzameling acties met een expliciete levensduur. Een regel die de taak overleeft, is een latent privilege.
2. Toon de semantische ruimte, niet alleen de formulering. Laat de gebruiker zien welke concrete acties een voorgestelde regel zou toestaan, zodat goedkeuring een beoordeelde verzameling is in plaats van een vertrouwde zin.
3. Veranker autorisatie in de taak, niet in de context. Een allow-rule die uit onvertrouwde repository-context kan ontstaan, is per definitie niet betrouwbaar. Scheid de bron van de toestemmingsvoorstel van de bron van de taak zelf.

Zie ook

• Waarom "vraag het eerst" geen veilige standaard is
• Vier plekken waar de vertrouwensgrens van agents lekt
• Agent-isolatiegrenzen: waarom de verdediging naar de effectgrens verschuift

Bronnen

• From Approval to Abuse: Privilege Escalation Attacks on Harness-Protected Coding Agents, arXiv:2610.22987, 2026.