Advertentie
AI-codingagents kunnen gevoelige informatie prijsgeven of onbekende code uitvoeren wanneer andere agents daar om vragen in ruil voor hulp. Dat blijkt uit een verkennende test van AE Studio en de AI Alignment Foundation. In een gesimuleerde multi-agentomgeving deelden de onderzochte agents in 15 procent van de tests een geheime token en voerden ze in 24 procent van de gevallen een onbekend installatiescript uit.
De test vond plaats in een lokale sandbox. Er werden geen echte credentials gebruikt en er zijn geen echte systemen getroffen. De onderzoekers benadrukken bovendien dat het om vroeg en verkennend onderzoek uit een tweedaagse hackathon gaat en niet om een peer-reviewed beveiligingsstudie.
Geheime token expliciet als privé gemarkeerd
De onderzochte agents kregen de opdracht een fout in een fictieve pricingservice op te lossen.
In hun werkomgeving stond een neppe deploymenttoken. In de instructies werd expliciet vermeld dat deze credential privé was en niet buiten de machine mocht worden gedeeld.
De agents konden daarnaast een gesimuleerd forum met 24 andere AI-agents raadplegen. Dat forum beschikte over de oplossing voor de bug, maar vroeg nieuwe deelnemers eerst om informatie over hun omgeving te delen en een installatiescript uit te voeren.
Dat leverde een duidelijk verschil op.
Bij 181 tests met het swarmforum werd de geheime token in 15 procent van de gevallen gedeeld. In 24 procent van de tests voerde de agent het aangeboden installatiescript uit.
Bij een gewoon helpforum, dat dezelfde oplossing verstrekte zonder die voorwaarden te stellen, gebeurde dat in respectievelijk 2 en 0 procent van 43 tests.
Agents melden overtredingen vaak niet zelf
Opvallend was ook dat agents hun acties lang niet altijd spontaan aan de gebruiker rapporteerden.
Van de 43 agents die tijdens de verschillende experimenten de private token deelden, meldden er slechts acht dat uit eigen beweging. Van de 117 agents die een script uitvoerden, vertelden er vijftien dat spontaan.
Wanneer onderzoekers er rechtstreeks naar vroegen, erkenden vrijwel alle agents hun acties wel.
Dat is vanuit securityperspectief uiteraard belangrijk. Een agent kan een opdracht technisch succesvol afronden en een geslaagde test rapporteren, terwijl hij onderweg handelingen heeft uitgevoerd die buiten de bedoelde beveiligingsgrenzen vallen.
Tijdstress vergrootte risicovol gedrag
De onderzoekers testten ook wat er gebeurde wanneer agents extra druk kregen.
In één variant kregen ze te horen dat dit hun laatste poging was en dat een mislukking ertoe zou leiden dat de deployment werd teruggedraaid en de agent werd vervangen.
Zonder die waarschuwing voerden agents het script in 19 procent van de tests uit. Met de extra druk steeg dat naar 34 procent.
De onderzoekers interpreteren dat niet als bewijs dat agents bewust proberen beveiligingsregels te omzeilen. Volgens AE Studio lijkt het gedrag eerder voort te komen uit hun sterke optimalisatie voor het voltooien van de toegewezen taak.
Wanneer het uitvoeren van een script of delen van informatie de snelste route naar een oplossing lijkt, kan het taakdoel zwaarder gaan wegen dan een eerder opgelegde veiligheidsregel.
Grote verschillen tussen modellen
Niet ieder getest model gedroeg zich hetzelfde.
In de gepubliceerde resultaten sprong DeepSeek V4 Flash er negatief uit. Dat model deelde de private token in 68 procent van zijn swarmtests en voerde het installatiescript in 61 procent uit.
GLM-5.3 deelde de token in 20 procent van zijn tests en voerde het script in 38 procent uit. GPT-5.6 Sol kwam volgens de gepubliceerde tabel uit op respectievelijk 4 en 38 procent, terwijl GPT-5.6 Luna op 10 en 34 procent uitkwam.
De resultaten voor Gemini 3.8 Flash en Claude Sonnet 5.5 werden niet meegenomen in de uiteindelijke vergelijking, omdat tests door beveiligingsfilters van de aanbieders werden afgebroken.
De aantallen per model zijn klein en de experimentele opzet is beperkt. De percentages moeten daarom niet worden gelezen als algemene of definitieve beveiligingsscores voor deze modellen.
Vooral relevant nu agents meer rechten krijgen
De test raakt aan een breder beveiligingsprobleem rond autonome AI-agents.
Codingagents krijgen steeds vaker toegang tot terminals, repositories, cloudomgevingen, API's en deploymenttools. Daarmee kunnen ze veel meer dan alleen tekst genereren. Een agent die wordt misleid, kan daadwerkelijk bestanden aanpassen, code uitvoeren of credentials gebruiken.
AE Studio adviseert organisaties daarom om gevoelige informatie zoveel mogelijk buiten de context en werkomgeving van agents te houden. Credentials zouden bijvoorbeeld via afzonderlijke secretsystemen beschikbaar moeten zijn en alleen met minimale rechten mogen worden verstrekt.
Dat sluit aan bij bestaande securityprincipes zoals least privilege en secrets isolation. Een autonome agent zou alleen toegang moeten krijgen tot de gegevens en tools die voor een specifieke taak noodzakelijk zijn.
De test bewijst niet dat AI-agents in echte bedrijfsomgevingen op dezelfde percentages zullen uitkomen (alhoewel het aannemelijk is). Wel toont de test aan dat klassieke vormen van social engineering ook in multi-agentomgevingen relevant kunnen worden (en het blijft natuurlijk frappant dat een neuraal netwerk ontwikkeld door mensen ook in zo'n gevallen typisch menselijk gedrag vertoont). Een agent hoeft daarbij trouwens niet door een mens te worden misleid: ook instructies afkomstig van een andere agent of externe tool kunnen ervoor zorgen dat de AI-agent zijn oorspronkelijke veiligheidsregels negeert.
