%20-%20no%20white%20space%20-%20resized-1.png?width=4164&height=948&name=logo%201%20(bold)%20-%20no%20white%20space%20-%20resized-1.png)
Een medewerker vraagt Codex of Claude Code om een probleem op te lossen. De agent opent bestanden, wijzigt code, voert commando's uit en downloadt mogelijk een package. De medewerker herinnert zich de opdracht, maar niet noodzakelijk iedere actie die daarna volgde.
Beveiligingsmonitoring ziet die technische acties, niet de bedoeling van de medewerker. Vergelijkbare acties kunnen zichtbaar zijn wanneer een aanvaller de laptop of het account heeft overgenomen. Naarmate legitieme AI-agentactiviteit toeneemt, wordt het moeilijker om de acties van een echte aanvaller ertussenuit te halen.
Wat we bij klanten zien
We zien AI-agents zoals Codex en Claude Code bij klanten steeds meer handelingen uitvoeren op laptops van medewerkers. Eén opdracht kan leiden tot veel bestandswijzigingen, nieuwe processen, terminalcommando's, toegang tot repositories en verbindingen met andere tools.
De medewerker kan meestal uitleggen welk resultaat is gevraagd: “Ik vroeg de agent om de build te herstellen” of “Ik vroeg hem dit script bij te werken.” Maar dat verklaart niet waarom een specifiek commando is uitgevoerd, waarom een package is geïnstalleerd of waarom een ander systeem is benaderd.
Het praktische probleem
De medewerker kan een legitieme sessie zijn gestart, maar beveiliging moet nog steeds vaststellen of iedere belangrijke actie bij die opdracht past. Activiteit die niet kan worden verklaard, mag niet simpelweg worden afgedaan als “de AI-agent”.
Waarom een AI-agent anders werkt dan normale software
De meeste bedrijfssoftware is gebouwd voor vaste functies. Een boekhoudpakket verwerkt facturen. Een back-uptool kopieert geselecteerde data. De invoer verandert, maar het werkproces en technische gedrag blijven grotendeels herkenbaar.
Een AI-agent krijgt een opdracht en bepaalt zelf welke stappen kunnen helpen om die uit te voeren. Als hij de juiste rechten heeft, kan hij bestanden lezen, code wijzigen, tests uitvoeren, andere tools starten, software installeren of een gekoppeld systeem gebruiken. Een ander probleem, of zelfs een ander antwoord van hetzelfde model, kan tot een andere reeks acties leiden.
Hetzelfde type taak levert normaal gesproken een bekend technisch patroon op.
De agent kiest de stappen binnen de toegang die hij heeft gekregen.
Dit verschil wordt belangrijker doordat modellen, tools en koppelingen zich snel ontwikkelen. Een applicatie kan jarenlang voorspelbaar gedrag vertonen. Een AI-agent kan binnen enkele maanden nieuwe mogelijkheden krijgen, waardoor normaal gedrag op dezelfde laptop verandert.
Wat beveiligingsmonitoring daadwerkelijk ziet
Monitoringtools registreren acties. Ze weten niet automatisch of de medewerker erom heeft gevraagd, of de agent ze onverwacht heeft gekozen of dat een aanvaller ze heeft veroorzaakt. Hetzelfde signaal kan daarom heel verschillende verklaringen hebben.
Bestanden of instellingen gewijzigd
De agent wijzigt code of instellingen voor de gevraagde oplossing.
Een aanvaller wijzigt code, beveiligingsinstellingen of opstartgedrag.
Terminalcommando's of nieuwe processen
De agent voert tests uit, bouwt het project of gebruikt een lokale tool.
Een aanvaller voert scripts, verkenningscommando's of kwaadaardige tools uit.
Package geïnstalleerd of bestand gedownload
De agent voegt een dependency toe die nodig is voor de opdracht.
Een aanvaller downloadt een tool, payload of ongewenst softwareonderdeel.
Repository of gekoppeld systeem benaderd
De agent leest een issue, wijzigt code of gebruikt een goedgekeurde koppeling.
Een aanvaller zoekt naar broncode, gevoelige data of een volgend systeem om te benaderen.
Geen van deze acties bewijst op zichzelf dat er een aanval plaatsvindt. Het probleem is de groeiende hoeveelheid legitieme activiteit die erop lijkt. Als beveiliging de acties niet snel aan een bekende opdracht van een medewerker kan koppelen, duurt het langer om echte aanvallen te vinden en te onderzoeken.
Ingebouwde beveiliging helpt, maar medewerkers kunnen de agent meer toegang geven
Codex en Claude Code hebben beveiligingsmaatregelen zoals goedkeuringsvragen, beperkte bestandstoegang en sandboxing. Die zijn belangrijk. Ze beperken wat de agent zonder medeweten of toestemming van de gebruiker kan doen.
Toegang kan tijdens normaal gebruik toch worden uitgebreid. Een medewerker kan een grotere map selecteren, internettoegang toestaan, een commando voor de rest van de sessie goedkeuren of een koppeling met een ander systeem toevoegen. De tool kan dan meer bereiken dan aan het begin.
Een eenvoudig voorbeeld
De agent start in één projectmap. De medewerker geeft hem vervolgens toegang tot de volledige persoonlijke map en keurt internettoegang goed zodat de opdracht verder kan. De agent kan nu ook andere bedrijfsbestanden lezen en met externe diensten communiceren. Die twee goedkeuringen hebben de sessie veel risicovoller gemaakt.
Er is nog een technisch risico: repositories, issues, webpagina's en andere content die de agent leest, kunnen misleidende instructies bevatten. OpenAI en Anthropic beschrijven dit als een risico op prompt injection. Vooral de combinatie van niet-vertrouwde content en ruime rechten vraagt om aandacht.
Vijf acties om nu uit te voeren
U hoeft AI-codeeragents niet te blokkeren. U heeft wel duidelijke standaardinstellingen nodig die medewerkers kunnen volgen en voldoende informatie om ongebruikelijke activiteit te onderzoeken. Begin met deze vijf acties.
Breng in kaart welke agents al worden gebruikt
Maak een lijst van de codeeragents, commandline-tools en IDE-extensies die voor bedrijfswerk worden gebruikt, inclusief de gebruikers en verantwoordelijken. Neem ook tools mee die medewerkers zelf hebben geïnstalleerd; een centrale softwarelijst toont niet altijd ieder gebruik via het web, een extensie of de commandline.
Beperk iedere opdracht tot één projectmap
Start de agent in een aparte projectmap. Houd de persoonlijke map van de medewerker, gedeelde schijven, klantexports, geheime bestanden en productiegegevens erbuiten. Geef niet direct toegang tot de volledige laptop omdat één opdracht een extra bestand nodig heeft.
Bepaal welke acties extra controle vereisen
Laat acties bewust controleren voordat de agent bestanden buiten het project benadert, internet gebruikt, een package installeert, een ander systeem koppelt of cloud-, deployment- of productiecommando's uitvoert. Medewerkers moeten begrijpen wat zij goedkeuren; voorgestelde code- en configuratiewijzigingen moeten voor livegang nog steeds worden beoordeeld.
Gebruik bedrijfsaccounts met beperkte rechten
Gebruik geen persoonlijke accounts voor bedrijfswerk. Controleer iedere repository, cloudlogin, koppeling of MCP-server die de agent kan gebruiken. Bekijk welk account erachter zit, welke data bereikbaar is en of de agent alleen kan lezen of ook wijzigingen kan aanbrengen.
Bewaar de informatie die nodig is voor onderzoek
Bewaar, waar de producten dit ondersteunen, welke medewerker en agentsessie betrokken waren, welk project is gebruikt, belangrijke commando's en goedkeuringen en de endpointmeldingen die daarop volgden. Leg uit hoe medewerkers onverwacht gedrag van de agent melden. Beveiliging moet ongebruikelijke activiteit aan een bekende opdracht kunnen koppelen; onverklaarde activiteit moet worden onderzocht.
Nuttige AI-activiteit mag een echte aanval niet verbergen
AI-agents kunnen veel waarde leveren en hun acties kunnen volledig legitiem zijn. De beveiligingseis is eenvoudig: weet welke agents worden gebruikt, beperk wat zij kunnen bereiken en bewaar voldoende gegevens om belangrijke activiteit te verklaren. Anders geeft de groeiende hoeveelheid toegestane agentactiviteit een echte aanvaller meer ruimte om zich te verbergen.
Kunt u verklaren wat AI-agents op laptops van medewerkers doen?
Vertel ons welke tools uw medewerkers gebruiken en waartoe die toegang hebben. We kunnen helpen om agentactiviteit veiliger te maken en beter te onderscheiden van een mogelijke aanval.