Een organisatie zet een agent in die inkoopfacturen controleert. Om zijn werk te doen, moet hij bij het facturensysteem, bij de contracten en bij de mailbox van de crediteurenadministratie. De snelste manier om dat te regelen is hem laten draaien onder het account van de medewerker die het werk eerst deed.
Dat werkt vanaf dag één. Maar de agent heeft nu ook toegang tot alles waar die medewerker in acht jaar dienstverband bij is gekomen.
Voor een agent zijn rechten geen bijzaak
Een agent verschilt van een chatbot doordat hij handelt. Handelen betekent dat een ander systeem hem toestemming moet geven: het mailsysteem, de documentopslag, het ERP.
Die toestemming is dus geen randvoorwaarde maar de kern van wat de agent is. Wat hij kan, is precies wat hem is toegekend. Alles wat verder over gedrag en betrouwbaarheid wordt gezegd, staat of valt daarmee.
Waarom het account van de gebruiker de standaard is
Omdat het werkt en niets kost. De koppeling bestaat al, het account bestaat al en de gebruiker zou dit werk toch zelf doen.
Daarna volgen drie problemen.
Hij erft de rommel. Elke medewerker heeft in de loop der jaren toegang gekregen tot dingen die er niet meer toe doen: oude projectsites, gedeelde mappen, deellinks die nooit verliepen. Zolang een mens daar maar af en toe iets van gebruikt, blijft het onzichtbaar. Een agent zoekt wel overal. Zie hoe AI-tools bij bestanden komen die je nooit hebt geüpload.
Het logboek wordt onbruikbaar. Als de agent onder het account van de gebruiker werkt, staat er in elk systeem dat de gebruiker het deed. Bij een incident kun je niet vaststellen of de mens of de automatisering iets heeft gedaan, en juist dan wil je het weten.
Intrekken kan niet gericht. Wil je de agent zijn rechten op één systeem afnemen, dan neem je ze ook de medewerker af.
Waarom minimale rechten hier lastiger zijn
Bij een mens werkt het principe van minimale rechten redelijk: je weet welke rol iemand heeft en welke systemen daarbij horen.
Bij een agent botst dat op twee dingen.
Je weet de stappen niet vooraf. Je zet een agent juist in omdat het model zelf bepaalt hoe het doel wordt bereikt. Welke systemen daarvoor nodig zijn, blijkt onderweg. Wie vooraf krap toekent, krijgt storingen; wie ruim toekent, heeft het probleem uit de vorige paragraaf.
De taak groeit ongemerkt. Een agent die begon met factuurcontrole, verstuurt na drie maanden ook betalingsherinneringen. Er is geen aanvraag ingediend, want de rechten waren er al.
De eerlijke conclusie: minimale rechten zijn hier geen instelling maar een cyclus. Je begint krap, breidt uit op basis van wat er echt misgaat en gaat regelmatig na of alles nog nodig is.
Wat wel werkt
Een eigen account per agent. Niet één per agenttype, maar één per agent. Het bereik wordt expliciet, je kunt de rechten apart intrekken en het logboek laat zien dat de automatisering handelde.
Rechten per taak, niet per persoon. Beschrijf welke systemen de taak nodig heeft en op welk niveau (lezen, schrijven, verwijderen). Dat is een korter lijstje dan het rechtenprofiel van een mens.
Een aparte drempel voor onomkeerbare acties. Lezen en handelen zijn twee verschillende soorten rechten. Versturen, verwijderen, publiceren, betalen en rechten toekennen horen achter een menselijke bevestiging, hoeveel de agent verder ook mag zien.
Tokens met een korte levensduur. Toegang die vanzelf verloopt, in plaats van een sleutel die geldig blijft tot iemand hem intrekt. Bij koppelingen via losse servers is dit een terugkerend zwak punt, zoals je leest in onze uitleg over MCP-servers.
Opnieuw kijken als de taak groter wordt. Het moment waarop iemand zegt "hij kan nu ook X" is het moment om opnieuw naar de rechten te kijken.
Waarom dit dringender is dan het lijkt
Er is nog een reden om hier streng te zijn, en die staat los van vergissingen.
Een agent leest inhoud waarvan hij niet weet of die te vertrouwen is: e-mails, webpagina's, documenten. Als daar instructies in verstopt zitten, kan hij die opvolgen, en dan handelt hij met precies de rechten die je hem hebt gegeven. Meer daarover lees je in onze uitleg over promptinjectie.
Dat maakt de rechtenvraag de belangrijkste beveiligingsmaatregel die je hebt. Niet omdat je het model wantrouwt, maar omdat je het model kunt ompraten en de rechten niet.
