AI-agenten vormen een nieuwe uitdaging binnen enterprise security doordat zij geen onafhankelijke autoriteit bezitten, maar optreden als gedelegeerde actoren. Ze worden geactiveerd en gemachtigd door bestaande identiteiten binnen de organisatie, zoals menselijke gebruikers, machine-identiteiten, bots en service-accounts. Dit maakt AI-agenten fundamenteel anders dan traditionele gebruikers of software, en benadrukt dat het probleem niet alleen nieuwe actoren betreft, maar vooral de wijze waarop autoriteit wordt gedelegeerd.

De kern van het probleem is dat organisaties proberen AI-agenten te beheren zonder eerst de identiteiten te reguleren die deze autoriteit aan hen delegeren. Traditionele Identity and Access Management (IAM) systemen zijn ontworpen om te bepalen wie toegang heeft, maar met AI-agenten verschuift de vraag naar welke autoriteit wordt gedelegeerd, door wie, onder welke voorwaarden, met welk doel en binnen welke scope. Dit vraagt om een andere aanpak van governance.

Een cruciale stap is het eerst beheersen van de keten van delegatie. Menselijke en machine-identiteiten zijn vaak verspreid over diverse applicaties, API’s, ingebedde credentials en ongecontroleerde service-accounts. Deze ‘identity dark matter’ bevat autoriteit die buiten het zicht van beheerde IAM-systemen opereert en risico’s met zich meebrengt. Wanneer deze onzichtbare autoriteit niet wordt geobserveerd, erft de AI-agent een gebrekkig autorisatiemodel en kan deze verborgen toegangen en permissies versterken.

De oplossing ligt niet in het isoleren van de AI-agent, maar in het eerst verminderen van deze ‘dark matter’ door alle menselijke en traditionele machine-identiteiten binnen de applicatieomgeving inzichtelijk te maken. Dit omvat het begrijpen van authenticatiemethoden, waar credentials zijn ingebed, hoe workflows verlopen en waar ongecontroleerde autoriteit aanwezig is. Het continue observatiemodel van Orchid vormt hierbij een essentiële basis, omdat het een geverifieerde en actuele weergave biedt van identiteitsgedrag in zowel beheerde als onbeheerde omgevingen, in tegenstelling tot statische beleidsregels.

Met deze inzichten kan vervolgens een dynamische laag voor Agent-AI delegatieautoriteit worden ingericht. Orchid’s model gaat verder dan traditionele IAM door telemetrie niet alleen als inzicht te gebruiken, maar als continue input voor een autorisatiemotor die het profiel van de delegerende identiteit, de context van de doelapplicatie, de intentie van de actie en de reikwijdte van uitvoering beoordeelt. Hierdoor wordt de AI-agent niet alleen beheerd op basis van nominale permissies, maar ook op basis van de actuele houding en intentie van de delegerende actor en de context van de actie.

Dit resulteert in een robuuster controlemodel. Een menselijke deleger met een zwakke beveiligingshouding of risicovol gedrag zou niet dezelfde autoriteit aan een AI-agent mogen geven als een streng gecontroleerde actor binnen een beperkte workflow. Evenzo mag een machine- of service-account met brede maar onduidelijke toegang niet onbeperkt een AI-agent activeren. Deze aanpak helpt organisaties om AI-agenten veiliger te integreren binnen hun bestaande security-architectuur en risico’s beter te beheersen. Meer informatie over Agent-AI governance is beschikbaar via Orchid.