NIST publiceerde op 27 oktober 2026 ontwerpprincipes voor agentidentiteit die dual authorization concreet maken: een autonome AI-agent mag een actie voorbereiden, maar de autorisatie hoort bij een aparte, deterministische beleidslaag en boven vastgelegde risicodrempels bij een menselijke fiatteur met een eigen identiteit. De agent mag nooit zelf zijn bevoegdheid, goedkeuring of logging bepalen.
Het National Institute of Standards and Technology beschrijft in zijn ontwerpprincipes voor agentidentiteit dat agents een eigen, cryptografisch verifieerbare identiteit moeten hebben die losstaat van menselijke identiteiten, dat gedelegeerde bevoegdheden moeten afnemen, dat agents geen blijvende rechten krijgen en dat autorisaties tijdelijk, doelgebonden en intrekbaar zijn. Functiescheiding moet voorkomen dat één agent conflicterende privileges combineert.
Deze principes sluiten aan op eerder NIST-materiaal, waaronder het concept paper over agentidentiteit en autorisatie en de samenvatting van ontvangen reacties, waarin een logisch gescheiden governancecomponent wordt bepleit om autorisatie consistent met zero-trustprincipes af te dwingen. Naar onze inschatting is de echte verschuiving dat functiescheiding hiermee geen extra reviewstap meer is, maar een architectuurvraagstuk: agentidentiteit, beleidsbesluit en menselijke vrijgave moeten elk onafhankelijk controleerbaar zijn.
Wat stelt NIST precies vast over agentidentiteit en functiescheiding?
NIST beschrijft dat een AI-agent een eigen identiteit heeft en dat zijn bevoegdheden tijdelijk en intrekbaar moeten zijn. Onze analyse vertaalt dat naar een afzonderlijke component die het autorisatiebesluit neemt: de agent redeneert en bereidt voor, maar beslist niet over zijn eigen toegang. Dat is het verschil met de gangbare praktijk waarin een agent met brede, vaste rechten draait.
Concreet noemt NIST deze samenhangende bouwstenen:
- een cryptografisch verifieerbare agentidentiteit, onderscheiden van menselijke identiteiten;
- afnemende, doelgebonden delegated scopes in plaats van blijvende bevoegdheden;
- ondertekende mandaten die vastleggen namens wie de agent handelt en wat hij niet mag;
- een deterministische beleidslaag die identiteit, mandaat, scope en context toetst;
- onafhankelijke, onveranderlijke logging die de agent zelf niet kan bewerken.
In het NIST-workshopmateriaal over incidentbeheer worden non-human identity governance, autorisatiegebonden containment, bewijsvoering en duidelijke verantwoordelijkheden als operationele aandachtspunten genoemd. Onze analyse trekt daaruit de praktische consequentie dat organisaties vooraf moeten bepalen wie een agent kan stoppen, credentials kan intrekken en hervatting mag goedkeuren.
Welke drie rollen scheidt dual authorization in een enterprise-workflow?
Onze analyse van dual authorization onderscheidt drie rollen: de AI-agent produceert een actievoorstel, een aparte beleidslaag toetst dat voorstel en bij vooraf gedefinieerde hoge impact kan een menselijke fiatteur afzonderlijk vrijgeven. De rollen moeten zo worden ingericht dat de agent niet zelf zijn autorisatie of goedkeuringsstatus kan bepalen.
Een werkbare keten ziet er naar onze inschatting zo uit:
- De agent dient een minimaal voorstel in met broncontext, doel, parameters en verwachte impact — niet meer dan nodig.
- De beleidslaag controleert of agentidentiteit, menselijke opdrachtgever, gegevensclassificatie, toolscope en transactie binnen het ondertekende mandaat vallen. Dit besluit is deterministisch, niet door het taalmodel bepaald.
- De menselijke fiatteur geeft bij vooraf gedefinieerde consequentiële of onomkeerbare acties een afzonderlijke, actiegebonden goedkeuring; het goedkeuringsmechanisme moet zo worden ontworpen dat de agent de beslissing niet zelf kan nemen of wijzigen.
- Uitvoering. Onze voorgestelde workflow voert de actie uit met kortlevende credentials en registreert agentidentiteit, mandaat, beleidsbesluit, menselijke identiteit, goedkeuring, resultaat en eventuele intrekking in onafhankelijke append-only logging.
De bronnen beschrijven ontwerpprincipes, conceptmateriaal en workshopresultaten; het is geen bindende norm en geen bewijs dat een concrete implementatie veilig is. Hoe risicodrempels precies worden vastgesteld en gehandhaafd zonder dat de agent ze kan beïnvloeden, laten de teksten open. Dat is naar onze inschatting juist de kern die een organisatie zelf moet beleggen bij de beleidslaag, niet bij de agent. De bredere beheersing van zulke toolaanroepen werkten wij eerder uit in onze analyse over autorisatie en containment van agent-toolcalls.
Hoe voorkom ik consent fatigue zonder risicovolle acties zonder menselijke vrijgave te laten doorgaan?
Door risicoklassen vooraf vast te leggen en alleen de hoogste klassen aan menselijke vrijgave te koppelen. NIST noemt in de reactiesamenvatting het risico op consent fatigue wanneer mensen te vaak goedkeuring voor routinetaken moeten geven. Onze analyse is dat daardoor goedkeuring kan verworden tot een reflexmatige klik en als controle minder betekenisvol kan worden.
Een hanteerbare indeling koppelt menselijke fiattering aan impact, niet aan frequentie:
- lezen en voorbereiden — doorgaans alleen beleidsmatige toetsing, geen menselijke stap;
- wijzigen van interne gegevens — beleidstoetsing, selectief menselijke vrijgave bij gevoelige classificatie;
- extern verzenden, geld overmaken of verwijderen — altijd verse, actiegebonden menselijke goedkeuring op een gescheiden kanaal.
Wie goedkeuring overal verplicht, krijgt schijncontrole; wie haar nergens verplicht, mist de rem bij onomkeerbare acties. Dezelfde logica over selectief toezicht beschreven wij in onze analyse over meetbaar menselijk toezicht op AI-advies.
Wat betekenen deze ontwerpprincipes voor bestuurders, juristen en CISO's?
Onze analyse: omdat NIST’s principes sterk wijzen op gescheiden autorisatie, moet een CISO in kaart brengen waar agents vandaag met vaste, brede rechten draaien en die vervangen door afnemende, doelgebonden scopes. Omdat de agent geen blijvende bevoegdheden mag hebben en zijn goedkeuringsstatus niet zelf mag vaststellen, hoort een jurist in het leveranciers- of inkoopcontract vast te leggen dat agentidentiteit, beleidsbesluit en menselijke fiattering aantoonbaar gescheiden en onafhankelijk auditbaar zijn. Omdat NIST menselijke escalatie koppelt aan vooraf vastgelegde risicodrempels, moet het bestuur de risicoklassen en de bevoegde fiatteurs per actiesoort formeel benoemen, vóór de eerste autonome uitvoering. En omdat NIST functiescheiding ook bij incidenten bespreekt, mag de persoon die een actie startte naar onze inschatting niet de enige zijn die haar achteraf fiatteert en mag de agent niet zelf zijn containmentstatus vaststellen.
Samengevat volgt hieruit een korte agenda:
- inventariseer waar agents nu blijvende, brede rechten hebben en vervang ze door tijdelijke scopes;
- beleg het autorisatiebesluit bij een beleidslaag buiten het taalmodel;
- leg risicoklassen en bevoegde fiatteurs per actiesoort bestuurlijk vast;
- scheid wie start, wie stopt en wie hervatting goedkeurt bij incidenten.
Deze stappen passen in een bredere aanpak van agentic AI en AI-agents, en sluiten aan op onze eerdere analyse over een incident-responsdraaiboek voor AI-agents.
Bronnen en referenties
Bronnen: Het artikel steunt op NIST-publicaties: de ontwerpprincipes voor agentidentiteit, het NCCoE-concept paper en de reactiesamenvatting, het workshopmateriaal over incidentbeheer en NIST SP 800-207 over zero trust.