SCITT-provenance voor AI-agents vraagt twee bewijssporen: het pakket vóór uitvoering en de beslissing tijdens uitvoering

Een nieuwe IETF-internetdraft van 2 november 2026 bindt draagbare AI-agentpakketten aan een onveranderlijke digest met ondertekende verklaringen over bouw, beoordeling en intrekking, maar dekt alleen het pakket vóór uitvoering. Wie AI-antwoorden moet verantwoorden, heeft daarnaast een tweede, los verifieerbaar spoor nodig voor de evidence en beslissingen tijdens uitvoering.

Op 2 november 2026 verscheen een internetdraft van de IETF getiteld SCITT Profile for Portable AI Agent Package Provenance. Die werkt het bestaande SCITT-raamwerk (een methode om verklaringen cryptografisch en controleerbaar vast te leggen) uit voor draagbare AI-agentpakketten. Het voorstel komt op een moment dat organisaties steeds vaker complete agents van elkaar overnemen of hergebruiken, zonder zicht op wie het pakket heeft gemaakt, aangepast of inmiddels ingetrokken.

Onze duiding vooraf: de draft lost één helft van het probleem op. De draft maakt controleerbaar aan welk exact pakket verklaringen zijn gebonden, maar niet wat dat pakket tijdens een concrete taak feitelijk heeft gedaan. Drie recente onderzoekspublicaties maken zichtbaar waarom dat onderscheid praktisch telt.

Wat staat er in de IETF-internetdraft over provenance van AI-agentpakketten?

De draft stelt voor om elk draagbaar agentpakket te binden aan een onveranderlijke cryptografische digest (een unieke vingerafdruk van de exacte inhoud) en daaraan afzonderlijke provenance-verklaringen te koppelen, zoals auteurschap, builds, transformaties, veiligheidsbeoordelingen, goedkeuringen, vervanging door een nieuwere versie en intrekking. Zo ontstaat een controleerbare geschiedenis vóór uitvoering.

De auteurs waarschuwen zelf voor een misverstand: een geldige handtekening bewijst de integriteit en de afzender van een verklaring, niet dat de inhoud van die verklaring waar is. Een partij die op de provenance vertrouwt, heeft dus eigen beleid nodig over welke ondertekenaars en welke beoordelingen zij accepteert. De veiligheidsbeoordelingen in zo'n profiel sluiten aan op bestaande praktijken, zoals de risicocategorieën die de OWASP Foundation voor grote taalmodellen en agents heeft gepubliceerd. Belangrijk is ook de status: dit is een internetdraft, geen vastgestelde standaard.

• Onveranderlijke digest: welk exact pakket wordt toegelaten.
• Auteurschap en builds: wie het maakte en hoe het is gebouwd.
• Transformaties: welke aanpassingen zijn uitgevoerd.
• Veiligheidsbeoordeling: welke review geldt voor deze digest, bijvoorbeeld tegen OWASP-risicocategorieën.
• Vervanging en intrekking: of er provenance-verklaringen bestaan over supersession of withdrawal van dit pakket.

Waarom bewijst een gelijk AI-antwoord niet dat dezelfde evidence is gebruikt?

Omdat de weg naar het antwoord kan veranderen terwijl het antwoord gelijk blijft. Onderzoekers achter de studie From Tool State to Scientific Action, gepresenteerd op de NeurIPS 2026 AgenticLS-workshop, lieten zien dat een biomedische onderzoeksagent hetzelfde eindoordeel kan geven terwijl de gebruikte en geciteerde evidence verschilt.

In hun herstel- en transplantatie-experimenten veranderden citaties en beslissingen zodra de onderliggende tooltoestand werd gewijzigd. Hun conclusie: een audit moet zowel de daadwerkelijk gebruikte evidence als het uiteindelijke antwoord volgen. Naar onze inschatting raakt dit rechtstreeks aan het SCITT-voorstel: een correcte pakketdigest zegt niets over welke numerieke waarden, bronartefacten of tussenresultaten een specifieke conclusie hebben bepaald.

Hoe koppel ik pakketprovenance aan de beslissingen tijdens uitvoering?

Door twee afzonderlijke, los verifieerbare sporen te onderhouden en ze aan elkaar te verbinden via de pakketdigest en een tijdstempel. Het eerste spoor is de provenance van het pakket vóór uitvoering. Het tweede spoor legt per taak vast welke toolresultaten, bronnen en waarden de beslissing beïnvloedden en welke actie of conclusie daaruit volgde.

Voor het eerste spoor biedt het peer-reviewed onderzoek naar een Artificial Intelligence Bill of Materials in Frontiers in Computer Science een bruikbaar model. De auteurs koppelen modelartefacten, dataprovenance, softwareafhankelijkheden, runtimeconfiguratie, containerhashes en outputdigests, met cryptografische validatie en ondertekende provenance-artefacten. Dat kader ligt in het verlengde van risicomanagementaanpakken zoals het AI Risk Management Framework van NIST, en maakt duidelijk dat provenance meer is dan een pakketnaam of leverancier.

Voor het tweede spoor beschrijft de studie Visible Reasoning een vorm die reviewers kunnen gebruiken: Filtered Decision Logs met een korte rationale, invloed-geordende ondersteunende datapunten en relevantie-indicatoren uit tooloutputs. De auteurs benadrukken dat deze invloedsscores geen causale attributie of waarheidsbewijs zijn. Ze geven een inschatting welke bronnen een antwoord zichtbaar hebben beïnvloed, meer niet.

Een concrete koppeling, naar onze inschatting, ziet er zo uit:

1. Leg bij toelating de pakketdigest, auteur, beoordeling en intrekkingsstatus vast.
2. Registreer per taak de gebruikte bronartefacten, waarden en tussenresultaten.
3. Verbind beide sporen met de pakketdigest en een tijdstempel; leg daarnaast expliciet vast wanneer een organisatie een nieuwere versie als vervanging accepteert.
4. Geef geautoriseerde reviewers de mogelijkheid een bron uit te sluiten en de taak opnieuw te draaien, en leg het verschil vast.

Gebruik voor achtergrond over dit onderscheid het themahub over agentic AI en AI-agents en de analyse over waarom een plausibele AI-uitleg nog geen bewijs is.

Wat betekent dit voor bestuurders, juristen en CISO's die AI-antwoorden moeten verantwoorden?

Onze analyse: omdat de SCITT-draft alleen integriteit en afzender van een pakket aantoonbaar maakt en niet de waarheid van de verklaring, kunnen CISO's en governance-verantwoordelijken niet volstaan met het eisen van een geldige digest; daarom moeten zij nu beleid vaststellen over welke ondertekenaars en welke veiligheidsbeoordelingen zij accepteren voordat een agent wordt toegelaten. Omdat de biomedische agentstudie laat zien dat een gelijk eindoordeel verschillende evidence kan verbergen, moet elke organisatie die gevoelige analyses verantwoordt vanaf de eerste pilot naast het antwoord ook de gebruikte evidence per taak registreren. Omdat de draft informatie over vervanging en intrekking registreerbaar maakt, moeten organisaties niet aannemen dat een eerdere goedkeuring zonder meer op een nieuwere of ingetrokken versie blijft gelden; leg daarom bij elk verantwoord antwoord de exacte versie met tijdstempel vast en controleer volgens eigen beleid of de gebruikte digest nog voor de beoogde taak wordt geaccepteerd. Omdat invloedsscores uit Filtered Decision Logs geen causale attributie of juistheidsgarantie zijn, mogen juristen en bestuurders die niet als sluitend bewijs presenteren; het professionele eindoordeel hoort expliciet bij de mens te blijven, met de invloedssignalen als hulpmiddel voor controle en niet als conclusie. Deze opzet sluit aan bij het principe uit een eerdere analyse over een intern herkomstdossier opbouwen naast een leveranciersverklaring, en bij de praktijk van het risico's beheersen als een AI-agent zelf tools aanroept.

Samengevat volgt uit dit nieuws een korte prioriteitenlijst:

• Stel een acceptatiebeleid op voor ondertekenaars en beoordelingen van agentpakketten.
• Leg per verantwoorde taak twee sporen vast: pakketprovenance én gebruikte evidence.
• Koppel beide met digest en tijdstempel, en toets intrekking en vervanging periodiek.
• Behandel invloedsscores als controlehulp, niet als juistheidsbewijs; het eindoordeel blijft bij de mens.

De vier bronnen komen uit specifieke experimentele of voorstelomgevingen en de IETF-tekst is nog een draft. Dat is reden om deze aanpak nu te beproeven, niet om te wachten op een afgeronde standaard.

Bronnen: Het artikel steunt op de IETF-internetdraft over SCITT-provenance, een biomedische agentstudie uit de NeurIPS 2026 AgenticLS-workshop, en peer-reviewed onderzoek naar AIBOMs in Frontiers in Computer Science en naar Filtered Decision Logs op arXiv.