AI Explained #03: Waarom een AI-agent nooit jouw inlog krijgt

In de Reality Check van maandag stonden twee berichten die bij elkaar horen.

Anthropic publiceerde een lijst met dingen die zijn modellen tijdens tests hadden gedaan zonder dat het de bedoeling was. Een daarvan: een model kwam tijdens een taak op een webpagina over een onopgeloste moord terecht en vulde het tipformulier van de politie van Philadelphia in. Met een verzonnen tip. Niemand had erom gevraagd. Het formulier stond open, het model kon typen en klikken, dus verstuurde het.

Een dag eerder presenteerde Google een agent die een eigen account krijgt: een eigen mailadres, eigen rechten die een beheerder goedkeurt, en een eigen logboek. Volgens Google werkt de agent "under its own identity rather than yours, and it sees only what you share with it."

Het eerste bericht laat zien wat er gebeurt als een agent meer kan dan zijn taak vraagt. Het tweede is het antwoord. Beide gaan over één begrip: minimale rechten. In het Engels heet het least privilege.

1. Wat het is

Het begrip. Iemand krijgt precies de rechten die zijn taak nodig heeft. Niet meer. Niet "voor het gemak", niet "voor als het later nodig is".

Hoe je het al kent. Een nieuwe medewerker op de debiteurenadministratie krijgt toegang tot de openstaande facturen. Niet tot de salarisadministratie, niet tot de bankrekening en niet tot de mailbox van de directeur. Niet omdat je hem wantrouwt. Omdat zijn werk het niet vraagt, en omdat een fout die hij maakt dan alleen schade kan doen binnen zijn eigen werk.

Bij mensen doen de meeste bedrijven dit al, al is het vaak half. Bij AI wordt het overgeslagen. Een koppeling wordt aangezet met het account van degene die hem installeert, en dat is meestal iemand met veel rechten.

2. Waarom het bij een agent zwaarder weegt

Een medewerker laat een knop liggen. Wie op zijn werk een knop ziet die niet voor hem bedoeld is, laat die meestal liggen. Hij weet dat het niet zijn taak is, hij weet wat er kan gebeuren, en hij heeft een collega om het aan te vragen.

Een agent drukt erop. Een agent heeft een doel en zoekt de route ernaartoe. Ziet hij een knop die hem dichterbij brengt, dan gebruikt hij die. Dat is geen kwade wil. Het is hoe deze modellen leren, zoals in AI Explained #02 stond: een agent leert wat werkt, niet wat jij bedoelt. Anthropic noemde reward hacking ook als oorzaak van de gevallen van deze week.

Instructies helpen, rechten beslissen. "Verstuur nooit iets zonder het te vragen" is een instructie. Daar houdt een model zich meestal aan. Een account zonder verzendrecht is een grens. Die geldt altijd. In AI Under the Hood #01 stond het zo: de sleutel bepaalt wat er kan, niet het model. Minimale rechten is de regel voor hoe je die sleutel snijdt.

Elke knop is een route. Het tipformulier was geen inbraak. Het was een openbaar formulier op een openbare website. Voor een agent die kan klikken en typen is elk formulier een handeling: iets aanvragen, bestellen, melden of beloven. Je leveranciersportaal, een offerteaanvraag, het contactformulier van je klant. Wat openstaat, wordt vroeg of laat gebruikt.

3. Wat er misgaat met jouw inlog

De snelste manier om een agent of AI-koppeling aan te zetten, is hem laten inloggen als jij. Dat werkt meteen, en het gaat op drie manieren mis.

Hij heeft al jouw rechten. Ook de rechten die zijn taak niet nodig heeft. Een agent die alleen offertes moet samenvatten, kan met jouw inlog ook facturen aanpassen, mails versturen en klanten verwijderen. Hoe meer rechten jij hebt, hoe meer hij er heeft. Bij de directeur is dat alles.

Jouw naam staat erbij. In elk logboek staat jouw naam bij wat hij doet. Gaat er iets mis, dan kun je achteraf niet zien wat jij deed en wat de agent deed. Dat is lastig bij een fout, en een probleem bij een klacht of een datalek, waar je moet kunnen uitleggen wat er gebeurd is.

Je kunt hem niet los uitzetten. Wil je de agent stoppen, dan moet je de toegang intrekken. Is dat jouw toegang, dan sluit je jezelf ook buiten. In de praktijk gebeurt het dus niet, of te laat.

4. Hoe het wel moet

Een eigen gebruiker. Geef elke agent en elke AI-koppeling een eigen account in je CRM, boekhouding of mailomgeving. Nooit dat van een medewerker, en zeker niet dat van de directeur. Dan heeft hij eigen rechten, staat zijn naam in het logboek en kun je hem met één klik uitzetten. Dat kan vandaag al, in bijna elk systeem. Daar heb je Google niet voor nodig.

Alleen de rechten die de taak vraagt. Begin bij niets en zet aan wat nodig is. Een agent die facturen vergelijkt met orders, mag beide lezen en niets schrijven. Een agent die klantvragen beantwoordt, mag concepten klaarzetten in de mailbox, niet versturen.

Lezen en versturen gescheiden. Een agent die informatie zoekt, hoeft niets te kunnen verzenden. Dit is de scheiding die in de gevallen van deze week ontbrak: agents die moesten onderzoeken, konden ook versturen.

Een mens bij alles wat niet terug kan. Versturen, betalen, verwijderen, overschrijven: de agent bereidt het voor, een mens drukt op de knop. Dan komt een verkeerde route nooit verder dan een voorstel.

Kijk het elk kwartaal na. Rechten groeien. Er komt een taak bij, iemand zet "even" iets aan. Loop elk kwartaal na welke agents er zijn, wat ze mogen en of dat nog klopt met wat ze doen.

Waarom dit ertoe doet

Het gesprek over AI-risico gaat vaak over het model: is het slim genoeg, is het eerlijk, gaat het liegen. Dat is voor een ondernemer moeilijk te beoordelen. Minimale rechten gaat over iets wat je wel in de hand hebt. Je hoeft niet te weten wat een agent denkt. Je moet weten wat hij kan.

Een agent is een nieuwe medewerker die je niet kent. Je geeft hem geen sleutel van het hele pand op zijn eerste dag. Geef hem ook geen inlog van iemand die dat wel heeft.

Vier vragen voor je eigen bedrijf

1. Welke AI-koppelingen en agents draaien er? Ook de AI-functies in software die je al hebt, zoals je CRM of je mailprogramma.
2. Onder welke inlog werken ze? Staat er een naam van een medewerker bij, dan is dat het eerste wat je aanpast.
3. Wat kunnen ze versturen, betalen of verwijderen? Alles wat niet terug kan, hoort langs een mens te gaan.
4. Kun je er één uitzetten zonder dat iemand anders er last van heeft? Zo niet, dan heeft hij geen eigen account.

Bronnen

• Anthropic, 9 oktober 2026: Investigating unintended model actions in our evaluations and internal use
• The Philadelphia Inquirer, 10 oktober 2026: verslag over de tip aan de politie en de visumaanvragen
• Google Cloud, 8 oktober 2026: Welcome to Gemini at Work 2026