💻 computer science

ALARA for Agents: Least-Privilege Context Engineering Through Portable Composable Multi-Agent Teams

Deze paper introduceert ALARA, een principe voor least-privilege context-engineering dat via een declaratieve CAT-data-lag en het command-line hulpmiddel `npcsh` de tooltoegang van multi-agent systemen structureel beperkt tot het strikt noodzakelijke, wat wordt gevalideerd door uitgebreide tests met 22 lokale modellen op 115 praktische taken.

Oorspronkelijke auteurs: Christopher J. Agostino, Nayan D'Souza

Gepubliceerd 2026-03-24

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Christopher J. Agostino, Nayan D'Souza

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een team van slimme digitale assistenten (agenten) hebt. Ze kunnen schrijven, zoeken op internet, bestanden aanpassen en zelfs met elkaar praten. Maar hier is het probleem: hoe zorg je dat ze precies doen wat je wilt, zonder dat ze per ongeluk dingen doen die ze niet mogen?

Deze paper, getiteld "ALARA for Agents", lost dit probleem op door een nieuwe manier van werken te introduceren. Laten we het uitleggen met een paar simpele metaforen.

1. Het Probleem: De "Wilde West" van instructies

Vroeger (en vaak nog steeds) schreven mensen lange, saaie tekstbestanden met instructies voor hun AI's. "Wees beleefd," "Gebruik deze tool," "Doe dit niet."

Het probleem is dat AI's deze teksten niet als harde wetten zien, maar als suggesties. Het is alsof je tegen een kind zegt: "Probeer niet te veel suiker te eten," terwijl je de hele koekjesdoos op tafel laat staan. Het kind kan de instructie negeren, of vergeten, of het verkeerd interpreteren. Dit leidt tot chaos, fouten en zelfs veiligheidsrisico's (zoals dat de AI per ongeluk je wachtwoorden lekt omdat ze toegang had tot iets waar ze niet bij mocht).

2. De Oplossing: De "ALARA"-principe

De auteurs halen een principe uit de stralingsveiligheid: ALARA (As Low As Reasonably Achievable). In de kern betekent dit: "Geef iemand alleen precies de hoeveelheid straling (of macht) die hij nodig heeft voor zijn taak, en niet één druppel meer."

Ze passen dit toe op AI's:

Niet: "Hier is een lijst met 100 tools, probeer maar eens de juiste te vinden."
Wel: "Voor deze specifieke taak heb je alleen deze 3 tools nodig. De andere 97 bestaan voor jou niet."

3. Hoe werkt het? (De Drie Bouwstenen)

Het systeem noemen ze CAT (Context-Agent-Tool). Het werkt als een heel strakke, fysieke bouwset in plaats van een losse tekst.

De NPC (De Agent): Dit is de "persoon" in je team. In een simpel bestandje (een YAML-bestand) staat precies welke "gereedschappen" deze agent mag gebruiken. Als een tool er niet in staat, kan de AI hem simpelweg niet zien of gebruiken. Het is alsof je een sleutelbos geeft: als de sleutel er niet op zit, kun je die deur niet openen.
De Jinx (De Tool): Dit is de tool zelf. Het is geen ingewikkelde code, maar een duidelijk recept. Het zegt: "Als je dit wilt doen, doe dan stap A, dan stap B." Het is zo gestructureerd dat de AI niet hoeft te "gissen" wat hij moet doen.
Het Team (Context): Je kunt teams maken met sub-teams. De "hoofd-agent" ziet alleen wat het sub-team kan doen, niet hoe ze het precies doen. Dit houdt het overzichtelijk.

De Gouden Regel: Omdat alles in bestanden staat die de computer leest en afdwingt, is het geen suggestie meer. Als de computer zegt "deze agent heeft geen toegang tot internet", dan heeft hij er echt geen toegang toe. Geen enkele prompt kan dat veranderen.

4. De Test: Wie is de beste?

De auteurs hebben dit systeem getest met 22 verschillende AI-modellen (van heel klein tot heel groot) en 115 verschillende taken (zoals bestanden hernoemen, zoeken op het web, of complexe scripts schrijven).

De verrassende bevindingen:

Groot is niet altijd beter: Een heel groot, duur model dat niet specifiek is getraind om tools te gebruiken, faalt vaak. Een kleiner, goedkoper model dat wel is getraind om tools te gebruiken, doet het veel beter.
Kwaliteit van training telt: Het is niet alleen een kwestie van "hoe slim is de AI", maar "hoe goed is hij getraind om gereedschap te gebruiken".
Minder is meer: Hoe minder tools een AI tegelijkertijd moet kiezen uit, hoe beter hij presteert. Als je een AI 100 tools geeft, raakt hij in de war. Geef je er 3, dan is hij een expert.

5. Waarom is dit belangrijk voor jou?

Stel je voor dat je een bouwbedrijf runt.

Oude manier: Je geeft elke arbeider een sleutelbos met 500 sleutels en zegt: "Gebruik maar wat je nodig hebt." (Gevaarlijk, rommelig, veel fouten).
Nieuwe manier (ALARA): Je geeft de loodgieter alleen de sleutels voor de waterleidingen, en de elektricien alleen die voor de stroom. Ze kunnen elkaar niet per ongeluk blokkeren, en ze werken sneller omdat ze niet hoeven te zoeken.

Conclusie:
Deze paper zegt: "Stop met het schrijven van lange teksten die AI's hopen te volgen. Begin met het bouwen van strakke, digitale systemen waar de regels fysiek zijn ingebouwd." Hierdoor worden AI-systemen veiliger, betrouwbaarder en makkelijker te beheren, zelfs voor mensen die geen programmeurs zijn.

Het is een stap van "hopelijk doet hij het goed" naar "het systeem zorgt ervoor dat hij het goed doet".

Probleemstelling

Multi-agent systemen gebaseerd op Large Language Models (LLM's) worden steeds vaker ingezet, maar de infrastructuur die deze systemen omringt (de "agent harness") is gefragmenteerd en onbetrouwbaar.

Gefragmenteerde specificaties: De regels voor wat agents mogen doen, welke tools ze hebben en hoe ze samenwerken, zijn verspreid over losse tekstbestanden (zoals .cursorrules of CLAUDE.md), programmeercode in frameworks (zoals LangGraph of AutoGen) en externe protocollen (zoals MCP-servers).
Interpretatieve onzekerheid: Tekstuele instructies zijn afhankelijk van de interpretatie van het model. Omdat betekenisgeneratie in LLM's contextueel is en niet uit vooraf bestaande associaties wordt opgehaald, kunnen instructies worden genegeerd of verkeerd geïnterpreteerd, vooral in lange contextvensters.
Veiligheidsrisico's: Agents krijgen vaak te veel rechten (over-privileged access). Dit creëert een aanvalsoppervlak voor prompt-injectie-aanvallen. Bestaande methoden om dit te beperken via tekstuele instructies zijn structureel onbetrouwbaar.
Onderspecificatie: Studies tonen aan dat faalfrequenties in multi-agent systemen vaker worden veroorzaakt door slechte specificaties en ontwerp dan door beperkingen van het model zelf.

Methodologie: Het CAT Data Layer

De auteurs introduceren een nieuw concept gebaseerd op het ALARA-principe (As Low As Reasonably Achievable), oorspronkelijk uit de stralingsveiligheid, maar hier toegepast op de toegang van agents tot tools en context. Het doel is om de blootstelling aan risico's te minimaliseren door toegang te beperken tot het absolute minimum dat voor een taak nodig is.

Het systeem, genaamd npcsh, maakt gebruik van een declaratieve Context-Agent-Tool (CAT) data-laag, bestaande uit drie soorten bestanden die structureel worden verwerkt in plaats van interpretatief:

Context-bestanden: Definieren teams, sub-teams en de "orchestrator" (de hoofdagent die taken verdeelt). Ze schalen de context in tot wat nodig is voor een specifieke rol.
NPC-bestanden (Non-Player Characters): Definieren individuele agents. Cruciaal is de lijst met toegestane "Jinxes". Dit fungeert zowel als de tool-catalogus als het machtigingssetje. Een agent kan alleen tools gebruiken die expliciet in deze lijst staan; alles wat niet in de lijst staat, bestaat niet in het schema van de agent.
Jinxes: YAML-bestanden die tools definiëren. Een Jinx bevat een naam, een natuurlijke taalbeschrijving, getypeerde invoer en een reeks uitvoerstappen (gebruikmakend van engines zoals Python, Bash, LLM of andere Jinxes).
- Composability: Jinxes kunnen andere Jinxes aanroepen, waardoor een gericht acyclisch graf (DAG) van uitvoerbare taken ontstaat.
- Determinisme: De uitvoeringsvolgorde en dataflow zijn vastgelegd in het bestand, wat de interpretatieve ruimte voor het model beperkt tot individuele stappen.

Deze bestandsgebaseerde aanpak maakt het systeem portabel, versiebeheer-vriendelijk en veilig, omdat wijzigingen in een Jinx direct worden doorgevoerd bij alle agents die deze gebruiken.

Kernbijdragen

ALARA voor Agents: Een nieuw paradigma dat het "least privilege"-principe structureel toepast op agent-tool-access via een declaratieve data-laag, in plaats van via onbetrouwbare tekstuele instructies.
npcsh Framework: Een open-source command-line shell en ecosysteem dat de CAT-data-laag implementeert, ondersteund door een bestandsstructuur die werkt met elke LLM (ook lokale, kleine modellen zonder native tool-calling support).
Structurale Handhaving: Door tools uit te sluiten van het schema in plaats van ze alleen te verbieden in tekst, wordt prompt-injectie en attention-dilution effectief voorkomen.
Uitgebreide Benchmark: Een nieuwe evaluatie-set van 115 praktische taken (bestandsoperaties, webzoekopdrachten, multi-stap scripting, tool-chaining en multi-agent delegatie) die is ontworpen om framework-orchestratie en modelcapaciteit te scheiden.

Resultaten

De auteurs hebben 22 lokaal gehoste modellen (van 0,6B tot 35B parameters) getest op 115 taken, resulterend in ongeveer 2.530 uitvoeringen.

Families vs. Parameters: De prestaties worden meer bepaald door de model-familie dan door het aantal parameters. Modellen die specifiek zijn getraind voor tool-gebruik (zoals Qwen3.5) behalen bij 4B parameters betere scores dan modellen die niet voor tool-gebruik zijn getraind, zelfs bij 27B parameters.
Correlatie met Intelligentie: Er is een sterke lineaire correlatie ( $r \approx 0,8$ ) tussen algemene intelligentie (MMLU-score) en agent-prestaties, maar er zijn significante afwijkingen die aangeven dat tool-gebruik een aparte, getrainde vaardigheid is.
Tool Calls als Predictor: Het aantal tool-calls per taak is de sterkste voorspeller voor succes ( $r \approx 0,7$ ), sterker dan taakduur of het aantal pogingen. Succesvolle modellen maken meer gebruik van tools in plaats van langer te denken.
Moeilijkheidsgraad per Taak:
- Bestandsoperaties en shell-taken zijn het makkelijkst (~75-80% succes).
- Webzoekopdrachten en scripting zijn moeilijker.
- Delegatie is de moeilijkste categorie voor alle modellen (slechts ~20% succes).
Retry-strategie: De waarde van het opnieuw proberen (retry) varieert sterk per taakcategorie. Voor webzoekopdrachten levert een retry +20% op, maar voor delegatie slechts +3%. Bij delegatie degradeert de prestatie vaak door de opeenstapeling van context uit eerdere mislukte pogingen (verlies van conversatiegeschiedenis).
Eerste Poging: Ongeveer 80% van de succesvolle taken wordt bij de eerste poging voltooid.

Betekenis en Conclusie

Het paper toont aan dat de betrouwbaarheid van multi-agent systemen niet primair afhangt van het kiezen van het grootste model, maar van een structurele aanpak van context-engineering.

Veiligheid: Door tools structureel uit te sluiten via bestanden (in plaats van tekstuele instructies), wordt het risico op prompt-injectie en onbedoelde acties drastisch verkleind.
Betrouwbaarheid: De "ALARA"-benadering zorgt ervoor dat agents alleen de middelen hebben die ze nodig hebben, wat de interpretatieve last verlaagt en de prestaties verbetert, zelfs op kleinere modellen.
Ontwerp: Het framework bewijst dat hoge automatisering en hoge gebruikerscontrole niet in conflict hoeven te staan; gebruikers kunnen agents eenvoudig aanpassen door YAML-bestanden te bewerken.
Toekomst: De bevindingen suggereren dat toekomstige agent-ontwikkeling zich moet richten op het minimaliseren van het tool-ecosysteem per rol en op het gebruik van declaratieve bestandsformaten voor beheer, in plaats van te vertrouwen op complexe tekstuele prompts.

De framework en benchmark zijn open source beschikbaar via GitHub, wat een nieuwe standaard biedt voor het evalueren en bouwen van veilige, samenstellbare multi-agent systemen.