De 'harness' van AI-agents wordt het nieuwe aanvalsoppervlak

Vraag een security-verantwoordelijke waar het risico van een AI-agent zit, en het antwoord begint bijna altijd bij het model zelf: is het te omzeilen met een jailbreak, zijn de gewichten te vertrouwen. Die reflex is steeds meer achterhaald. Een groeiend aantal exploit-demonstraties, onafhankelijke red-teamtests en onderzoeksbeoordelingen wijst juist naar de code die tussen het model en de buitenwereld zit. Die code heet de harness: hij rust het model uit met tools en zet de tekstuitvoer om in echte acties — een shell-commando, een bestandsschrijfactie, een API-aanroep. Bij veel organisaties is deze laag niet volledig geïnventariseerd, niet getest en niet duidelijk bij één team belegd.

Wat een AI-harness precies is

Vraag beoefenaars om een definitie en de metaforen komen vanuit verschillende hoeken samen. Michael Bargury, medeoprichter en CTO van AI-beveiligingsbedrijf Zenity, noemt het de 'handen, benen en ogen' van het model: het model zelf produceert alleen tekst-tokens, en het is de harness die deze omzet in een shell-commando, een bestandsschrijfactie of een API-aanroep. Rob T. Lee, chief AI officer en hoofd onderzoek bij het SANS Institute, vergelijkt het model met een motor en de harness met het chassis. Michael Sromin, senior ML-engineer bij Lasso Security, omschrijft het als het besturingssysteem dat de hele lus van een agentische toepassing aandrijft en model, tools en gebruiker met elkaar verbindt. Omar Santos, distinguished engineer bij Cisco, geeft de meest formele definitie: de laag die een model omringt en bruikbaar maakt — orkestratie, toolgebruik, prompts, context, rollen, evaluaties en guardrails inbegrepen. Alle vier de beschrijvingen wijzen op hetzelfde probleem: in de harness wordt de bevoegdheid van een agent daadwerkelijk uitgeoefend. Hij zit tussen de redenering van het model en een echt bestandssysteem, een API-sleutel of een productiedatabase. Een perfect uitgelijnd model heeft weinig nut als de omringende code een willekeurig shell-patroon vertrouwt of een werkruimte met onbetrouwbare inhoud over meerdere runs hergebruikt.

Drie manieren waarop een harness faalt

Elad Meged, founding engineer en security-onderzoeker bij Novee Security, liet op de conferentie Black Hat USA zien hoe hij met niets meer dan GitHub-issues toegang kreeg tot de officiële automatiseringsrepository's van Anthropic, Google en OpenAI. De specifieke kwetsbaarheden verschilden per leverancier — code-executie, blootgestelde inloggegevens, geïnjecteerde instructies die een krachtiger onderdeel verderop zonder herverificatie vertrouwde. Maar de onderliggende architecturale fout was bij alle drie opvallend hetzelfde: één onderdeel nam een beveiligingsbeslissing die een krachtiger onderdeel verderop in de keten vertrouwde zonder deze opnieuw te valideren. 'Dat is geen falen van het model, maar een falen van de vertrouwensgrens', vat Meged samen.

De tweede faalwijze zit in het ontwerp van de harness zelf, zonder dat daar een programmeerfout voor nodig is. Onderzoekers van Lasso Security verwisselden simpelweg de harness onder hetzelfde open-gewicht model, terwijl model, prompt en tools identiek bleven. Het slagingspercentage van aanvallen steeg van 1% naar 24%, en bij 43 van de 100 geteste combinaties van model en taak sloeg de uitkomst volledig om. 'Kies een andere harness en je krijgt in de praktijk een compleet andere agent', zegt Sromin, die aanbeveelt de harness en het model samen te benchmarken in plaats van een standaardconfiguratie ongetest over te nemen.

De derde zwakte loopt door de toeleveringsketen van de harness. Het team van Michael Bargury bij Zenity onderzocht zogeheten 'skills' — bestanden die een agent een nieuwe taak aanleren — en vond daarin malware die inloggegevens steelt, verstopt in skills die alle scanners op de markt hadden doorstaan, inclusief die van Anthropic en Cisco zelf. Eén kwaadaardige skill schreef zichzelf naar het geheugenbestand dat een agent bij elke herstart opnieuw laadt: het verwijderen van de skill was niet genoeg, want de instructie om zichzelf opnieuw te installeren bleef staan, waardoor de malware bij de volgende start terugkeerde. Een andere skill deed zich voor als een officiële Anthropic-tool, verwijderde na uitvoering de echte tool en verving die door de versie van de aanvaller, zonder zichtbare verandering voor de gebruiker. Het meest opvallende geval was een campagne van gekloonde open source-tools, in het geheim aangepast om inloggegevens te stelen, die circa 1,7 miljoen keer werden gedownload voordat ze werden ontdekt en gestopt.

• Inventarisatie: breng elke harness in productie in kaart, ook als die intern 'copilot', 'workflow-assistent' of 'plug-in' heet
• Toegang in kaart brengen: bepaal welke tools en data elke harness kan bereiken, en breng die rechten terug tot het strikt noodzakelijke
• Onafhankelijk testen: evalueer harness en model samen in plaats van een standaardconfiguratie ongetest te vertrouwen

Teams denken in termen van apps, diensten, pipelines of bots. Harnesses verdwijnen in coderepository's, SaaS-producten en configuratieschermen van leveranciers, in plaats van als eigen asset in de beveiligingsinventaris te verschijnen.

Wat dit verandert voor Nederlandse bedrijven

Voor een Nederlands bedrijf dat AI-agents intern uitrolt — als uitbreiding van Copilot-achtige tools, een zelfgebouwde automatisering of een agentframework — staat de harness vandaag vrijwel nooit als apart onderdeel in de beveiligingsinventaris. Santos raadt aan niet te wachten op volledige zichtbaarheid: 60 tot 70% dekking is relatief snel haalbaar door te beginnen bij productiesystemen, met prototypes en schaduw-AI in een tweede fase. Dat sluit aan bij de al bestaande verplichting uit de Europese AI-verordening om hoogrisicotoepassingen te documenteren: de tool die de acties van de agent daadwerkelijk uitvoert, hoort in dezelfde inventaris als het model zelf. In de praktijk betekent dit dat securityteams de harness als eigen component moeten behandelen in inkoop- en auditprocessen — met een eigen risicobeoordeling, een eigen patchcyclus en toegang volgens het principe van de minste rechten, ongeacht welk model erachter draait.