Vier plekken waar de vertrouwensgrens van agents lekt

Eén thema, vier metingen

Organisaties die agents uitrollen leggen de vertrouwensgrens meestal op één plek: een guard, een sandbox of een goedkeuringsprompt. Vier recente bronnen laten zien dat elk van die plekken een eigen manier van falen heeft. Samen vormen ze geen verzameling losse nieuwsfeiten maar een patroon.

Niveau	Wat is gemeten	Bron
Rechten van de tool	787 van 4.806 getriageerde MCP-servers (16,4 procent) geven een bestandssysteem-signaal terwijl hun categorie dat niet suggereert; 150 bevestigd kwetsbaar onder de geteste sandboxregels	arXiv 2610.22301
Taal van de guard	Bij vertaling van alleen de gebruikersinstructie verschuift het verdict van guards onder 13 miljard parameters gemiddeld van +1,5 procentpunt (Frans) tot +4,4 (Amhaars) boven de ruisvloer; frontier-guards hooguit één punt	arXiv 2610.22244
Structuur van de index	40 tot 60 vergiftigde documenten in twee miljoen halen meer dan 72 procent retrieval-succes en tot 31,29 procent aanvalssucces	arXiv 2610.21464
De sandbox zelf	Rootful podman run kan bijna alle sandboxing uitzetten via een image-annotatie, bij kwetsbare versies; CVE-2026-94603, CVSS 10.0	GHSA-2cvf-wqm6-wr9g

Wat elk niveau leert

Rechten. Het label van een tool is geen grens. In de MCP-studie blokkeert een OS-sandbox de misbruikvolgorde, terwijl de legitieme aanroep blijft werken. De afdwinging hoort dus buiten de tool te liggen. Details staan in het uitgebreide artikel over MCP.

Taal. De guardstudie vertaalt alleen de instructie in vijf talen (Duits, Frans, Turks, Swahili, Amhaars) over 1.220 getagde stappen en 19 guards. Nederlands is niet getest. Het is dus niet te zeggen hoe Nederlandstalige gebruikersvragen uitpakken; dat is een gat om zelf te meten voordat u op een guard leunt. Een eerdere analyse van een aanval op guardrails laat zien dat guards ook op andere manieren te sturen zijn.

Index. Wie bronnen indexeert, laat de grens meebewegen met die bronnen. De geteste verdedigingen hielden de aanval niet tegen zonder veel goede documenten kwijt te raken.

Sandbox. In de Podman-advisory is het mechanisme specifiek: een image met de annotatie io.podman.annotations.checkpoint.runtime.name wordt als checkpoint behandeld, waarna podman run de opgegeven beveiligingsparameters negeert. Kwetsbaar zijn versies vanaf 4.4.0 tot vóór 5.8.8 en vanaf 6.0.0 tot vóór 6.1.3; gepatcht in 5.8.8 en 6.1.3. Rootless containers zijn volgens de advisory niet getroffen, omdat die checkpoint/restore niet ondersteunen. De ene laag die u als vangnet gebruikt, kan dus zelf een uitzondering hebben.

Wat ze gemeen hebben

Dit is onze interpretatie van de vier bronnen, geen conclusie van de auteurs: in elk geval kwam de verdediging uit één laag en was de aanval gericht op de aanname die die laag maakt. Het label klopt met de werkelijkheid, de taal verandert het oordeel niet, de index bevat alleen goede documenten, de sandbox staat aan. Zodra één aanname valt, valt de laag.

Wat te doen

1. Leg de aannames per laag vast. Schrijf op wat elke maatregel veronderstelt, en wie of wat dat nagaat.
2. Combineer onafhankelijke controles. Een guard, een OS-sandbox en een controle op de bron vallen niet noodzakelijk door dezelfde fout.
3. Meet in uw eigen context. Taal, bronnen en versies verschillen per organisatie; de studies tonen waar te kijken, niet wat u zult vinden.
4. Patch de sandbox ook. Houd containerruntimes bij als onderdeel van de agent-keten.
5. Gebruik het in de risicoanalyse. Voor organisaties die onder de NIS2-richtlijn vallen sluit dit aan op de beheersmaatregelen; voor hoog-risico-AI-systemen sluit het aan op artikel 15 van de AI-verordening.

Zie ook

• Vergiftiging via de buren: waarom de vectorindex zelf een aanvalsoppervlak is
• Agent-isolatiegrenzen: waarom de verdediging naar de effectgrens verschuift