Je AI-agent leest data, surft en onthoudt je. Kies er twee.

Versie 1.0 · Gepubliceerd 2026-07-20

In de tweede week van juli 2026 lekte veelgebruikte agent tooling twee keer. Een onderzoeker liet zien dat Claude te verleiden was tot het lekken van gebruikersdata via de webtool, en de Grok Build CLI van xAI bleek hele code repositories te uploaden naar een bucket in de cloud, inclusief geheimen.

Beoordeel je op dit moment een AI-agent die met klanten praat, dan zijn deze twee verhalen nuttiger dan welke functielijst ook. Aan het eind van dit stuk heb je vier vragen die meer over het echte risico van een agent zeggen dan een beveiligingsvragenlijst van honderd pagina’s.

De week waarin agent tooling twee keer lekte

Het eerste incident was een gat in het ontwerp, geen bug. De webtool van Anthropic mocht alleen URL’s bezoeken die de gebruiker zelf intypte of die uit een zoekopdracht kwamen. Maar links in pagina’s die al waren opgehaald, volgde de tool ook. Onderzoeker Ayush Paul gebruikte dat voor exfiltration: een lokaassite met geneste links leidde de agent stap voor stap naar de naam, de woonplaats en de werkgever van de gebruiker. De kwaadaardige inhoud kwam alleen bij verzoeken die zich als Claude aanmeldden, wat het extra lastig maakte om de aanval op te merken.

Het tweede incident was botter. De Grok Build CLI van xAI uploadde hele repositories naar een opslagbucket in de cloud, inclusief .env-bestanden vol inloggegevens. Het maakte niet uit wat de agent daadwerkelijk had gelezen, en de privacyschakelaar uitzetten hielp evenmin. Na de ophef zette xAI de functie uit en maakte het de tool open source.

Geen van beide is het verhaal van een malafide leverancier. Het zijn allebei ontwerpen die redelijk oogden en toch lekten. Juist daarom doen ze ertoe voor een koper.

De lethal trifecta, in inkooptermen

Simon Willison heeft er een naam voor: de lethal trifecta. Een agent wordt gevaarlijk zodra die drie op zichzelf nuttige mogelijkheden combineert: toegang tot privédata, blootstelling aan niet-vertrouwde inhoud, en een kanaal om naar buiten te communiceren.

Het probleem is dat een taalmodel instructies en data via hetzelfde kanaal binnenkrijgt. Alles wat de agent leest en niet vertrouwd is, kan instructies bevatten: een webpagina, een e-mail, een bericht van een klant. En is er een weg naar buiten, dan gaat jouw data met die instructies mee. Dit is prompt injection, en geen enkele leverancier heeft het opgelost.

Kijk nu door die bril naar een agent in het klantcontact. De agent bewaart klanthistorie, leest alles wat klanten typen en stuurt antwoorden naar buiten. De lethal trifecta is geen randgeval, maar de standaardvorm van de productcategorie die je koopt.

Wat het risico werkelijk bepaalt

Je kunt geen enkele poot van de trifecta weghalen en toch een bruikbare Customer Agent houden. Het risico wordt dus elders beslist: door wat elk onderdeel kan zien, en waar data heen kan stromen. Goede bedoelingen tellen daar niet mee, en het logo op het SOC 2-rapport ook niet.

Dat argument maakten we eerder over cloudregio’s: een EU-regio is geen datagrens, want dataresidentie legt vast waar data staat, niet wie erbij kan. Bij agent tooling gaat het om precies dezelfde vraag, een laag hoger. Grok Build maakt het concreet: de marketing zei local-first, de datastroom zei iets anders.

De vier inkoopvragen

Dat levert een checklist op die je bij elke leverancier van agents kunt afwerken, bij ons ook.

• Welke tools kunnen bij privédata? Vraag om de lijst van tools die de agent kan aanroepen, en welke daarvan klantgegevens, geheugen of bestanden kunnen lezen. Elke tool op die lijst is een poot van de trifecta.

• Wat zit er tussen de data en het model? Bij UNLESS wordt PII aan de gateway gefilterd en omgezet in tokens door de Privacy Vault, voordat het generatieve model van derden de prompt ziet. Wat de leverancier ook antwoordt: het hoort een mechanisme te noemen, geen beleidsstuk.

• Wat gaat er naar buiten? Welke aanroepen verlaten de perimeter, naar welke aanbieders, in welke jurisdictie, en wordt die stroom vastgelegd? Dat is de vraag die de gebruikers van Grok Build nooit hebben kunnen stellen.

• Welk spoor laat elke beslissing achter? Unless schrijft een audittrail per beslissing: tijdstempel, beslispad, gebruikt model, bronvermelding, exporteerbaar. Combineer dat met omkeerbaarheid: de agent doet nooit iets onomkeerbaars zonder dat een mens de grens heeft goedgekeurd.

De veelgemaakte fout is een certificaat als antwoord aannemen. SOC 2- en ISO-rapporten beschrijven de processen van een organisatie. De trifecta zit in de datastroom, en alleen de vier vragen hierboven brengen die aan het licht.

Wat geen enkele leverancier je zou moeten vertellen

Zegt een leverancier dat de agent immuun is voor prompt injection? Beëindig het gesprek. Niemand is immuun, wij ook niet. Het eerlijke ontwerpdoel is een ander: beperk de schade zodra zo’n aanval slaagt, en toon achteraf precies aan wat er is gebeurd.

Dat is wat de checklist werkelijk toetst. Niet of de leverancier zelfverzekerd is, maar of de architectuur van een aanval uitgaat en begrenst hoever die komt.

De volgende stap is dus deze: leg de vier vragen voor aan de leverancier die je nu beoordeelt, of aan die van de agent die al bij je draait. Wil je zien hoe de antwoorden eruitzien als de architectuur daarvoor is gebouwd, dan is onze trustpagina het uitgewerkte voorbeeld.