In de omgevingen die zijn onderzocht voor het 2026 State of Agent Security Report bevatten ongeveer 1.280 producten van derden inmiddels AI-functionaliteit, meldt The Hacker News. Daarvan vallen er maar ongeveer 282 achter single sign-on. De overige circa duizend blijven standaard onzichtbaar voor de identiteitsinfrastructuur van de organisatie. Niet omdat iemand ze verbergt, maar omdat een identiteitsstack alleen kan beheren wat daar daadwerkelijk doorheen inlogt, en de meeste van die ingebouwde agents authenticeren nooit via die route.
Het artikel geeft organisaties een aantal controlevragen om per agent te stellen. Staat de agent ergens geregistreerd, of draait hij stilletjes onder de identiteit van wie hem heeft gebouwd? En wat kan de agent bereiken, direct en indirect, via de producten, rechten, databronnen en andere agents waarmee hij in aanraking komt? Het stuk citeert Patrick Opet, CISO van JPMorgan Chase, die dezelfde striktheid als bij een leverancierscontrole op agents wil toepassen: een agent krijgt wel een identiteit, maar standaard geen enkele bevoegdheid. Die moet er apart bij.
De praktische consequentie is dat een inventarisatie van AI-tools niet volstaat als die zich beperkt tot tools die zichzelf als AI-product verkopen. Veel gewone SaaS-abonnementen hebben inmiddels losse AI-functies die net zo goed met bedrijfsdata werken. Vraag bij elke nieuwe inkoop expliciet of een product AI-functionaliteit met gedelegeerde toegang heeft en hoe die authenticeert, eis SSO of SCIM-provisioning als voorwaarde zodra dat zo is, en geef nieuwe agent-identiteiten standaard geen rechten totdat er een concrete reden is om die wel toe te kennen.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Beperk een inventarisatie van AI-risico niet tot tools die zichzelf als AI-product verkopen. Vraag bij elke inkoop expliciet of een product AI-functionaliteit met gedelegeerde toegang heeft en hoe die authenticeert, eis SSO of SCIM-provisioning zodra dat zo is, en geef nieuwe agent-identiteiten standaard geen rechten totdat daar een concrete reden voor is.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.