Privilege-escalatie bij AI-agents: autorisatie moet buiten het model

De kern

Een LLM-agent die informatie van meerdere principals tegelijk verwerkt, kan een actie uitvoeren die geen van die principals afzonderlijk zou goedkeuren. Dat is het intersection-probleem: autorisatie per principal is niet genoeg, want de combinatie van bronnen kan een nieuwe bevoegdheid opleveren die geen van de bronnen droeg. Conflux (arXiv:2611.08768) formaliseert dit als het systeemniveau-beveiligingsdoel en trekt de consequentie die de meeste agentdeploys nog niet durven trekken: enforcement moet buiten het model liggen, in een kernel die autoriteit uit herkomst afleidt, niet uit modeloordeel.

Het intersection-probleem: autorisatie per principal is niet genoeg

Een principal is een gebruiker of agent die informatie kan schrijven. Documenten, databases en API's tellen mee via hun geregistreerde auteur. Wanneer een agent een document van principal A combineert met een database-query namens principal B, en op basis van die combinatie een actie uitvoert, is de vraag niet of A of B die actie afzonderlijk zou goedkeuren. De vraag is of élke principal die de actie heeft beïnvloed, hem zou goedkeuren.

Klassieke RBAC- en ABAC-assessments missen die dynamiek. Ze kennen permissies toe aan een principal of aan een rol, maar niet aan een combinatie van invloeden die pas tijdens de uitvoering ontstaat. Een agent die "alvast wat extra context ophaalt" omdat twee bronnen samen een suggestie opleveren, handelt daarmee buiten het mandaat van beide bronnen. Dat is de privilege-escalatie die de paper als systeemdoel definieert: een actie mag alleen doorgaan als élke beïnvloedende principal hem toestaat.

Waarom model-defenses tekortschieten

Modelniveau-verdedigingen, zoals instructievolging en prompt-injection-filters, blijven probabilistisch. Adaptieve aanvallen kunnen empirische robuustheid breken. De paper stelt daarom de juiste vraag niet: niet of een invoer kwaadaardig is, maar of elke beïnvloedende principal voor de actie is geautoriseerd. Het handhavingspunt ligt buiten het modeloordeel.

Die keuze is niet academisch. Een model dat zelf beslist "mag dit door?", leest de invoertekst die het moet beoordelen, en kan door diezelfde tekst gemanipuleerd worden. Dat is de confused-deputy op de bewaker zelf. Enforcement moet dus op een laag liggen die de modelcontext niet als beslissingsbron gebruikt.

Conflux en ITES: autoriteit uit herkomst

Conflux is een principal-context-verdediging. De kernel, ITES, leidt autoriteit af uit provenance, de vastgelegde herkomst van informatie, en uit het bestaande toegangscontrolesysteem van de organisatie. Hij snijdt de permissies van elke beïnvloedende principal doorsnede-gewijs af: een actie krijgt alleen de bevoegdheid die álle relevante principals delen.

De paper bewijst een conditionele autoriteitsopsluitingsstelling: onder volledige mediatie, herkomst zonder witwassen, een bekende niet-lege beslissingscontext, verse permissiechecks en actiebinding, laat de kernel geen actie toe die privilege escaleert ten opzichte van enige geregistreerde beïnvloedende principal. Dat is een veiligheidsgarantie, geen bruikbaarheidsgarantie. De auteurs benadrukken dat het resultaat alleen het vertegenwoordigde waarde-invloedsfragment dekt; controle-invloed via tool-, branch-, ontvanger- of planstap-selectie blijft een verfijningsverplichting.

Wat de paper niet test

De paper is expliciet over zijn grenzen, en die grenzen zijn de grens van de belofte. De opsluitingsstelling dekt alleen het waarde-invloedsfragment; controle-invloed van toolkeuze, branchselectie, ontvanger of planstap is uitgesloten van het resultaat. De garantie is uitsluitend veiligheid, geen bruikbaarheid of levendheid: conservatieve herkomst en onafhankelijke beleidsdimensies kunnen toelaatbare taken weigeren. Het bewijs is begrensd en partieel; de AgentDojo-runs oefenen alleen-lezen-paden uit, niet effect-dragende verdediging. Zijkanalen, impliciete stromen en leesgebaseerde openbaarmaking vallen buiten de aannames, en delegatie eveneens. Wie de stelling als onbegrensde deploygarantie presenteert, overclaimt.

De Nederlandse consequentie

Voor een ministerie, gemeente of ZBO dat een LLM-agent inzet op burgerdiensten of beleidsondersteuning, is dit directe compliance-materie. De Cyberbeveiligingswet (NIS2-transpositie) eist technische maatregelen voor toegangsbeheer en privilege-management; de Baseline Informatiebeveiliging Overheid (BIO2) eist dat autorisatie aantoonbaar en herleidbaar is. Een agent die informatie van meerdere principals combineert en op die combinatie een actie baseert, doorbreekt precies die aantoonbaarheid wanneer de autorisatie in het model zit in plaats van in een herkomst-gebaseerde kernel.

De architectuurles is herkenbaar voor wie agent-systemen ontwerpt: scheid analyse, autorisatie en uitvoering. Het model analyseert en stelt voor; een externe autorisatielaag beslist op basis van herkomst en bestaande toegangscontrole; de uitvoering vindt pas plaats na die doorsnede. Zo blijft het model een component in plaats van een beveiligingsgrens.

Zie ook

• Drie zwakke plekken van LLM-agents: geheugen, autorisatie en audit
• AI-agents en Zero Trust: autonome handhaving

Bronnen

• Conflux: Preventing Privilege Escalation with Principal Contexts and System-Level Evaluation, Raya Buckley en Christian Schroeder de Witt, University of Oxford, 5 november 2026
• AI-verordening (EU AI Act), Verordening (EU) 2024/1689
• NIS2-richtlijn, Richtlijn (EU) 2022/2555