Context is niet autoriteit: waarom uw AI-agent meer doet dan u denkt

Een AI-agent kan de juiste context hebben en toch iets doen wat niemand heeft geautoriseerd. Een klantcommitment dat niet goedgekeurd is. Een transactie die niet bedoeld was. Een beleidswijziging die niemand heeft gevraagd. Het probleem is niet dat de agent de context verkeerd begrijpt — het is dat context geen autoriteit is.

Een nieuw arXiv-paper, SAGE-Fin, introduceert een finance-specifieke authority-handoff contract die het voorgestelde effect, niet alleen de tekst, het object van runtime-controle maakt. Het patroon is direct herbruikbaar voor overheids-AI-agents die burgerservices uitvoeren: toeslagenbesluiten, vergunningsaanvragen, boetekennisgevingen.

Het kernprobleem: effect vs. tekst

De meeste governance-maatregelen controleren de input/output tekst van een agent. Ze checken of de agent "iets redelijks" zegt. Maar een agent kan correcte tekst produceren die een ongeautoriseerd effect heeft. De tekst is correct; het effect is niet geautoriseerd.

Formeel: laat een agent een voorstel $p$ produceren. De tekst van $p$ kan correct zijn. Maar $p$ heeft een effect $e(p)$ — een commitment, een transactie, een beleidswijziging. Traditionele governance controleert $p$ (de tekst). SAGE-Fin controleert $e(p)$ (het effect).

Het onderscheid is cruciaal. Een agent die zegt "ik heb de klant een lening van €50.000 toegezegd" produceert correcte tekst. Maar het effect — de toezegging — is ongeautoriseerd. Alleen het effect controleren vangt dit.

SAGE-Fin: de authority-handoff contract

SAGE-Fin compileert voorstellen naar typed, adapter-bound candidates. Het registreert ontbrekende of stale institutionele verplichtingen als coverage debt. Het contracteert autoriteit onder de huidige markt-, account-, policy- en dialoogstatus. En het vereist een exact-artifact receipt waarvan het nominale type overeenkomt met de consumerende response-, executie- of policy-adapter.

De kern is dat evidence en workflow-progress autoriteit niet kunnen vervangen. Een agent die "bewijs" heeft dat een actie gerechtvaardigd is, heeft daarmee nog geen autoriteit om de actie uit te voeren. En prior autorisatie wordt opnieuw gecheckt na statuswijzigingen — een autorisatie die geldig was onder de oude status kan ongeldig zijn onder de nieuwe.

Formele definitie van de contract

Laat een agent een voorstel $p$ produceren met een beoogd effect $e$. Een authority-handoff contract $C$ is een functie die bepaalt of $e$ geautoriseerd is:

$$C(e, s) = \begin{cases} \text{authorized} & \text{als } e \in \text{scope}(s) \land \text{valid}(e, s) \ \text{denied} & \text{anders} \end{cases}$$

waarbij $s$ de huidige status is (markt, account, policy, dialoog) en $\text{scope}(s)$ de set van effecten die onder $s$ geautoriseerd zijn. De contract vereist een exact-artifact receipt $r$ met $\text{type}(r) = \text{type}(e)$ — het receipt moet hetzelfde nominale type hebben als het effect.

De criticale eigenschap is dat de contract het effect controleert, niet de tekst. Zelfs als de tekst van $p$ correct is, wordt $e$ geblokkeerd als het buiten $\text{scope}(s)$ valt.

Coverage debt

SAGE-Fin registreert ontbrekende of stale institutionele verplichtingen als coverage debt. Dit is een expliciete administratie van wat de contract niet dekt.

class CoverageDebt:
    """Registreert institutionele verplichtingen die de contract niet dekt."""
    
    def __init__(self):
        self.obligations = {}  # effect-type → set van verplichtingen
    
    def register(self, effect_type: str, obligation: str):
        """Registreer een verplichting die niet in de contract zit."""
        self.obligations.setdefault(effect_type, set()).add(obligation)
    
    def is_covered(self, effect_type: str) → bool:
        """Check of een effect-type volledig gedekt is."""
        return effect_type in self.obligations and len(self.obligations[effect_type]) == 0
    
    def outstanding(self) → list:
        """Lijst van effect-types met openstaande verplichtingen."""
        return [t for t, obs in self.obligations.items() if obs]

De complexiteit is O(1) voor register en is_covered (hash-based), O(n) voor outstanding. Coverage debt is de eerlijke administratie van wat je niet weet — cruciaal voor overheden die niet kunnen claimen dat een contract alles dekt.

De empirische resultaten

Het paper rapporteert:

• 616-case catalog met vijf deterministische specificaties → 3.080 outputs.
• 616/616 binary reference-prototype parity in een label-geïsoleerde harness, inclusief 3/3 named response-gate fixtures.
• 22 tests die geselecteerde paden dekken.
• Reële productie-verwerking op een vertrouwelijk digitaal-asset platform, met een sterk positieve post-deployment conclusie van een operationeel team onafhankelijk van het implementatieteam.

Het paper is eerlijk over de aard van de resultaten: het vestigt executable conformance, niet onafhankelijke veiligheidsnauwkeurigheid. En drie de-geïdentificeerde predecessor-failures met 0/3 interceptie documenteren repeated-emission drift, stale account evidence en missing escalation state.

Praktijkvoorbeeld: toeslagenbesluit

Neem een overheids-agent die toeslagenbesluiten voorbereidt. De agent haalt context op: het inkomen van de burger, de geldende regels, eerdere besluiten.

• Traditionele governance: controleert of de tekst van het besluit correct is. De agent produceert correcte tekst.
• SAGE-Fin governance: controleert het effect. Heeft de agent autoriteit om dit specifieke besluit te effectueren? Is de autorisatie nog geldig onder de huidige status? Is er coverage debt — een regel die de contract niet kent?

Het verschil is levensreddend voor burgers. Een agent die correcte tekst produceert maar een ongeautoriseerd effect heeft, kan een toeslag toekennen die niet mag. Alleen effect-controle vangt dit.

Beperkingen

• De resultaten vestigen conformance, niet veiligheid. 616/616 parity betekent dat de implementatie overeenkomt met de specificatie, niet dat de specificatie veilig is.
• De productie-validatie is kwalitatief. De disclosure staat alleen de onafhankelijkheid, stakeholder-klassen, beoordeelde dimensies en directionele conclusie toe — geen effect-schatting.
• De predecessor-failures zijn de-geïdentificeerd en zonder prevalentie-schatting. 0/3 interceptie is een observatie, geen statistiek.
• Het framework is finance-specifiek. De herbruikbaarheid voor overheidsbesluiten is een patroon-overdracht, geen bewezen toepassing.

Wat dit betekent voor Nederlandse overheden

EU AI Act Artikel 14 vereist dat AI-systemen geen ongeautoriseerde acties uitvoeren. Maar geen enkele bestaande governance-maatregel controleert het effect van een agent-actie — alleen de input/output tekst. SAGE-Fin toont dat effect-controle technisch mogelijk is: typed candidates, coverage debt, exact-artifact receipts, en re-check na statuswijzigingen.

Voor overheden die agentic AI inzetten voor burgerservice is de les: controleer niet alleen wat de agent zegt, maar wat de agent doet. Context is geen autoriteit. Alleen een expliciete authority-handoff contract kan het effect beheersen.

Bron: Context Is Not Authority: Structured Runtime Governance for Financial Market Agents (arXiv:2608.09025, 10 aug 2026).