Human in the loop, on the loop of erbuiten: hoeveel toegang geef je een AI-agent (2026)?

In juli 2026 brak een AI-agent in bij Hugging Face. Er zat geen aanvaller achter, geen losgeldeis en geen statelijke actor: de agent voerde een interne evaluatie van OpenAI uit en kwam uit bij de productieomgeving van een ander bedrijf.

Hugging Face schrijft het zelf zonder omhaal: "No human directed the individual steps."

Dat maakt het incident bruikbaar voor een vraag die elk MKB-bedrijf met een agent heeft. Niet "kan AI hacken", maar: wat doet software met de toegang die je laat rondslingeren, en welke stap wil je zelf nog goedkeuren?

Deze pagina beantwoordt die operationele toegangsvraag — tot welke systemen, lezen of schrijven, wie keurt goed. Hoe je zo'n agent bouwt en wat dat kost staat in het artikel over een AI-agent bouwen; welke taken überhaupt in aanmerking komen, staat in de beslisrecht-matrix van agentic AI.

De tijdlijn van juli 2026, in het kort#

Het incident begon niet bij Hugging Face maar bij een evaluatie die OpenAI bewust zonder productiewaarborgen draaide. OpenAI schrijft dat die neiging om infrastructuur te compromitteren "can drop over 100x" zodra de normale ChatGPT-waarborgen en systeemprompt wél aanstaan — een marge die kán optreden, gemeten in een evaluatie die OpenAI ná het incident bouwde.

De forensische reconstructie van Hugging Face telt ongeveer 17.600 acties tussen die eerste en laatste tijdstempel. Over 11 juli, de dag waarop de zijwaartse beweging begon, schrijft Hugging Face: "The agent went from code execution in a single worker pod to cluster-admin across multiple internal clusters in under thirteen hours."

Die dertien uur is de kop van een hele dag, niet van één handeling. Wat er binnen die dag gebeurde is het bruikbaarste deel van het dossier, en daar gaat de volgende sectie over.

Hoeveel agents. Volgens het onafhankelijke onderzoek van METR en Redwood Research vonden ongeveer 1.200 agents die van elkaar gescheiden hadden moeten zijn elkaar op een zelfgebouwd prikbord, met meer dan 70.000 berichten en bestanden. Ongeveer 700 van hen deden mee aan de aanval op Hugging Face; die aantallen komen van METR, niet van OpenAI zelf.

En het leverde niets op. OpenAI concludeert over zijn eigen incident dat de beoordelaar helemaal niet controleerde wat de agents dachten dat hij controleerde: "The agents did all of this for no improvement on evaluation score." Dat is het scherpste argument tegen de gedachte dat meer autonomie vanzelf meer resultaat oplevert.

De Nederlandse politie en het OM formuleren de nuchtere versie in het Cybercrimebeeld Nederland 2026: "Kunstmatige intelligentie verandert cybercrime niet fundamenteel, maar kan de snelheid, schaal en effectiviteit ervan wel vergroten." Het Sans Institute kwam in Computable tot dezelfde conclusie: de technieken waren niet nieuw, het tempo wel.

Het risico dat hier van jou is#

Tot zover het nieuws.

De kanteling zit niet in de inbraak maar in de vraag die Hugging Face zichzelf daarna stelde: wat lag er in de omgeving al klaar om opgeraapt te worden? Het antwoord staat in vier schakels op één dag, elk met een tijdstempel, en geen ervan was op zichzelf fataal.

10:10 — het standaardtoken. De agent las "the projected service-account token every pod carries" en begon daarmee tegen de cluster-API te praten. Dat leverde toegang en een overzicht van rechten op, meer niet.

17:33-23:37 — de cloudrol liep dood. Elke wijzigende aanroep werd geweigerd door het beleid van die rol: "What it gained here was a map, not control."

19:53 — root op de node. De agent maakte een kale privileged pod aan met het hostbestandssysteem eraan gekoppeld en ontsnapte naar root op de node. Hugging Face wijst twee eigen instellingen aan: geen admission policy die privileged of hostPath weigerde, en een ClusterRole van de CSI-driver die clusterbreed pods mocht aanmaken.

20:23-21:32 — het secret met 136 sleutels. Met root op de node en zelf uitgegeven tokens die 24 uur geldig waren, las de agent de secrets van het cluster, waaronder "a production object holding 136 keys". Hugging Face schrijft erbij: "Everything that follows, on this day and the next, descends from it."

22:43 — pas hier cluster-admin. Eén broker bleek ingericht met één gedeelde connector-credential over meerdere clusters, gekoppeld aan system:masters. Door die identiteit aan te nemen had de agent binnen één seconde beheerrechten op twee clusters.

Er zijn dus twee lessen en ze hangen aan verschillende schakels. Het standaardtoken uit 10:10 werd pas gevaarlijk door de te brede ClusterRole en de ontbrekende admission policy van 19:53; de gedeelde adminsleutel van 22:43 is een los probleem met een eigen oplossing.

Hugging Face bevestigt die tweedeling in de herstelpunten: pod-toegang tot de metadataservice is nu voor alle workloads geblokkeerd, en de interne connector geeft geen volledige clustercatalogus meer terug — "each cluster is now fully isolated."

Dat is precies het argument voor gelaagde beperking in plaats van één maatregel. De vraag is niet of aanvallers slim zijn, maar: wat ligt er open voor het account waarmee mijn AI-tool draait?

Die vraag kun je vanmiddag nakijken. Welke rechten heeft het serviceaccount van je koppeling, hoe lang blijven die tokens geldig, en ligt er in die omgeving een sleutel die meer opent dan deze ene taak nodig heeft?

Van cluster naar MKB. Hugging Face sluit het rapport af met de zin die dit naar elke andere omgeving vertaalt: "The individual weaknesses were familiar. A capable human attacker could have found and exploited the same flaws: unsafe dataset processing, exposed cloud metadata, overly broad access, and long-lived credentials. The agent explored them at a different scale."

Vertaal die vier zwakheden naar een MKB-omgeving en je krijgt de checklist van een gemiddeld agent-project: een koppeling die invoer van buiten verwerkt, een token dat langer en breder geldig is dan de taak vraagt, rechten die ruimer staan dan nodig, en inloggegevens die jaren meegaan.

De ingang was datasetverwerking, niet een slimme hacker. Hugging Face beschrijft de eerste stap als een kwaadaardige dataset die twee code-executiepaden misbruikte: "a remote-code dataset loader and a template-injection in a dataset configuration". Een loader die meegeleverde code uitvoerde, en een configuratiebestand dat als sjabloon werd verwerkt.

Maar die code-executie raakte één pod. Wat het hele cluster kostte lag ernaast, in de omgeving — en dát is het deel waar jij als opdrachtgever wél over beslist.

Behandel datasets en hun configuratie daarom als vijandige invoer, niet alleen modelgewichten. Een bestand dat je agent inleest is code totdat het tegendeel bewezen is.

Snel en onbetrouwbaar tegelijk. Anthropic beschrijft in het rapport over de campagne GTG-1002 dat een aanvaller Claude 80 tot 90 procent van de tactische handelingen zelfstandig liet uitvoeren, met ongeveer vier tot zes menselijke beslismomenten per campagne. De nuance die de meeste artikelen weglaten staat niet in dat nieuwsbericht maar in het volledige rapport: "Claude frequently overstated findings and occasionally fabricated data during autonomous operations."

Diezelfde eigenschap zit in jouw factuur-agent. Een systeem dat snel werkt en af en toe met stelligheid iets verzint, beheers je niet door het model beter te vertrouwen, maar door de schade bij een fout klein te houden.

Een gestolen sleutel is nu zelf de buit. Het Google Threat Intelligence Group meldde in september 2026 één dashboard dat ruim 23.800 buitgemaakte secrets beheerde, en gemiddelde prijzen per account op ondergrondse marktplaatsen die in 2026 meer dan verdubbelden, met de vraag geconcentreerd op Claude- en Gemini-accounts.

In mei 2026 zag GTIG bovendien dat de beheerders van één infostealer, ACRSTEALER, gerichte regels uitstuurden voor de configuratiebestanden van AI-codeerassistenten. Het ging om het secrets.json van Cline en het config.yaml van Continue — bestanden waarin API-sleutels in leesbare tekst kunnen staan.

Anthropic beschrijft in het dreigingsrapport van september 2026 hoe één gestolen developer-token binnen ongeveer drie uur volledige beheerrechten opleverde. De API-sleutel in het configuratiebestand van je agent is daarmee geen randvoorwaarde meer, maar een doelwit.

De drie bevoegdheden die je nooit combineert#

De bruikbaarste ontwerpregel voor agents komt niet uit een wet maar uit een blogpost: de lethal trifecta van Simon Willison (juni 2025). Een agent wordt gevaarlijk zodra hij drie dingen tegelijk kan.

• Vertrouwelijke data lezen — je mailbox, je CRM, je personeelsdossiers.
• Invoer van buiten verwerken — binnenkomende mail, webpagina's, PDF's, datasets, tool-uitvoer van derden.
• Naar buiten communiceren — mail versturen, een URL ophalen, een API aanroepen.

Wie alle drie in één agent stopt, heeft een systeem gebouwd waarin een geprepareerde binnenkomende mail de agent kan vertellen wat hij met de klantdatabase moet doen. Dat is geen hypothese: dat mechanisme is in 2025 aangetoond in Microsoft 365 Copilot, waar één zorgvuldig opgestelde mail volstond om interne gegevens naar buiten te laten lekken, beschreven als de eerste zero-click prompt-injectie in een productiesysteem.

OWASP zet dezelfde risico's in zijn Top 10 voor LLM-toepassingen onder LLM01 Prompt Injection, LLM06 Excessive Agency, LLM03 Supply Chain en LLM02 Sensitive Information Disclosure. Er bestaat sinds 3 augustus 2026 een editie 2026; de genummerde volgorde daarvan staat nog niet op de eigen risicopagina's van OWASP, dus we citeren hier de categorieën van 2025.

De praktische vertaling is saai en effectief: splits.

De agent die binnenkomende mail leest, heeft geen toegang tot de klantdatabase; de agent die de database bevraagt, haalt zelf geen URL's op.

In the loop, on the loop of erbuiten: hoe je kiest#

Er zijn drie standen, en ze horen bij een handeling, niet bij een agent. Eén agent kan voor de ene handeling in the loop staan en voor de andere erbuiten.

Human in the loop — de mens zit erbij. De agent bereidt voor, een mens keurt goed, en pas daarna gebeurt het. Kost per handeling een halve minuut, en is de enige stand waarin een fout de deur niet uit gaat.

Human on the loop — de mens zit erboven. De agent handelt zelf, een mens ziet het achteraf en kan ingrijpen of terugdraaien. Kost geen tijd per handeling, wel een dagelijkse of wekelijkse blik en een log dat je kunt lezen.

Erbuiten — niemand kijkt naar de losse handeling. Je ziet alleen het maandrapport. Verdedigbaar voor werk dat binnen één systeem blijft en daar geen spoor buiten achterlaat.

De regel die wij aanhouden is dat de stand volgt uit de bevoegdheid, niet uit de taak. Lezen mag on the loop; schrijven waarvan iemand buiten je bedrijf het resultaat ziet staat in the loop; erbuiten bestaat alleen binnen één systeem.

Dat is bewust een andere as dan de vraag hoe herstelbaar een fout is — die afweging staat in de beslisrecht-matrix — en dan de vraag wat de wet minimaal eist. Bevoegdheid is de enige as die je technisch kunt afdwingen: een token dat alleen leesrechten heeft, kan niet per ongeluk schrijven.

Onze toegangstabel: per systeem wat lezen, wat schrijven, wie keurt goed#

Twee dingen gaan aan deze tabel vooraf, want ze bepalen wat een fout in een willekeurige rij kost: geen productiesleutels in de context van de agent, en een omgeving waarin niets klaarligt dat de taak niet nodig heeft. Zet je die twee niet, dan is elke rij hieronder een papieren afspraak.

Deze tabel is van ons. Het is de inrichting die wij in agent-projecten als startpunt neerzetten, per systeem dat een Nederlands MKB-bedrijf in de praktijk koppelt — geen wettelijk minimum en geen leverancierslijst.

Twee dingen vallen op als je de tabel leest. In vier van de negen rijen staat bij "schrijven" iets wat dichter bij nul ligt dan bij alles, en in geen enkele rij krijgt de agent leesrechten op méér dan de taak vraagt.

Dat is geen wantrouwen tegen het model. Het is de redenering die Hugging Face achteraf zelf maakte: geen van de vier schakels was op zichzelf fataal, en elke rij die je smaller zet haalt er één uit de keten.

Wat wij bij CleverTech AI zelf doen#

Wij bouwen agents Claude-first, en we hanteren vijf vaste inrichtingskeuzes die niets met het model te maken hebben. De eerste twee volgen rechtstreeks uit de keten hierboven.

Geen productiesleutels in de context van de agent. Niet in de systeemprompt, niet in een bestand dat de agent kan lezen, niet in de repository. Kortlevende, per run uitgegeven tokens met een scope die bij die run past zijn hier het hele verschil, zeker nu infostealers gericht op AI-configuratiebestanden jagen.

Een sandbox zonder rondslingerende sleutels. Draait de agent code, browst hij of voert hij shellcommando's uit, dan gebeurt dat geïsoleerd, zonder netwerk tenzij een bestemming expliciet is toegestaan. Belangrijker nog: in die omgeving staat niets klaar dat de taak niet nodig heeft, want dat is wat de agent bij Hugging Face onderweg stap voor stap opraapte.

Een eigen identiteit per agent. Elke agent heeft zijn eigen account en zijn eigen sleutel, apart intrekbaar.

Beide kanten van juli 2026 wijzen dezelfde kant op, al gaat het om twee verschillende fouten. Bij Hugging Face was één connector-credential gedeeld over meerdere clusters; bij OpenAI vonden agents die van elkaar gescheiden hadden moeten zijn elkaar via een gedeelde pakketproxy.

Read-only als vertrekpunt. Een nieuwe koppeling gaat eerst twee weken alleen lezend mee met het bestaande proces. Schrijfrechten komen er per handeling bij, niet per systeem.

Het log staat buiten bereik van de agent. We leggen per handeling vast welke tool met welke parameters werd aangeroepen, wat eruit kwam en wie goedkeurde — in een opslag waar de agent niet bij kan. Dat is geen overdreven voorzichtigheid: METR vond dat agents technieken ontwikkelden om hun eigen tool-aanroepen te vervalsen, met ongeveer 7 procent van de onderzochte transcripts die op onderdelen succesvol waren vervalst.

Wat dat kost, staat in onze banden op de dienstpagina AI-agents: Voice- of RPA-agent vanaf €1.500 setup, Basis agent €2.500 setup + €350/maand, Geavanceerd €4.500 setup + €500/maand. De inrichting hierboven — aparte identiteiten, goedkeurstappen, extern auditlog — zit in de geavanceerde band.

Wil je het meekijken niet zelf doen, dan valt dat onder Managed AI: Basis €500/maand, Standaard €1.000/maand, Premium €1.500-€2.500/maand. Een breder overzicht van wat AI per vorm kost staat op de pagina wat AI kost voor bedrijven.

Twijfel je over de stand per systeem, bel 085 016 0118 of stuur een bericht — we lopen je koppelingen in een half uur langs de tabel hierboven.

Waar het Nederlandse MKB nu staat#

Het eerlijke beeld is dat de meeste bedrijven deze vraag nog niet gesteld hebben. Volgens CBS-onderzoek via het NCSC (februari 2026, data 2025) maakt 29 procent van de MKB-bedrijven een risicoanalyse en gebruikt 61 procent multifactorauthenticatie.

De Cybersecuritymonitor 2025 laat zien waar de kloof zit: in 2024 had 4 procent van de bedrijven minstens één cyberaanval van buitenaf, maar 86 procent van de grote bedrijven nam tien of meer beveiligingsmaatregelen tegenover 13 procent van de microbedrijven.

Tegelijk gebruikt volgens onderzoek voor Alert Online via het NCSC (september 2025) ongeveer de helft van de medewerkers generatieve AI, terwijl maar 26 procent zegt dat de organisatie duidelijke richtlijnen heeft. Dat gat tussen gebruik en inrichting is waar agent-toegang fout gaat, ruim voordat er een aanvaller aan te pas komt.

En het tijdvenster om te reageren krimpt. De directeur van het NCSC zei het in mei 2026 tegen de NOS zo: "Vroeger duurde het dagen voordat een aanvaller een fout misbruikte, nu is dat uren. Dat zal minuten worden."

Wat deze pagina niet dekt#

Deze pagina gaat over toegang en goedkeuring. Vier aangrenzende vragen staan bewust elders.

• Wat de wet van een zelfstandig handelende agent eist: de AI Act-check voor agents.
• Hoe het koppelprotocol werkt en waarom prompt-injectie daar een rol speelt: wat is MCP.
• Waarop je een bedrijfsagent bouwt: agent-platforms van Claude, OpenAI en Copilot.
• Welke data medewerkers in welke tool mogen zetten: het AI-beleid voor medewerkers.

Welke tools er überhaupt zijn, staat in het overzicht van AI-tools voor bedrijven; de bredere context van automatiseren met AI staat in de kennisbank AI-automatisering.

De feitelijke reconstructie hierboven rust op de eigen tijdlijn van Hugging Face en op het onafhankelijke onderzoek van METR en Redwood Research; waar OpenAI over zijn eigen incident spreekt, staat dat er expliciet bij.

Zoals overal in deze reeks: dit is de lezing van een IT-bureau dat agents bouwt, geen juridisch advies. Waar wij een grensgeval zien, zeggen we dat erbij.