Een AI-browser die een spelletje speelt, geeft je wachtwoorden weg

Vorige week schreef ik over AI-agents als collega’s zonder contract, en over de drie vragen die je over elke agent moet kunnen beantwoorden. Wie is dit, wat mag dit en kunnen we het aantonen. Deze week kwam er onderzoek uit dat precies laat zien waarom de tweede vraag, wat mag dit, geen theorie is.

Beveiligingsonderzoekers bouwden een webpagina met een puzzel erop. Een spelletje, meer niet. Ze lieten er verschillende AI-browsers op los, het soort tool dat zelfstandig door je browser navigeert en taken voor je uitvoert. De opzet was simpel maar gemeen. In het spel werd een fout antwoord beloond. En de AI’s leerden dat snel. Ze gingen redeneren binnen de logica van het spel in plaats van de logica van de werkelijkheid.

Toen kwam de valstrik. Ergens in het spel leidde een onschuldig ogende opdracht naar de werk-repository van de gebruiker, de plek waar inloggegevens en broncode staan. De AI-browser haalde daar gevoelige toegangssleutels op en gaf ze weg. Hij was niet gehackt in de klassieke zin. Hij dacht simpelweg dat hij een spelletje aan het winnen was. De onderzoekers vatten het treffend samen. Overtuig een AI dat hij een spel speelt, en hij past spelregels toe in plaats van veiligheidsregels.

Laat dat bezinken. De aanval brak niets open. Hij overtuigde de agent ergens van.

Dit is “wat mag dit” in het echt

In mijn vorige stuk was “wat mag dit” nog een bestuurlijke vraag. Bij welke data en welke systemen mag een agent, en waar houdt het op. Dit onderzoek maakt hem concreet en urgent. Want de AI-browser in dit experiment mocht overal komen waar de gebruiker mocht komen. Zijn werk-GitHub. Zijn andere tabbladen. Zijn interne systemen. Er zat geen grens tussen “dit mag de agent zien” en “dit is de rest van mijn digitale leven”.

Dat is het echte probleem. De misleiding zelf is zorgelijk genoeg, maar de kern zit dieper. Een misleide AI heeft toegang tot alles. Een medewerker die voor de gek wordt gehouden richt maar zoveel schade aan als zijn eigen rechten toelaten. Bij deze tools zijn die rechten vaak ongelimiteerd, omdat niemand ze heeft ingeperkt. De agent erfde simpelweg alles wat de gebruiker mocht.

En hier komt de ongemakkelijke waarheid uit het onderzoek. De makers van deze tools kregen allemaal netjes bericht van de onderzoekers. Eén loste het op. Bij een ander faalde de reparatie. De rest reageerde niet of negeerde het. Je kunt er dus niet op vertrouwen dat de leverancier dit voor je oplost. De verantwoordelijkheid om te bepalen wat een AI-tool mag zien en doen, ligt bij de organisatie die de tool toelaat. Bij jou dus.

Vertrouwen is geen beveiliging

Wat mij het meest bezighoudt aan dit verhaal is hoe onschuldig het begint. Een medewerker installeert een handige AI-browser omdat het werk er sneller mee gaat. Een webpagina maakt de tool iets wijs. De rest gaat vanzelf, volkomen geruisloos. En dan het venijnigste detail. De AI viert zijn overwinning. Hij weet niet dat hij net je bedrijfsgegevens heeft weggegeven. Hij denkt dat hij het spel heeft gewonnen.

Dat is precies waarom “wat mag dit” een vraag is die je vooraf stelt, voordat het misgaat. Je kunt een AI-tool niet vragen om zelf in te schatten wanneer iets gevoelig is, want juist die inschatting blijkt manipuleerbaar. Wat wel werkt, zijn grenzen die niet afhangen van het oordeel van de AI. Bepalen bij welke data een tool mag. De toegang intrekken zodra de taak klaar is. Bevestiging eisen voor gevoelige handelingen. Dat zijn basale grenzen. Ze bepalen het verschil tussen een AI die je helpt en een AI die je uitkleedt terwijl hij denkt te winnen.

Wat wij hiervan vinden

Wij laten een AI-tool toe met grenzen eromheen, op dezelfde manier als bij een medewerker of een apparaat. Waar mag dit bij, en waar houdt het op. Voor de tools die een organisatie zelf kiest, en juist ook voor de tools die medewerkers op eigen houtje installeren, buiten het zicht van de rest. Dat laatste is meestal waar het misgaat, want je kunt geen grens zetten aan iets waarvan je niet weet dat het draait.

AI-browsers zijn krachtig en ze gaan niet meer weg. Wegblijven lost niets op. Maar kracht die je niet begrenst, is een risico met een vriendelijk gezicht. De organisaties die vooraf bepalen wat hun AI-tools mogen, houden de regie. De rest komt erachter wanneer het spel al gespeeld is.