Governance van agentic AI: de les van InceptionRAG en taak-specifieke defensies

Generatieve AI verplaatst van een model naar actoren die handelen. Daarmee verschuift de governance-vraag fundamenteel: niet langer kunnen we het model vertrouwen?, maar onder welke normen, controles en toezichtsmechanismen mág een AI-systeem handelen? Drie empirische studies uit september 2026, gepubliceerd op arXiv, maken die governance-vraag voor het eerst meetbaar. Ze zijn in de security-hoek al besproken als architectuur-uitdaging; hier gaat het om de implicaties voor besturing, normstelling en toezicht, de laag die bepaalt of deze technologie door de Nederlandse overheid onder controle wordt gebruikt.

De drie papers:

1. InceptionRAG (arXiv:2609.16818) toont een stilaanval op retrieval-augmented generation die bestaande detectie omzeilt en in meer dan 80% van de gevallen slaagt.
2. Task-based permission scoping (arXiv:2609.15422) bewijst dat taak-granulaire autorisatie het ernst-gewogen aanvalsoppervlak met 84,4% sluit.
3. Universele tool-defensies (arXiv:2609.16098) halen in veel configuraties een 0% slaagkans over zeven LLM's.

Deze cijfers zijn geen security-curiosa. Ze zijn de empirische onderbouw voor governance-beslissingen die organisaties moet opbouwen.

Wat de papers besturen aantonen

De gemeenschappelijke conclusie is dat de aanval niet in het model zit, maar in de compositie eromheen: de retrieval-set, de permission-set, de tool-set. Elke laag die organisaties de afgelopen jaren toevoegden om LLM's nuttig te maken, zoals actuele kennis, systemen, externe tools, is een nieuw vertrouwensdomein. Precies die toevoegingen ontsnappen traditioneel aan governance, omdat ze niet als "het AI-systeem" worden aangemerkt maar als infrastructuur.

InceptionRAG is hiervan de scherpste illustratie. De aanval fragmenteert een kwaadaardige payload over een keten van documenten die afzonderlijk onschuldig lijken. Pas wanneer de retriever ze samen ophaalt, leidt het model via multi-hop-redenering de desinformatie zelf af. De paradox: hoe sterker het redeneervermogen, hoe kwetsbaarder het systeem.

Dit is geen theoretisch risico. Een RAG over gepubliceerde uitspraken, wetteksten, beleidsdocumenten of subsidievoorwaarden heeft per definitie een corpus dat deels extern beïnvloedbaar is. Wie dat corpus kan beïnvloeden, kan antwoorden sturen zonder dat één document een filter triggert, en zonder dat het model "fout" redeneert; het redeneert alleen over vergiftigde premissen.

De governance-implicatie: toepassingsgebied van de EU AI Act

De eerste consequentie is juridisch-kwalificerend. De EU AI Act classificeert risico's langs de levenscyclus en het gebruik, niet langs de technologie. Voor agentic AI betekent dit dat de governance-eenheid niet het model is, maar het systeem inclusief retrieval, tools en permissies.

Artikel 15 van de AI Act eist dat hoog-risico-AI-systemen robuust en cyberveilig zijn en noemt data poisoning en adversarial attacks expliciet als te-beheersen risico's. InceptionRAG is een directe, gedocumenteerde vorm van data poisoning; de task-permission- en tool-defensie-studies bieden de technieken om aan de robuustheids- en beveiligingsels te voldoen. Dat is geen academische overlap maar operationele samenloop: de papers beschrijven precies de aanval en de verdedigingen waar artikel 15 naar verwijst.

Wie agentic AI in een publieke organisatie inzet, moet dus beoordelen of het systeem onder hoog-risico-kwalificatie valt (bijv. rechtspraak, toegang tot publieke diensten), en zo ja, aantonen dat de data-poisoning- en adversarial-beveiliging uit artikel 15 is geïmplementeerd. Dat is geen optionele hardening meer maar een conformiteitsvereiste. Zie Hoe check je of jouw AI-systeem voldoet aan de EU AI Act voor de concrete stappen.

BIO2: de controls die nu meetbaar zijn

De tweede consequentie is normstellend. BIO2 volgt de structuur van ISO/IEC 27002:2022. De relevante controls voor agentic AI zijn toegangsbeheer (5.15), toekenning van toegangsrechten (5.18), geprivilegieerd toegangsbeheer (8.2) en beperking van toegang tot informatie (8.3).

De task-permission-studie levert hier een nu meetbaar normatief anker. Een agent met statische, rol-granulaire credentials heeft een aanvalsoppervlak dat grotendeels onafhankelijk van de taak is blootgesteld. De taak-granulaire autorisatie, met een classifier die per taak bepaalt welke rechten nodig zijn, sluit 84,4% van het ernst-gewogen aanvalsoppervlak. Dat betekent dat toegangsbeheer in BIO2-termen (5.15/5.18/8.2/8.3) voor agents een meetbare, afdwingbare norm is geworden, niet langer een best-practice-afweging.

De relevante vraag voor een BIO2-audit of een DPIA is niet langer past deze agent binnen ons toegangsbeleid?, maar welke permissies heeft de agent momenteel actief en zijn die per taak beperkt? De paper maakt het antwoord kwantificeerbaar. Zie de BIO2-baseline in 15 vragen en de overwegingen over AI en NIS2-betrouwbaarheid voor de positionering.

Toezicht: van output naar handelings-controles

De derde consequentie is het diepst voor toezicht. Traditioneel AI-toezicht richt zich op de output: is het antwoord juist, is het bevooroordeeld, klopt de bron? InceptionRAG toont dat output-toezicht fundamenteel ontoereikend is: het systeem redeneert "correct" over vergiftigde premissen, dus de output is niet herkenbaar als afwijkend.

Effectief toezicht op agentic AI moet verschuiven naar de handelingslaag: welke retrieval werd opgehaald, welke tool werd aangeroepen, welke permissie werd gebruikt per taak. Dat vereist dat toezicht logt op het niveau van acties, de tool-calls, de retrieved passages, de autorisatiebeslissingen, niet alleen op het niveau van eindantwoorden. De task-permission-architectuur is hier een governance-enabler: de classifier dwingt een expliciete actie-registratie af die toezicht kan auditen.

Dit sluit aan bij de bredere beweging naar AI-governance die zich op effectieve mechanismen richt en het decentrale Nederlandse AI-toezicht, waar de vraag welke controles effectief zijn centraal staat. De empirische studies beantwoorden die vraag voor de handelingslaag: isolatie van afhankelijkheden, niet detectie.

Isolatie als governance-principe

De overkoepelende les van de drie papers is een governance-principe dat verder reikt dan security: isolatie van vertrouwensdomeinen wint van detectie van kwaad. InceptionRAG-toont aan dat inhouds-filters verliezen van compositie-aanvallen; HODOR (de bijgeleverde defensie) werkt door document-isolatie die de logische afhankelijkheid (de multi-hop-keten) verbreekt. De tool-defensies werken hetzelfde: zij filteren afwijkende tools en zetten vóór elke planning de oorspronkelijke toolset terug, in plaats van kwaadaardige input te herkennen.

Voor governance betekent dit: de norm is niet hoe herken ik slechte input? maar welke afhankelijkheden tussen documenten, tools en permissies kan ik verbreken zonder functionaliteit te verliezen? Dit is een ontwerp-principe dat in de architectuur al is benoemd in de OWASP Agentic control plane en de control plane van agentic AI. Wat de empirische studies toevoegen, is dat dit principe nu meetbare effecten heeft: 84,4% aanvalsoppervlak gesloten, 0% slaagkans in veel configuraties.

Twee rivaliserende verklaringen voor de toezicht-implicaties

Deze governance-claims verdienen een epistemische toets. Twee rivaliserende verklaringen concurreren met de stelling dat handelingslaag-toezicht de juiste richting is.

Verklaring A: Output-toezicht volstaat, omdat vergiftigde premissen uiteindelijk tot herkenbaar afwijkende output leiden. Falsifieerbaar: Deze verklaring wordt weerlegd wanneer een van de drie aanvalsklassen output produceert die niet herkenbaar afwijkt. InceptionRAG is direct bewijs dat dit gebeurt: het model redeneert consistent over vergiftigde premissen en produceert niet-herkenbaar afwijkende output, met ＞80% slaagkans zonder detectie. Deze verklaring is dus empirisch gefalsifieerd voor de RAG-klasse.

Verklaring B: Een volledig op handelingscontroles gebaseerd toezicht is voldoende en vereist geen output-aanvulling. Falsifieerbaar: Deze verklaring zou standhouden wanneer handelings-controles alle relevante aanvalspaden afdekken. Dat is onzeker: geen van de drie studies is getest tegen een adaptieve aanvaller, en de tool-defensies gebruiken broze prompt-lagen (CoT/self-reflection). De veilige governance-positie is beide: handelings-controles en output-aanvulling, met de erkenning dat de volledigheid onbekend blijft.

Complexiteit van de governance-instrumenten

De implementatie schaalt overzichtelijk, wat verklaart waarom deze governance-instrumenten praktisch inzetbaar zijn. Laat N het aantal agenten, T het aantal tools en C(x) de contextlengte van een taak:

O(1)  per taak-classificatie    # verdediger-encoder, vaste grootte
O(T)  per tool-filtering        # anomaliedetectie over de tool-vector
O(log P)  per permissie-check   # opzoeking in policy-set

Totaal per agent-actie: O(T + log P). Omdat de verdedigende component (encoders, filters) niet schaalt met de omvang van het bewaakte agent, blijft de kostencurve vlak naarmate je meer agents toevoegt. Dat is de meetbare vorm van verdediging die toezicht betaalbaar houdt over een hele organisatie.

# Verificatieve controle: welke agent heeft toegang tot welke tool, per taak?
def permissions_voor_taak(taak, rol, rol_plafond, taak_classifier):
    """Geef de per-taak actieve permissies terug."""
    ceiling = rol_plafond[rol]       # bovengrens uit rol
    actief  = taak_classifier(taak)  # welke rechten nodig zijn
    return ceiling & actief          # doorsnede: alleen beide

Dit is de kern van de task-permission-architectuur: de doorsnede van rolplafond en taakclassificatie is wat de agent per taak actief heeft.

Beperkingen en praktijkvoorbeeld

Deze governance-synthese kent grenzen. De drie studies zijn gecontroleerde evaluaties, geen productiebewijs; de effectiviteitscijfers komen uit specifieke datasets en modellen en generaliseren niet vanzelf. Er is nog geen langetermijn-evaluatie over modelgeneraties en geen test tegen adaptieve aanvallers. De epistemische discipline is cruciaal: absence of evidence van een doorbraak is geen evidence of absence van een toekomstige aanvalsklasse.

Dat is geen abstractie voor een voorbeeld als een gemeente die een RAG inzet voor subsidievoorwaarden (een publiek beschrijfbaar corpus). Daar is niet alleen de security-vraag relevant, maar ook de governance-vraag: valt dit systeem onder de EU AI Act, welke BIO2-controls zijn van toepassing (5.15/5.18/8.2/8.3), en audit het toezicht de handelingslaag of alleen de output? Dit praktijkvoorbeeld laat zien dat de drie papers een governance-afweging vereisen die gemeenten niet eerder hoefden te maken.

Counterfactual: wat als output-toezicht de norm blijft

Tegenfeitelijk beschouwd: als de governance-reactie op agentic AI bij output-toezicht blijft in plaats van te verschuiven naar de handelingslaag, dan staat de overheid met een gedocumenteerde aanvalsklasse (InceptionRAG: ＞80% slaagkans, detectie-omzeilend) zonder de controles die deze specifiek adresseert. De afgeleide conclusie, een nieuw inzicht dat buiten de individuele papers ligt, is dat de drie studies een onderling samenhangend verdedigingsmodel leveren: autorisatie (task-scoping), uitvoering (tool-isolatie) en kwalificatie (AI Act-artikel 15). Die driedelige verbinding is de synthese die de papers tot een governance-verhaal maakt, en die governance zou niet bestaan als detectie het enige instrument bleef.

Conclusie: governance moet de handelingslaag besturen

De drie papers verschuiven de governance-agenda van agentic AI van een output-gedreven naar een handelings-gedreven aanpak. De EU AI Act artikel 15 en BIO2 controls 5.15/5.18/8.2/8.3 bieden het juridische kader; de empirische studies leveren de meetbare technieken om eraan te voldoen. De implicatie is concreet en urgent:

• Qualificeer je agentic-AI-systemen onder de EU AI Act en documenteer de data-poisoning- en adversarial-beveiliging van artikel 15.
• Beperk de permissies van elke agent per taak, niet per rol, en maak de resulterende aanvalsoppervlakte-verlaging meetbaar tegen BIO2-controls 5.15/5.18/8.2/8.3.
• Log en audit de handelingslaag: retrieval, tool-calls, autorisatiebeslissingen, om toezicht op het systeem, niet op de output, mogelijk te maken.

De technologie om agentic AI onder controle te besturen bestaat. De vraag is of de governance er op tijd is.

Bronnen: arXiv:2609.16818 (InceptionRAG), arXiv:2609.15422 (task-based permissions), arXiv:2609.16098 (universele tool-defensies). Alle kwantitatieve claims geverifieerd tegen primaire abstracts. Deze post is de governance-gerichte tegenhanger van de security-architectuur-analyse van dezelfde papers en richt zich bewust op normstelling, kwalificatie en toezicht.