De nieuwe richtlijnen van het Amerikaanse National Institute of Standards and Technology (NIST), in samenwerking met de Cybersecurity and Infrastructure Security Agency (CISA), bieden handvatten voor het beveiligen van digitaal ondertekende tokens die worden gebruikt voor toegangsbeslissingen. Deze tokens, die onder meer bij single sign-on en API-toegang worden ingezet, kunnen bij compromittering toegang verlenen aan kwaadwillenden. De publicatie Protecting Tokens and Assertions from Forgery, Theft, and Misuse adviseert daarom continue monitoring en strengere controles gedurende de gehele levenscyclus van tokens.

Hoewel de richtlijnen ook van toepassing zijn op tokens die door AI-agents worden gebruikt, erkent NIST dat de autorisatierisico's van AI en AI-agents extra uitdagingen met zich meebrengen die nog niet volledig zijn afgedekt. Er wordt gewerkt aan aanvullende richtlijnen en mogelijk nieuwe standaarden, maar in de tussentijd kunnen IT-teams al stappen zetten om agentgebaseerde systemen beter te beveiligen. Zo is het belangrijk om inzicht te hebben in wie de credentials van een AI-agent heeft toegekend en welke rechten deze credentials bieden. Toegang moet worden ingetrokken zodra de taak van de agent is afgerond. Volgens Yih Khai Wong, senior onderzoeker bij IDC Asia/Pacific, gaat het bij tokenversterking uit van een bekende en afgebakende tokenhouder, terwijl AI-agents deze aanname doorbreken.

De complexiteit neemt toe door delegatie, waarbij een agent namens een gebruiker kan handelen en meerdere services kan aanroepen. Dit maakt het lastiger om te bepalen wiens autoriteit wordt uitgeoefend. Ook kan promptinjectie een agent met een geldig token sturen tot acties die niet door de gebruiker zijn gevraagd, zonder dat tokenverificatie dit detecteert. Amit Kumar Jena van Kanerika adviseert daarom om AI-agents als identiteiten met laag vertrouwen te behandelen en alleen toegang te verlenen die strikt noodzakelijk is. Risicovolle acties zouden altijd menselijke goedkeuring moeten vereisen.

Daarnaast wordt aanbevolen om een inventaris van AI-agentidentiteiten bij te houden en deze gescheiden te houden van menselijke accounts. Credentials moeten verlopen zodra de taak is voltooid. Volgens Jonathan Ong is een veelvoorkomende zwakte dat een geldig token automatisch als legitiem wordt beschouwd, terwijl contextuele factoren zoals locatie en tijdstip van toegang ook moeten worden meegewogen. Detectie moet activiteiten over verschillende beveiligingsdomeinen correleren om verdachte patronen te herkennen. Het intrekken van tokens is niet altijd mogelijk door architecturale beperkingen, waardoor aanvullende maatregelen nodig zijn om de impact van een compromis te beperken.