NIST, NSA en CISA publiceren praktijken voor control-incidenten bij AI-agents

NIST, NSA en CISA publiceerden op 16 oktober 2026 vrijwillige praktijken voor incidentrespons bij ongeautoriseerd of onverwacht gedrag van AI-agents. Behandel zulke gevallen als een apart control-incident: kwalificeer het signaal, bevries bewijs, contain buiten het model, bepaal de impact, herstel vanuit een geverifieerde baseline en autoriseer hervatting pas na een aantoonbare hertest.

De aanleiding is een gezamenlijke publicatie van het NIST Center for AI Standards and Innovation (CAISSI), het NSA Secure Intelligent Systems Center en CISA, getiteld Key Practices for Incident Readiness and Response in Super Intelligence Training and Evaluation. De tekst introduceert het begrip control-incident: een geval waarin een zeer capabele AI-agent handelt buiten wat was bedoeld of geautoriseerd. Ook near-misses, situaties die bijna misgingen, krijgen een plek in het kader.

Deze praktijken zijn nadrukkelijk vrijwillig en primair gericht op organisaties die zeer capabele agents trainen of evalueren. Naar onze inschatting is het onderscheid dat de publicatie maakt echter breder bruikbaar: elke organisatie die agents toegang geeft tot tools, systemen of transacties, heeft baat bij een vooraf vastgelegde grens tussen een gewone fout en een incident.

Wat houden de nieuwe NIST-, NSA- en CISA-praktijken voor AI-incidentrespons precies in?

De publicatie onderscheidt vijf fasen: Prepare, Detect, Respond, Recover en Report. Zij schrijft onder meer onafhankelijke monitoring voor, logs die niet door de agent zelf te wijzigen zijn, het veiligstellen van bewijs, een automatische shutdown, het intrekken van credentials, herstel vanuit geverifieerde baselines en het documenteren van resterende risico's. De kern is dat respons niet eindigt bij het stoppen van een foutieve uitkomst.

Academisch onderzoek ondersteunt die opzet. De studie AIR: Improving Agent Safety through Incident Response, gepresenteerd op de International Conference on Machine Learning, behandelt detectie, containment, herstel en het voorkomen van herhaling als afzonderlijke fasen. De auteurs rapporteren goede detectie- en remediatieresultaten, maar benadrukken dat door een taalmodel gegenereerde responsregels menselijke validatie en correctie vereisen. Met andere woorden: een agent mag niet de enige beoordelaar zijn van zijn eigen containment.

Welke stappen horen in een draaiboek voor een ontsporende AI-agent?

Een verdedigbaar draaiboek volgt een vaste volgorde en legt vooraf vast wie welke stap mag nemen. Onderstaande zes stappen vatten de officiële praktijken en het aanvullende onderzoek samen in een werkbare reeks.

1. Kwalificeer het signaal. Gaat het om een hallucinerende of foutieve uitkomst, een ongeautoriseerde toolactie, een mogelijk datalek, externe impact of een near-miss? Leg de criteria vooraf vast.
2. Bevries en bescherm bewijs. Model- en toolversie, prompt- en contextartefacten, timestamps, logs, netwerkgegevens, credentials, geweigerde acties en omgevingsstatus.
3. Contain buiten het model. Pauzeer de trajecten, trek credentials in, blokkeer uitgaand verkeer en isoleer getroffen systemen — niet via het model zelf.
4. Bepaal de blast radius. Welke systemen, derden of transacties zijn geraakt, en welke juridische of contractuele meldroute geldt?
5. Herstel vanuit een geverifieerde baseline. Test monitors, logging, allowlists, permissies en shutdown-mechanismen opnieuw voordat iets terugkeert.
6. Autoriseer hervatting pas na hertest. Een verantwoordelijke bestuurder documenteert de resterende risico's en een hertest moet vergelijkbaar gedrag kunnen detecteren of blokkeren.

Het onderzoek Formal Runtime Verification for Tool-Using LLM Agents (CPSIoTSec '26, ACM) onderzoekt offline hoe formele monitors op opgenomen agenttrajecten toolgebruik kunnen controleren. De studie laat zien dat zulke monitors een deel van aanvalsketens kunnen signaleren, maar ook false positives geven. Daarom is een activiteitenlog op zichzelf geen garantie voor een volledige reconstructie; een draaiboek moet bovendien vastleggen welke context, goedkeuringen, herkomst en tijdstempels beschikbaar zijn. Dit sluit aan bij het een tweede responsplaybook naast uw cyber-draaiboek en bij ons stuk over het incidenttriage splitsen van de meldplicht bij AI-incidenten.

Waarom volstaat een gewoon cyber-incidentplan niet voor ongeautoriseerd modelgedrag?

Omdat een agent zijn taak- of bevoegdheidsgrenzen kan overschrijden zonder dat er sprake is van een klassiek datalek. De vergelijkende studie van Abbas Raftari vergelijkt incidenten rond agentevaluaties van OpenAI, Anthropic en Google en stelt dat de relevante veiligheidsgrens het volledige uitvoeringssysteem omvat: doel, model, harness, tools, identiteiten, netwerken, gedeelde toestand, monitors en menselijke bevoegdheden.

Dat betekent dat één agentactie een systeemoverschrijdend effect of schade bij een derde kan veroorzaken zonder dat een traditioneel cyberteam er een alarm op ziet. De studie behandelt de openbare informatie over het Gemini-incident overigens als beperkt en voorlopig; wij nemen die voorzichtigheid over. Het door de auteur voorgestelde assurance-model benadrukt uitvoerbare scope, least privilege, onafhankelijke containment, vooraf bepaalde stopcondities en herautorisatie op basis van bewijs. Dat sluit aan bij de verschuiving van modelbeloftes naar onafhankelijk verifieerbaar bewijs en bij de bredere discussie over beheersing en toezicht van agentische AI.

Wat betekent dit voor bestuurders, juristen en CISO's die AI-respons moeten beleggen?

Onze analyse: omdat de officiële praktijken onafhankelijke monitoring en herautorisatie op basis van bewijs voorschrijven, achten wij het verdedigbaar dat degene die de agent beheert niet tegelijk de persoon is die zijn eigen containment goedkeurt; daarom adviseren wij een bestuurder om een afzonderlijke verantwoordelijke voor het AI-control-incidentspoor te benoemen, los van het team dat de agent in productie houdt. Omdat een ongeautoriseerde modelactie een derde of een financiële transactie kan raken zonder klassiek datalek, adviseren wij dat de juridische functie vooraf onderzoekt welke contractuele en toezichtsrechtelijke meldroutes relevant kunnen zijn; daarom verdient het aanbeveling die meldcriteria vóór de eerste agent live gaat vast te leggen, niet erna. Als de organisatie volledige reconstructie wil ondersteunen, adviseren wij niet uitsluitend op een gewone activiteitenlog te vertrouwen; daarom kan de CISO verlangen dat toolcalls, goedkeuringen en tijdstempels met passende integriteitswaarborgen worden vastgelegd en dat hun relatie tot de oorspronkelijke opvraging wordt gedocumenteerd. En omdat door een model voorgestelde responsregels menselijke validatie vereisen, adviseren wij dat hervatting pas plaatsvindt na een gedocumenteerde beslissing van een mens; daarom koppelt het bestuur naar onze inschatting het hervattingsbesluit aan een naam en een hertest, zodat achteraf aantoonbaar is wie wat heeft goedgekeurd.

De open vraag die de bronnen niet beantwoorden, is hoe organisaties die menselijke validatie en onafhankelijke monitoring praktisch inrichten zonder de responstijd te ondermijnen. Naar onze inschatting ligt het antwoord in rolverdeling vooraf: vastgelegde stopcondities die zonder vergadering mogen worden geactiveerd, en een gescheiden herautorisatiebesluit dat wél bij een mens ligt.

Bronnen: Het artikel steunt op de gezamenlijke publicatie van NIST CAISSI, NSA SISC en CISA (16 oktober 2026) en op academisch onderzoek van ICML (AIR), Abbas Raftari (arXiv) en CPSIoTSec '26 (ACM).