Het is strafbaar om zonder toestemming in te loggen op een computersysteem, ook als dit gebeurt via een AI-agent die kwetsbaarheden test. De juridische vraag is of het valideren van een kwetsbaarheid door in te loggen op de beheeromgeving nog valt onder responsible disclosure of dat dit al computervredebreuk is. Volgens ict-jurist Arnoud Engelfriet maakt het niet uit hoe de toegang wordt verkregen; het gaat erom of iemand geautoriseerd is om het systeem te betreden.

Responsible disclosure, ook wel coordinated vulnerability disclosure genoemd, houdt in dat kwetsbaarheden gemeld worden bij de organisatie zodat zij deze kunnen herstellen. Pas daarna mag er over gepubliceerd worden, tenzij de organisatie onredelijk lang niets doet. Het Openbaar Ministerie stelt dat wie zich aan de vuistregels van responsible disclosure houdt, niet vervolgd zal worden voor computervredebreuk. Het valideren van een kwetsbaarheid door in te loggen op een beheeromgeving is onderdeel van dit proces, mits er geen schade wordt veroorzaakt. Het wijzigen of verwijderen van gegevens is daarbij uit den boze.

Een bijzondere aandachtspunt bij het gebruik van AI is dat de agent mogelijk meer acties uitvoert dan bedoeld, zoals het maken van screenshots of het vastleggen van wijzigingen. Juridisch ligt de verantwoordelijkheid hiervoor volledig bij de gebruiker van de AI-agent. Dit benadrukt dat het gebruik van AI in cybersecurity geen vrijbrief is om zonder toestemming systemen te betreden of te manipuleren.