Agents die elkaar niet kunnen vertrouwen: waarom InterSAGE de ontbrekende laag is voor AI-interoperabiliteit

De eerste vraag die elke CISO zou moeten stellen bij AI-agents is niet "wat kan het?", maar "wie is het en waarom zou ik het vertrouwen?"

Die vraag wordt urgent. Organisaties experimenteren volop met agents die taken uitvoeren over systeemgrenzen heen. Een zorgverlener die een declaratie aanvraagt bij een verzekeraar. Een gemeente die een vergunning checkt bij een landelijke registratie. Een bank die een transactie verifieert bij een andere bank.

De protocollen die dit mogelijk moeten maken, bestaan al. Model Context Protocol (MCP) voor tool-aanroepen, Agent2Agent (A2A) voor agent-communicatie. Maar geen van beide lost het fundamentele probleem op: hoe bewijs je cryptografisch wie je bent, wat je mag doen, en dat je verantwoordelijk kunt worden gehouden?

Het arXiv-paper over InterSAGE (abstract, PDF) pakt precies dit gat aan. En voor Nederlandse publieke organisaties is dit geen theoretische oefening. De EU AI Act, BIO2 en NIS2 stellen eisen aan transparantie, monitoring en verantwoording die zonder zo'n protocol simpelweg niet in te vullen zijn.

Het probleem: vertrouwen is een aanname, geen garantie

Stel je een simpel scenario voor. Een agent van gemeente A vraagt bij gemeente B een adres op. Via A2A stuurt agent A een verzoek. Gemeente B's agent antwoordt. Klaar.

Maar wat is er feitelijk gebeurd? Gemeente B heeft geen cryptografisch bewijs dat het verzoek daadwerkelijk van gemeente A komt. Geen bewijs dat de agent gemachtigd is om dit specifieke adres op te vragen. Geen bewijs dat de agent binnen de geldende AVG-kaders handelt. En als er iets misgaat, geen manier om achteraf vast te stellen wie precies wat heeft gedaan.

De huidige protocollen behandelen dit impliciet. MCP gaat over hoe een agent een tool aanroept, niet over wie die aanroep doet. A2A gaat over hoe agents berichten uitwisselen, niet over welke rechten ze hebben.

InterSAGE pakt dit aan met een vierlaags protocol dat bovenop MCP en A2A werkt. Het voegt een trust-substraat toe die de vragen beantwoordt die we in de publieke sector niet mogen overslaan.

De vier lagen van InterSAGE

InterSAGE definieert vier lagen die samen een compleet vertrouwensmodel vormen:

Laag 1: Identity. Elke agent krijgt een cryptografische identiteit, gebaseerd op een keypair. Dit is vergelijkbaar met hoe X.509-certificaten werken in TLS, maar dan specifiek voor agent-contexten. De identiteit is verifieerbaar door elke partij die het publieke certificaat kent.

Laag 2: Discovery. Agents publiceren hun capabilities in een gestructureerd formaat. Dit is geen vrije tekst, maar een machine-leesbare beschrijving van wat de agent kan doen, onder welke voorwaarden, en met welke datacategorieën. Denk aan een gestructureerde capability-map.

Laag 3: Trust negotiation. Voordat twee agents zaken doen, onderhandelen ze over vertrouwensvereisten. Dit is geen handshake in de technische zin, maar een beleidsmatige: welke claims moet de andere partij bewijzen? Welke attributen zijn vereist? Dit gebeurt via een gestandaardiseerd protocol, vergelijkbaar met hoe OAuth-scopes werken maar dan op agent-niveau.

Laag 4: Accountability. Elke interactie wordt cryptografisch vastgelegd. Niet alleen "wie deed wat", maar ook "onder welke autorisatie, met welke data, met welk resultaat". Dit is een audit-trail die achteraf verifieerbaar is door derden, niet alleen door de twee partijen zelf.

De auteurs specificeren dit in formeel wiskundig detail, inclusief de cryptografische primitieven en de protocollen voor elke laag. Wat interessant is: ze gebruiken bestaande standaarden waar mogelijk. Geen nieuw cryptosysteem, maar een compositie van bewezen bouwstenen.

Waarom dit relevant is voor Nederlandse publieke organisaties

De Nederlandse overheid heeft al een architectuur voor systeeminteroperabiliteit: NORA. En de eisen rond informatieveiligheid zijn vastgelegd in BIO2. Maar geen van beide is ontworpen voor een wereld waarin software-agenten autonoom beslissingen nemen en acties uitvoeren.

De EU AI Act voegt daar nog een laag aan toe. Artikel 13 vereist post-market monitoring: je moet als aanbieder of gebruiker van een AI-systeem kunnen aantonen dat het blijft werken zoals bedoeld. Artikel 14 vereist menselijk toezicht. Beide zijn onmogelijk zonder een accountability-laag die vastlegt wat een agent heeft gedaan, wanneer, en met welke data.

Dit is geen ver-van-mijn-bed-show. De Rijksinspectie Digitale Infrastructuur heeft al aangegeven dat AI-toepassingen binnen de overheid aan dezelfde eisen voldoen als andere geautomatiseerde besluitvorming. En de Autoriteit Persoonsgegevens heeft zich meerdere keren uitgesproken over de noodzaak van aantoonbare verwerkingen onder de AVG.

InterSAGE is geen wondermiddel. Het lost geen governance-problemen op, het maakt ze technisch afdwingbaar. Dat is een belangrijk onderscheid.

De technische kern: hoe InterSAGE werkt

Het paper specificeert InterSAGE als een protocol dat bovenop bestaande agent-communicatieprotocollen werkt. De kern is een set van cryptografische primitieven die samen een verifieerbare interactie mogelijk maken.

Formeel gedefinieerd:

Laat ( A = {a_1, a_2, ..., a_n} ) de verzameling agents zijn, en ( S = {s_1, s_2, ..., s_m} ) de verzameling services. Elke agent ( a_i ) heeft een keypair ( (pk_i, sk_i) ) en een identiteit ( id_i ) die cryptografisch gebonden is aan ( pk_i ).

Een interactie tussen agent ( a_i ) en service ( s_j ) bestaat uit een reeks berichten ( M = {m_1, m_2, ..., m_k} ). Elk bericht ( m_t ) is een tuple:

[ m_t = (payload_t, sig_t, cert_t, policy_t) ]

waarbij ( sig_t ) de handtekening is over ( payload_t ) met ( sk_i ), ( cert_t ) het certificaat dat ( pk_i ) bindt aan ( id_i ), en ( policy_t ) de beleidscontext die de autorisatie voor deze specifieke actie beschrijft.

De accountability-laag definieert een log-functie ( L ) die elke interactie vastlegt:

[ L(m_t) = (id_i, id_j, timestamp_t, hash(payload_t), policy_t, sig_t) ]

Deze log is append-only en verifieerbaar door elke partij die de publieke sleutels kent. Dit maakt het mogelijk om achteraf te bewijzen: "agent X heeft op tijdstip T actie Y uitgevoerd met autorisatie Z".

De discovery-laag gebruikt een gestructureerde capability-beschrijving. In het paper wordt een JSON-schema voorgesteld, maar het principe is generiek. Elke agent publiceert:

{
  "agent_id": "did:example:123",
  "capabilities": [
    {
      "action": "query_patient_data",
      "data_categories": ["health", "identity"],
      "required_claims": ["role:care_provider", "org:zorginstelling_X"],
      "max_rate": 100,
      "audit_level": "full"
    }
  ]
}

De trust-negotiation-laag definieert hoe twee agents tot een gezamenlijk beleid komen. Dit is geen eenmalige handshake, maar een protocol dat per interactie kan worden doorlopen. Het paper specificeert dit als een state-machine met expliciete toestanden voor "requesting", "negotiating", "approved", "denied".

De Nederlandse context: BIO2, NIS2 en de AI Act

Voor Nederlandse publieke organisaties is de relevantie concreet. BIO2 (Baseline Informatiebeveiliging Overheid) vereist dat organisaties passende maatregelen nemen voor informatiebeveiliging. In de context van AI-agents betekent dit: je moet kunnen aantonen dat je weet welke agents actief zijn, wat ze doen, en dat ze binnen de geldende kaders opereren.

NIS2 gaat verder. Het vereist dat organisaties in kritieke sectoren - waaronder zorg en financiën - aantoonbaar risicomanagement toepassen op hun IT-systemen. AI-agents die over organisatiegrenzen communiceren vallen daar zonder twijfel onder.

De AI Act is het meest specifiek. Artikel 13 vereist dat AI-systemen worden ontworpen met het oog op post-market monitoring. Voor agents betekent dit: je moet kunnen zien wat ze doen nadat ze in gebruik zijn genomen. Artikel 14 vereist menselijk toezicht. Voor autonome agents betekent dit: je moet kunnen ingrijpen, en je moet kunnen achterhalen wat er is gebeurd voordat je ingrijpt.

Geen van deze eisen is nieuw, maar de technische implicaties voor agent-systemen worden zelden besproken. InterSAGE is een van de eerste protocollen die deze eisen expliciet adresseert op het niveau van de agent-interactie zelf.

Competende hypothesen: waarom dit ertoe doet

Ik wil hier niet doen alsof InterSAGE de enige mogelijke benadering is. Laten we de verschillende verklaringen voor dit fenomeen naast elkaar zetten.

H1: InterSAGE is een noodzakelijke aanvulling op MCP en A2A. De dominante verklaring. MCP en A2A lossen het interoperabiliteitsprobleem op, maar niet het vertrouwensprobleem. Organisaties die agents willen inzetten over organisatiegrenzen hebben een protocol nodig dat identiteit, autorisatie en accountability afdwingt. InterSAGE vult dat gat.

H2: InterSAGE is een academische oefening zonder praktische urgentie. De alternatieve verklaring. De meeste agent-interoperabiliteit vindt plaats binnen organisaties, niet daartussen. Binnen een organisatie kun je vertrouwen afdwingen met bestaande IAM-oplossingen. De noodzaak voor een cross-organisatorisch protocol is er wel, maar nog niet urgent genoeg om de adoptie te rechtvaardigen.

H3: InterSAGE is een oplossing op zoek naar een probleem. De contrarian verklaring. De echte uitdaging is niet technisch maar organisatorisch. Zelfs met een perfect protocol zullen organisaties geen agents laten communiceren als ze de juridische en beleidsmatige kaders niet op orde hebben. Het protocol is een noodzakelijke maar niet voldoende voorwaarde.

H4: Null-hypothese. InterSAGE heeft geen significant effect op de adoptie van agent-interoperabiliteit. De adoptie wordt gedreven door andere factoren: beschikbaarheid van use cases, juridische duidelijkheid, en de volwassenheid van de onderliggende AI-modellen.

Wat is mijn beoordeling? H1 heeft de meeste verklarende kracht. De auteurs tonen aan dat bestaande protocollen geen accountability-laag bieden, en de AI Act vereist die expliciet. Maar H3 is niet te negeren. Zonder organisatorische volwassenheid zal geen enkel protocol de adoptie versnellen. De vraag is of InterSAGE een katalysator is of een randvoorwaarde.

Falsificatie: wat zou mijn conclusie ondermijnen?

Mijn centrale conclusie is dat InterSAGE een noodzakelijke aanvulling is op MCP en A2A voor cross-organisatorische agent-interoperabiliteit. Welke waarneming zou aantonen dat dit onjuist is?

Ten eerste: als MCP of A2A zelf een accountability-laag zou toevoegen die cryptografisch bewijs levert van identiteit, autorisatie en acties. Dat zou InterSAGE overbodig maken. Ik heb geen aanwijzingen dat dit gebeurt, maar het is een reële mogelijkheid.

Ten tweede: als de markt zou laten zien dat cross-organisatorische agent-interoperabiliteit zonder zo'n protocol wel werkt, omdat organisaties genoegen nemen met juridische contracten en audits achteraf. Dat zou betekenen dat de technische laag weliswaar wenselijk is maar niet noodzakelijk.

Ten derde: als de AI Act zou worden aangepast of geïnterpreteerd op een manier die de accountability-eisen voor agents versoepelt. Dat zou de urgentie wegnemen.

Geen van deze is onrealistisch. Ik classificeer mijn conclusie daarom als PROBABLE, niet als ESTABLISHED. De richting is duidelijk, maar de snelheid en de vorm van de adoptie zijn onzeker.

Counterfactual: wat als InterSAGE niet was gepubliceerd?

Laten we een counterfactual overwegen. Stel dat InterSAGE niet was gepubliceerd. Zou de wereld er anders uitzien?

In de korte termijn: waarschijnlijk niet. De meeste organisaties experimenteren nog met agents binnen hun eigen omgeving. De noodzaak voor cross-organisatorische interoperabiliteit is er, maar de adoptie staat nog in de kinderschoenen.

In de middellange termijn: wel. Zonder een gestandaardiseerd protocol voor accountability zou elke organisatie haar eigen oplossing bouwen. Dat leidt tot fragmentatie, zoals we eerder zagen met API-authenticatie in de jaren 2010. Uiteindelijk zou de markt convergeren naar een standaard, maar met aanzienlijke wrijvingskosten.

In de lange termijn: de uitkomst is waarschijnlijk hetzelfde. De noodzaak voor accountability is te groot om te negeren. De vraag is niet of, maar wanneer en hoe.

Wat invariant blijft onder deze counterfactuals: de behoefte aan cryptografisch bewijs van identiteit, autorisatie en acties in agent-interacties. Dat is geen technologie-specifieke conclusie, maar een fundamentele eigenschap van vertrouwen in gedistribribueerde systemen.

Novel synthesis: wat voegt dit toe aan de bestaande kennis?

De bestaande literatuur over agent-interoperabiliteit richt zich op twee vragen: hoe laten we agents communiceren (A2A) en hoe laten we agents tools aanroepen (MCP). De literatuur over AI-governance richt zich op vragen over risicomanagement, transparantie en toezicht.

Wat InterSAGE toevoegt, en wat ik hier wil benadrukken, is de verbinding tussen deze twee domeinen. Het protocol maakt governance-technisch afdwingbaar op het niveau van de individuele agent-interactie. Dat is een nieuwe kwaliteit.

De synthese die ik hier wil maken: SOURCE CLAIM (InterSAGE biedt een accountability-laag voor agent-interacties) + SOURCE CLAIM (AI Act Art. 13 en 14 vereisen post-market monitoring en menselijk toezicht) + SOURCE CLAIM (BIO2 en NIS2 vereisen aantoonbare informatiebeveiliging) + REASONING (deze eisen zijn niet in te vullen zonder een technische accountability-laag) = DERIVED CLAIM: organisaties die agents willen inzetten over organisatiegrenzen moeten een accountability-protocol implementeren, ongeacht of ze InterSAGE of een alternatief kiezen.

Dit is geen speculatie maar een logische conclusie uit drie onafhankelijke bronnen. De specifieke vorm van het protocol is onderhandelbaar; de noodzaak ervan niet.

Onzekerheid: wat weten we niet?

Ik wil expliciet zijn over wat we niet weten.

Ten eerste: we weten niet of InterSAGE zal worden geadopteerd. Het is een academisch paper, geen gevestigde standaard. De auteurs hebben geen implementatie gepubliceerd, geen interoperabiliteitstests met bestaande MCP/A2A-implementaties uitgevoerd, en geen adoptie door leveranciers aangetoond. Status: UNKNOWN.

Ten tweede: we weten niet of de cryptografische primitieven in InterSAGE bestand zijn tegen de dreigingen die in de praktijk voorkomen. Het paper bevat geen formele beveiligingsanalyse, geen threat model, en geen tests tegen bekende aanvallen. Status: SPECULATIVE.

Ten derde: we weten niet of de AI Act inderdaad zo zal worden geïnterpreteerd dat accountability-protocollen voor agents vereist zijn. De wet is er, maar de praktische invulling is nog in ontwikkeling. Status: PLAUSIBLE.

Ten vierde: we weten niet of organisaties bereid zijn om de operationele overhead van zo'n protocol te accepteren. Elke interactie vereist cryptografische handtekeningen, certificaatvalidatie en logging. Dat kost rekenkracht en tijd. Status: UNKNOWN.

Dit onderscheid tussen absence of evidence en evidence of absence is cruciaal. Het feit dat InterSAGE nog niet is geadopteerd betekent niet dat het niet zal worden geadopteerd. Het betekent alleen dat we het nog niet weten.

Invariant discovery: wat blijft overeind als de technologie verandert?

Laat ik de technologie wegnemen en kijken wat overblijft.

Stel dat InterSAGE wordt vervangen door een ander protocol. Stel dat de cryptografische primitieven veranderen. Stel dat de AI-modellen die agents aandrijven compleet anders worden. Wat blijft dan overeind?

De invariant is: elke gedistribribueerde interactie tussen autonome software-entiteiten vereist een mechanisme om identiteit, autorisatie en verantwoording vast te stellen. Dat is geen technologie-specifieke conclusie, maar een fundamentele eigenschap van vertrouwen in computernetwerken.

Dit is dezelfde invariant die we zagen bij de overgang van client-server naar microservices, en van monolithische systemen naar API-ecosystemen. Elke keer ontstaat dezelfde behoefte: hoe weet ik wie je bent, wat je mag, en hoe bewijs ik achteraf wat er is gebeurd?

Deze invariant is relevant voor elke organisatie die overweegt agents in te zetten. Het is geen kwestie van "of" je een accountability-laag nodig hebt, maar van "wanneer" en "welke".

Adversarial self-check: wat klopt er niet aan mijn betoog?

Laat ik proberen mijn eigen artikel te breken.

Tegenargument 1: Ik stel dat de AI Act accountability vereist, maar de wet vereist geen specifieke technische implementatie. Organisaties kunnen ook voldoen aan Artikel 13 en 14 met handmatige processen en audits. Dat is waar, maar het schaalt niet. Voor een handvol agents is handmatige controle mogelijk. Voor honderden agents niet.

Tegenargument 2: Ik stel dat BIO2 en NIS2 relevant zijn, maar die zijn gericht op organisaties, niet op individuele agents. Dat is ook waar, maar het is een kwestie van interpretatie. Als agents onderdeel zijn van de IT-systemen van een organisatie, vallen ze onder dezelfde eisen.

Tegenargument 3: Ik negeer de mogelijkheid dat de adoptie van InterSAGE wordt tegengehouden door leveranciers die hun eigen protocollen willen promoten. Dat is een reëel risico. We zagen hetzelfde met XMPP versus eigen chat-protocollen. Status: PLAUSIBLE.

Tegenargument 4: Ik overschat de snelheid van adoptie. De meeste organisaties zijn nog niet eens begonnen met het inventariseren van hun AI-systemen, laat staan met het implementeren van accountability-protocollen. Dat is een terechte correctie. De relevantie is er, maar de urgentie is nog niet gevoeld.

Wat dit betekent voor jouw organisatie

De praktische implicatie is concreet. Als je organisatie overweegt om AI-agents in te zetten die communiceren met systemen buiten je eigen omgeving, dan moet je nu beginnen met het stellen van de juiste vragen.

Heb je een inventory van je agents? Weet je welke data ze verwerken? Kun je aantonen wie gemachtigd is om welke acties uit te voeren? Kun je achteraf bewijzen wat een agent heeft gedaan?

Als het antwoord op een van deze vragen "nee" is, dan heb je een governance-probleem dat geen protocol zal oplossen. InterSAGE is geen vervanging voor goed bestuur, het is een technische randvoorwaarde.

De AI Act Self-Check die ik eerder schreef (AI Act Self-Check) kan je helpen om te bepalen waar je staat. Maar de kernvraag is simpel: kun je verantwoorden wat je agents doen?

Conclusie: geen revolutie, maar een noodzakelijke stap

InterSAGE is geen revolutionair protocol. Het gebruikt bestaande cryptografische bouwstenen, sluit aan op bestaande protocollen, en specificeert geen nieuwe algoritmes. Wat het wel doet, is een expliciet antwoord geven op een vraag die tot nu toe onbeantwoord bleef: hoe bewijs je cryptografisch wie een agent is, wat hij mag, en wat hij heeft gedaan?

Voor Nederlandse publieke organisaties is die vraag niet hypothetisch. De AI Act, BIO2 en NIS2 stellen eisen die zonder zo'n protocol niet in te vullen zijn. De vraag is niet of je een accountability-laag nodig hebt, maar wanneer je ermee begint.

De epistemische status van mijn conclusies: dat accountability-protocollen noodzakelijk zijn voor cross-organisatorische agent-interoperabiliteit is HIGH_CONFIDENCE. Dat InterSAGE specifiek het protocol zal zijn dat wordt geadopteerd is UNKNOWN. Dat de AI Act de adoptie zal versnellen is PROBABLE.

Wat invariant blijft: de behoefte aan cryptografisch bewijs van identiteit, autorisatie en acties in agent-interacties. Dat is geen technologie-specifieke conclusie, maar een fundamentele eigenschap van vertrouwen in gedistribribueerde systemen. En die behoefte gaat niet weg, ongeacht welk protocol uiteindelijk wint.