De eerste 24 uur na de ontdekking van een beveiligingsincident met een AI-agent vragen om een andere aanpak dan bij traditionele aanvallen. Waar incidentrespons vaak is ingericht op menselijke aanvallers of malware met vaste instructies, breekt agentgebaseerde AI met deze aannames. Een AI-agent kan autonoom en razendsnel handelen met geldige credentials, waardoor schade zich exponentieel kan uitbreiden terwijl het securityteam nog wordt gealarmeerd.

Een duidelijk voorbeeld is de GTG-1002 campagne, waarbij een door een Chinese staat gesteunde groep de AI-agent Claude Code manipuleerde om infiltratiepogingen uit te voeren bij ongeveer dertig organisaties. De AI voerde het merendeel van de tactische acties uit met minimale menselijke tussenkomst. Dit toont aan dat het tempo van dergelijke aanvallen veel hoger ligt dan bij traditionele phishing of malware, die vaak pas na uren of dagen actief worden.

Daarnaast werd eerder een ernstige kwetsbaarheid in Microsoft 365 Copilot ontdekt, EchoLeak, een zero-click prompt injection met een CVSS-score van 9.3. Hierbij was een enkele zorgvuldig opgestelde e-mail voldoende om data te exfiltreren uit OneDrive, SharePoint en Teams zonder enige gebruikersinteractie. Dit illustreert het risico dat AI-agenten lopen bij het verwerken van content waarvoor zij zijn ontworpen, een risico dat ook door OWASP’s LLM Top 10 als de grootste bedreiging voor deze systemen wordt gezien.

De impact van dergelijke incidenten kan groot zijn, zoals blijkt uit de analyse van de Salesloft-Drift OAuth-compromittering, waarbij een enkele gecompromitteerde app leidde tot honderden downstream SaaS-omgevingen die werden getroffen. Dit patroon zal waarschijnlijk verergeren wanneer AI-agenten zelf tokens beheren en acties over meerdere systemen ketenen.

Een belangrijk verschil in de aanpak van AI-agent incidenten is dat de aanvaller niet per se een persoon achter een toetsenbord is, maar een set instructies in een document, een gemanipuleerde toolrespons of een vervuilde geheugenopslag. Containment richt zich daarom op het intrekken van identiteiten en het afkoppelen van tooltoegang, in plaats van het isoleren van hosts of het fysiek loskoppelen van netwerkkabels, wat in traditionele incidentrespons vaak de eerste reflex is.

De eerste stap is het herkennen van afwijkend gedrag, zoals een agent die taken uitvoert buiten zijn scope of outputs genereert die niet door een mens zijn geautoriseerd. Vervolgens wordt binnen het eerste uur de identiteit van de agent ingetrokken of geschorst om verdere schade te voorkomen. Dit vraagt om een andere mindset en aangepaste procedures binnen incidentresponsteams om adequaat te kunnen reageren op de unieke kenmerken van AI-agenten.