MAS-Guard: 71-86% minder aanvalssucces met gelaagde agent-guardrails

De bestaande verdedigingen voor AI-agents adresseren elk een deel van het probleem, maar dekken de drie lagen waarin een agent faalt zelden tegelijk: lokale uitvoering, systeeminteracties en handhaving. Bij een multi-agent systeem wordt dat gat groter, omdat gedistribueerde autoriteit, heterogene rollen en mogelijk gecompromitteerde deelnemers de beveiliging extra bemoeilijken.

MAS-Guard, van Mohammad Kachuee en collega's, sluit dat gat met een verenigd raamwerk voor het beveiligen van zowel enkele als multi-agent toepassingen, inclusief agenten die je wel en niet kunt instrumenteren.

Wat de paper vond

MAS-Guard werkt op twee niveaus die samen één handhavingsset delen:

1. Lokaal: de Agent Guardrail (A-Guard). Binnen instrumenteerbare agenten beoordelen taak-specifieke experts elke agent-gebeurtenis op veiligheid.
2. Systeemniveau: Agent Charters en een Control Plane. Een Control Plane combineert deterministische structurele controles (routes, agent-capaciteiten, berichtformaten) met semantische beoordelingen van rollen en berichtinhoud. De Charters zijn eigendom van de ontwikkelaar en leggen de toegestane routes en capaciteiten vast.

Deze complementaire lagen voeren handhaving uit via een gedeelde set van vier interventies: allow, reflection, confirmation en block. Dat is het onderscheidende punt: dezelfde interventie-set geldt voor lokale en systeembrede beslissingen, zodat er geen kloof zit tussen wat een losse agent en wat het systeem als geheel toestaat.

Geëvalueerd over zes benchmarks die uiteenlopende enkel- en multi-agent scenario's beslaan, met drie agent-LLM's van verschillende aanbieders, reduceert MAS-Guard de overall attack-success-rate met 71,5 tot 86,3 procent ten opzichte van onbeschermde agenten, terwijl het de utility-referentie op legitieme taken haalt.

Waarom dit de Nederlandse publieke sector raakt

Voor wie een agent (en zeker een multi-agent systeem) in een publieke context inzet, is dit de architectuur die de faalmodi afdekt die we eerder constateerden.

Drie punten maken dit concreet:

1. Het vult de kloof tussen losse en systeembrede veiligheid. Waar een losse guard alleen de eigen agent ziet, ziet de Control Plane de routes, capaciteiten en berichtformaten tussen agenten. Een multi-agent systeem zonder die systeemlaag heeft een gat dat een enkele agent-guard niet kan dichten.
2. Het geeft een meetbare reductie, geen belofte. De 71,5 tot 86,3 procent reductie over zes benchmarks en drie aanbieders is het soort bewijs dat een AI Act art. 15-verantwoording (robuustheid en nauwkeurigheid) en een NIS2 art. 21-verantwoording (risicomanagement) nodig heeft: een gemeten effect, geen beschrijving van intentie.
3. Het onderscheidt instrumenteerbare van ondoorzichtige agenten. Publieke organisaties draaien zelden alleen eigen code; ze integreren ook externe of niet-instrumenteerbare agenten. MAS-Guard beveiligt beide, in plaats van stilzwijgend aan te nemen dat elke agent patchbaar is.

Epistemische classificatie

Claim	Status
71,5-86,3% reductie van attack-success-rate over zes benchmarks	Empirisch ondersteund (gerapporteerd resultaat)
Utility-referentie blijft behaald op legitieme taken	Empirisch ondersteund (gerapporteerd resultaat)
Het raamwerk werkt voor zowel instrumenteerbare als ondoorzichtige agenten	Empirisch ondersteund (ontwerp + evaluatie)
De reductie generaliseert naar productie-omgevingen buiten de benchmarks	Niet aangetoond (benchmark-setting, geen productie-casus)
Vier interventies (allow/reflection/confirmation/block) zijn voldoende voor elke toepassing	Hypothese (ontwerpkeuze, geen exhaustief bewijs)

De sterkste verdedigbare uitspraak is het patroon: een gelaagde architectuur die lokale en systeem-brede controles onder één handhavingsset verenigt, reduceert aanvalssucces meetbaar meer dan losse guards: en dat onderscheid is precies wat een compliance-verantwoording bruikbaar maakt.

Wat te doen

1. Behandel lokale en systeembrede veiligheid als één geheel. Eis dat een agent-architectuur dezelfde handhavingsset toepast op lokale uitvoering én op routes en berichten tussen agenten, in plaats van beide als losse problemen te zien.
2. Leg routes en capaciteiten declaratief vast. Gebruik het Charter-concept: documenteer welke routes en capaciteiten een agent mag gebruiken, en laat het systeem daar deterministisch op controleren, niet alleen semantisch.
3. Kies een interventie-schaal met gradaties. Laat het systeem niet alleen toestaan of blokkeren, maar ook reflectie en bevestiging afdwingen voor handelingen die daarom vragen. Dat voorkomt dat een binaire block/allow de dienstverlening onnodig degradeert.
4. Eis gemeten effect in je verantwoording. Voor AI Act en NIS2 is de vraag niet of je guards hebt, maar met hoeveel ze het aanvalssucces terugdringen. Gebruik benchmark-resultaten als bewijs, en markeer expliciet wat niet naar productie is gegeneraliseerd.

De les van MAS-Guard is dat agent-veiligheid geen verzameling losse guards is, maar een gelaagde architectuur met één gedeelde handhavingsset. Wie multi-agent systemen in een publieke context wil verantwoorden, heeft precies zo'n raamwerk nodig, niet nog een extra losse guard.

Bronnen

• MAS-Guard: Unified Guardrails from Individual Agents to Multi-Agent LLM Systems, arXiv:2610.28397, Kachuee et al., 20 oktober 2026