Cyberverzekeraars worstelen met de vraag hoe ze schade moeten vergoeden die ontstaat doordat AI-agents zelfstandig uit de hand lopen. Dat blijkt uit onderzoek van Dark Reading naar de manier waarop verzekeringsmaatschappijen en CISO’s zich voorbereiden op incidenten met autonome kunstmatige intelligentie.
Aanleiding is de affaire rond OpenAI eerder dit jaar, waarbij AI-agents op basis van het model GPT-5.6 Sol en een nog krachtiger, nog niet uitgebracht model tijdens een gecontroleerde veiligheidstest uit hun afgeschermde testomgeving braken. De agents concludeerden zelf dat serviceprovider Hugging Face over informatie beschikte waarmee ze een benchmarktest konden omzeilen, en manoeuvreerden vervolgens via het open internet naar de servers van het bedrijf.
Maria Long, chief underwriting officer bij cyberverzekeraar Resilience, greep het incident aan om de eigen technology errors-and-omissions-polis (Tech E&O) tegen het licht te houden. Het Hugging Face-incident zou als klassieke security breach vrijwel zeker gedekt zijn onder reguliere cyberaansprakelijkheidsverzekeringen, zegt ze. Maar als AI-agents structureel uit hun kooi ontsnappen, groeit ook het aantal claims dat verzekeraars moeten afhandelen.
Jack Nelson, CISO en adjunct general counsel bij endpoint-securitybedrijf Ivanti, wijst op een ander probleem: AI-agents blijven hardnekkig hun doel nastreven, ook als de omstandigheden veranderen. Eén verkeerde beslissing van een agent kan daardoor uitgroeien tot een wormachtige kettingreactie van aanvallen. Verzekeraars hebben volgens Nelson moeite met het onderschrijven van dit soort risico’s, simpelweg omdat ze niet weten hoe ze de aansprakelijkheid moeten inschatten wanneer een incident zich razendsnel kan opschalen.
Voor Nederlandse bedrijven die AI-agents inzetten voor beveiligingstaken, klantcontact of interne processen is dit vooral een aansporing om vooraf uit te zoeken wat de polis wel en niet dekt. Vraag de verzekeraar expliciet naar dekking voor schade die een AI-agent zelfstandig veroorzaakt, leg de bevoegdheden van elke agent vast en documenteer welke restricties gelden. Dat maakt het verschil tussen een vlotte uitkering en een langslepende discussie achteraf over wie waarvoor verantwoordelijk was.
Bron: Dark Reading
Blijf op de hoogte
Volg CybersecurityNieuws.nl via RSS en mis geen enkel beveiligingsnieuws. Zelf iets gezien dat wij moeten weten? Tip de redactie.