Technische Samenvatting: Een Survey over Agentic Security: Toepassingen, Bedreigingen en Verdediging

Probleemstelling

De snelle integratie van Large Language Model (LLM) agents in cybersecurity heeft gezorgd voor een gefragmenteerd onderzoekslandschap. Hoewel agents autonome capaciteiten bieden voor taken variërend van penetratietesten tot incident response, introduceert hun autonomie nieuwe aanvalsoppervlakken die de veiligheidsafstemming van basismodellen niet betrouwbaar dekken. Bestaande literatuur behandelt toepassingen, bedreigingen en verdedigingen in isolatie, waardoor het faalt om een verenigde account te bieden van hoe de capaciteiten, kwetsbaarheden en tegenmaatregelen van een agent met elkaar verbonden zijn. Dit gebrek aan een holistisch kader belemmert het vermogen van onderzoekers en praktijkbeoefenaars om te begrijpen welke bedreigingen worden gemitigeerd door huidige verdedigingen en hoe dual-use capaciteiten (bijv. red-teaming agents) kunnen worden misbruikt.

Methodologie

De auteurs hebben een uitgebreide survey uitgevoerd van meer dan 260 papers gepubliceerd tussen 2024 en 2026. Het werk is gestructureerd rond drie fundamentele pijlers:

1. Toepassingen: Analyseren hoe agents worden ingezet in downstream cybersecurity-taken.
2. Bedreigingen: Het catalogiseren van inherente kwetsbaarheden en aanvalsvectoren die specifiek zijn voor agentische systemen.
3. Verdediging: Het onderzoeken van tegenmaatregelen en hardening-strategieën.

Buiten het catalogiseren hebben de auteurs een kruisende analyse uitgevoerd over deze pijlers. Ze hebben papers gekoppeld aan specifieke stadia van de offensieve en defensieve security-lifecycles, systemen geclassificeerd op basis van autonomieniveaus en architecturale paradigma's (bijv. monolithisch vs. planner-executor), de basismodel-gebruik en datamodaliteiten geanalyseerd, en de fragmentatie van benchmarking-inspanningen geëvalueerd. De analyse maakt onderscheid tussen bedreigingen die afkomstig zijn van basis-LLM's, bedreigingen die worden versterkt door het agentische framework, en bedreigingen die inheems zijn aan de agentische setting.

Belangrijkste Bijdragen

1. Holistische Drie-Pijler Taxonomie

Het paper presenteert de eerste verenigde survey over agentic security, waarbij het veld wordt georganiseerd in Toepassingen, Bedreigingen en Verdediging. Het biedt een gedetailleerde taxonomie van 260+ papers, wat een gestructureerd overzicht van het veld biedt dat offensieve capaciteiten verbindt met defensieve behoeften.

2. Analyse van het Toepassingslandschap

• Lifecycle Coverage: Onderzoek is sterk geconcentreerd in stadia met directe feedback (kwetsbaarheidsdetectie, exploitatie, detectie, remediëring). Stadia die aanhoudende stealth of langetermijn-bewustzijn vereisen, zoals persistentie en exfiltratie, zijn grotendeels onverkend in zowel offensieve als defensieve contexten.
• Autonomie-asymmetrie: Er bestaat een aanzienlijke kloof tussen offensieve en defensieve agents. 88,1% van de offensieve systemen opereert op Autonomie Niveau 3 (volledig autonoom), terwijl 100% van de defensieve systemen menselijke controle vereist (Niveaus 0–2). Defensieve agents fungeren primair als copiloten, terwijl offensieve agents zijn geoptimaliseerd voor end-to-end taakvoltooiing.
• Dual-Use Natuur: 55,3% van de applicatie-georiënteerde systemen legt capaciteiten bloot die direct offensief of dual-use zijn. Het paper benadrukt dat red-teaming agents vaak de drempel voor aanvallers verlagen, de operationele kosten verminderen met 2,8x tot 8,9x vergeleken met menselijke baselines en de schaalbaarheid vergroten door parallelle uitvoering.

3. Analyse van het Bedreigingslandschap

• Geërfde vs. Inheemse Bedreigingen: Ongeveer 67% van de aanvallen is geërfd van of versterkt door het basis-LLM (bijv. prompt injection, jailbreaking), wat bevestigt dat de veiligheidsafstemming degradeert wanneer tools en geheugen worden toegevoegd. Slechts 25% van de bedreigingen is agent-inheems (bijv. compromittering van berichten tussen agents, plan hijacking).
• Aanvalsoppervlak: De meest aangevallen toegangspunten zijn conversationele inputs (gebruikersqueries/systeemprompts) en autonome interfaces (geëxtraheerde documenten, tool-responses). Daarentegen zijn inter-agent communicatie, persistent geheugen en reflectie-outputs de minst bestudeerde oppervlakken.
• Falen Stadia: Aanvallen richten zich voornamelijk op de perceptie en actie-selectie stadia van de agent-loop. Het reflectie stadium is het minst doelwit, wat een coverage gap creëert waarbij tussenliggende redeneerlogica kan worden gesubverteerd zonder de uiteindelijke outputs te wijzigen.
• Bedreigingsmodellen: De meeste studies gaan uit van een black-box bedreigingsmodel (70%), wat suggereert dat agents structureel fragiel zijn per definitie, aangezien ernstige compromittering kan worden bereikt zonder verhoogde privileges.

4. Analyse van het Verdedigingslandschap

• Strategie Beperkingen: Geen enkele verdedigingsstrategie is robuust over alle dimensies (schaalbaarheid, adversariële robuustheid, latentie en dekking). Het veld verschuift naar hybride, meerlaagse architecturen.
• Kosten-Beveiliging Trade-off: Sterkere bescherming brengt consequent hogere latentie en token-kosten met zich mee, wat een duidelijke security-cost Pareto-frontier vormt. Zo kunnen sommige filters op sub-milliseconde snelheid werken, terwijl uitgebreide forensische systemen mogelijk minuten aan verwerking vereisen.
• Lifecycle Plaatsing: Er is een beslissende verschuiving naar een "assume-breach" houding. 75,2% van de papers onderzoekt post-computation verdedigingen (monitoring, auditing), en 40,0% adopteert defense-in-depth strategieën die pre- en post-computation controles combineren.
• Dekking Gaten: Verdedigingen zijn zwaar gericht op injectie en manipulatie-aanvallen. Prompt infectie en pre-execution aanvallen (bijv. vergiftigde supply chains) blijven de minst gedekte aanvalsklassen.

5. Kruislingse Trends

• Architectuur: Het veld migreert van monolithische agents naar multi-agent en planner-executor ontwerpen.
• Backbone Modellen: GPT varianten zijn de bijna universele backbone (95,7% van de papers), wat een potentieel risico op monocultuur creëert.
• Data Modaliteiten: De dekking is scheefgetrokken naar tekst (91,3%) en code (50,6%). Lage-niveau modaliteiten zoals netwerktraces (8,7%) en binaries (5,9%) zijn significant ondervertegenwoordigd.
• Benchmark Fragmentatie: De dreigingsliteratuur is zeer gefragmenteerd, waarbij ongeveer 85% van de genoemde benchmarks single-use is, wat vergelijking tussen papers bemoeilijkt.

Resultaten en Bevindingen

De survey onthult dat agentische systemen structureel fragiel zijn per definitie. De transitie van passieve LLM's naar autonome agents vergroot het aanvalsoppervlak aanzienlijk, wat de veiligheid van het basismodel vaak tenietdoet. Belangrijkste bevindingen zijn:

• Offensieve Efficiëntie: Red-teaming agents kunnen kwetsbaarheden exploiteren tegen een fractie van de kosten van menselijke experts, waarbij sommige systemen 87% succes behalen op one-day CVE's tegen ongeveer $8,80 per exploit.
• Defensieve Beperkingen: Defensieve agents blijven beperkt door veiligheid en verantwoordelijkheid, en bereiken zelden volledige autonomie, wat hun schaalbaarheid tegen geautomatiseerde, hoog-volume aanvallen beperkt.
• Evaluatie Gaten: Huidige benchmarks slagen er niet in om agent-inheemse oppervlakken zoals memory poisoning en inter-agent communicatie adequaat te testen, en er is een gebrek aan universeel vergelijkbare metrieken buiten Attack Success Rate (ASR).

Betekenis en Claims

Het paper claimt de eerste holistische survey van het agentic security landschap te bieden, waarbij de kloof tussen geïsoleerde studies van bedreigingen, verdedigingen en toepassingen wordt overbrugd. De betekenis ligt in:

1. Het Veld Verenigen: Het bieden van een gestructureerd kader om de onderlinge verbanden tussen agent-capaciteiten, kwetsbaarheden en tegenmaatregelen te begrijpen.
2. Structurele Fragiliteit Benadrukken: Het aantonen dat huidige agentische systemen inherent kwetsbaar zijn vanwege de mismatch tussen de basismodel-afstemming en de agentische autonomie.
3. Kritieke Gaten Identificeren: Het aanwijzen van specifieke gebieden die verdere research vereisen, inclusief de onderbelichte stadia van de security lifecycle (persistentie, exfiltratie), agent-inheemse aanvalsoppervlakken (memory, reflection), en de noodzaak voor uniforme, multi-modale benchmarks.
4. Toekomstige Verdediging Sturen: Het argumenteren dat het beveiligen van agentische systemen een lifecycle-brede, defense-in-depth architectuur vereist in plaats van single-layer fixes, en dat het veld de autonomie-kloof moet adresseren om schaalbare, betrouwbare autonome security-systemen te bouwen.

De auteurs concluderen dat hoewel het veld snelle vooruitgang heeft geboekt, het beveiligen van agentische systemen een paradigmaverschuiving vereist naar holistische, meerlaagse verdedigingen en gestandaardiseerde evaluatiekaders die de complexiteit van real-world agent interacties weerspiegelen.