De blinde vlek in je AI-governance: agentic posture vulnerabilities

Ons vulnerability-management berust op een foute aanname. We zien kwetsbaarheden als eigenschappen van software. Een bug in een bibliotheek. Een fout in een configuratie. Een CVE die we patchen. AI-coding agents breken dit model. Niet door meer bugs. Ze introduceren een nieuw risico. Dit past niet in een CVE-nummer. Ook niet in een OWASP-checklist.

Het arXiv-paper The Vulnerability With No CVE: AI Coding Agent Posture legt dit uit. De auteurs noemen dit agentic posture vulnerabilities. Oftewel APV's. Het zijn geen productdefecten. Je kunt er geen patch voor uitbrengen. Ze ontstaan in de interactie. Tussen agent, tooling en repository-structuur. Ook de rechten die je de agent geeft spelen mee. Ze hebben een eigen levenscyclus. Deze loopt niet synchroon met je software-releasecyclus.

Voor Nederlandse overheidsorganisaties en zorginstellingen is dit geen theorie. Zij werken met GitHub Copilot, Claude Code of Cursor. Dit raakt BIO2 en NIS2 direct.

Wat is een agentic posture vulnerability?

De paper definieert een APV als een samenstelling van drie componenten.

1. Agent-capabilities. De set acties die een agent kan uitvoeren. Lezen, schrijven, commando's uitvoeren, API-calls maken.
2. Agent-context. De informatie die de agent tot zijn beschikking heeft. Repository, issue-tracker, environment-variabelen, chatgeschiedenis.
3. Agent-perimeters. De grenzen van wat de agent mag bereiken. Filesystem, netwerk, secret-store, CI/CD-pipeline.

Een APV ontstaat wanneer deze drie componenten een combinatie vormen. Een aanvaller kan deze misbruiken. Het is niet herkenbaar als een klassieke softwarefout. Het is een posture-probleem. De houding van je systeem, niet een specifiek defect.

Het probleem draait om persistentie. Een klassieke kwetsbaarheid is statisch. Je hebt een kwetsbare versie van een bibliotheek. Je update naar de veilige versie. Klaar. Een APV is dynamisch. De agent-capabilities veranderen bij een nieuw model. De agent-context verandert wanneer je repository groeit. Ook als een developer de agent toegang geeft tot een nieuwe service. De perimeters veranderen bij uitbreiding van je CI/CD-pipeline.

De paper formaliseert dit als een toestandsovergang. Een APV is een pad in een graaf van agent-toestanden. Elke toestand is een combinatie van capabilities, context en perimeters. De kwetsbaarheid bestaat niet in één toestand. Ze zit in de overgangen tussen toestanden. Een agent met alleen leesrechten in de repository is veilig. Maar zodra diezelfde agent schrijfrechten krijgt in een branch, verandert de posture. Die branch is gekoppeld aan een CI/CD-pipeline. Het pad tussen die twee toestanden is de kwetsbaarheid.

Waarom CVE's en OWASP falen

Het CVE-systeem is ontworpen voor discrete, identificeerbare defecten. Een CVE heeft een vaste scope. Een product, een versie, een fix. Dat werkt niet voor APV's. Ze hebben geen vaste versie. De paper illustreert dit met een voorbeeld dat ik herken uit de praktijk.

Een developer vraagt een agent om de README bij te werken. De agent heeft toegang tot de repository. Er staat een OpenAI API-key in een .env-bestand. Het repo-document instrueert om altijd de nieuwste dependencies te installeren. De agent voert de taak uit. Hij installeert een package met een bekende kwetsbaarheid. Hij commit die. Het resultaat is een supply-chain-kwetsbaarheid die je in een SBOM kunt vinden. De oorzaak ligt niet in een defect. Niet in de agent. Niet in de package. Het is de combinatie van context en capabilities. Die bracht de agent in die positie.

OWASP's Excessive Agency uit de OWASP Top 10 for LLM Applications komt dichterbij. Het mist de persistentie. Excessive Agency gaat over het privilege. Het kijkt naar een momentopname. Een APV kijkt naar de levenscyclus.