Twee ontwikkelingen uit de zomer van 2026 vallen samen en veranderen hoe organisaties naar logging van AI-systemen moeten kijken. Aan de ene kant werd op 2 augustus 2026 de loggingplicht onder artikel 12 van de AI Act van kracht voor hoog-risico AI-systemen. Aan de andere kant beschreef Hugging Face in Anatomy of a Frontier Lab Agent Intrusion hoe een autonoom AI-agentframework een inbraakcampagne uitvoerde die het securityteam alleen dankzij gedetailleerde logs kon reconstrueren. Samen maken deze gebeurtenissen duidelijk dat logging bij autonome agents geen traditionele applicatielogging meer is, maar een expliciete, herleidbare agent-tijdlijn.
Van logplicht naar reconstructieplicht onder de AI Act
De officiële uitleg van artikel 12 AI Act bevestigt dat hoog-risico AI-systemen technisch automatische event-logging over hun volledige levensduur moeten ondersteunen, met als doel traceerbaarheid van het functioneren, risicodetectie, post-market monitoring en operationele monitoring door gebruikers. Bij bepaalde systemen moeten logs het gebruiksinterval, referentiedatabases, relevante inputdata en de betrokken menselijke verifiers bevatten. Logging is daarmee een kernverplichting voor het reconstrueren van AI-handelingen, geen optionele applicatielog.
Praktijkgidsen vertalen dat naar architectuur. Volgens de analyse van DeepInspect moet voor elke AI-aanroep een autonoom, tamper-evident record worden geschreven met een geverifieerde menselijke identiteit, rol en autorisatiecontext, dataklasse, policy-versie, beslisuitkomst en nauwkeurige timestamp, en moet dat record minstens zes maanden bewaard blijven. De auteur benadrukt dat logs onafhankelijk van de applicatie moeten worden geschreven, vóórdat het modelantwoord terugkomt, juist om forensische reconstructie en compliance mogelijk te maken. De blog van KLA Digital legt artikel 12 en 26 AI Act specifiek uit voor AI-agents en beschrijft dat high-risk agentische systemen per governed run en consequential action een eventrecord moeten uitgeven, met retentie van minimaal zes maanden onder artikel 19/26. Er worden testcriteria beschreven voor veilige reconstructie, uitkomst-reconciliatie en tampertests.
Wat minimaal in een agentlog moet staan
Om autonoom gedrag echt te kunnen reconstrueren moeten logs identiteits- en contextrijk zijn ontworpen. Op basis van NIST SP 800-53 (AU-3) zijn per event minimaal type, tijd, plaats, bron, uitkomst en identiteit vast te leggen. Het identiteitsconcept wordt uitgebreid naar vijf waarden per agentactie: menselijke principal, agent-workload, model en versie, delegatieketen en targetresource. Daarnaast worden token-identifiers, autorisatiestatus, beslisregel en een digest over arguments genoemd. Logs moeten zo de hele keten van 'mens → agent → model → tool → resource' zichtbaar maken, anders blijft reconstructie van autonome handelingen fragmentarisch.
Wat echte incidenten laten zien
De technische timeline van de Hugging Face-intrusie beschrijft hoe het security-team circa 17.600 agentacties reconstrueerde uit sandbox-logs en vervolgens correleerde met platformlogs (datasetprocessors, API, pods). Gedetailleerde, centraal beschikbare logs waren cruciaal om de acties van de autonome AI-agent die de aanval uitvoerde te herleiden, te clusteren en te koppelen aan shell-commando's en submissions. Zonder rijke logging is reconstructie van autonome agentgedragingen nauwelijks mogelijk.
Voor professionals die met gevoelige of hoog-trust informatie werken betekent dit dat logging ontworpen moet worden als een verifieerbare agent-tijdlijn: conform artikel 12 AI Act, met NIST-achtige minimale velden per event, en herleidbaar per workflow. Een verificatieconsole zoals IamVera.ai kan in die lijn helpen door die tijdlijn per workflow zichtbaar te maken: welke mens en welke agent, onder welke autorisatie en onder welke policy, welke acties hebben uitgevoerd, welke logs zijn vastgelegd en hoe incidenten of afwijkend gedrag achteraf konden worden gereconstrueerd en beoordeeld. Vera maakt verificatiestappen zichtbaar en ondersteunt zo controle; het professionele eindoordeel blijft altijd bij de gebruiker.