Stel je voor dat je een super-slimme robotassistent hebt die niet alleen vragen beantwoordt, maar ook echt dingen voor je doet. Het kan code schrijven, vluchten boeken of je digitale bestanden organiseren. Om dit te kunnen doen, heeft de robot een "brein" (het AI-model) en een "rugzak" (het softwaresysteem dat zijn herinneringen, tools en vaardigheden bevat). Deze rugzak is cruciaal, want het stelt de robot in staat om te onthouden wat hij gisteren heeft gedaan, zodat hij vandaag aan een groot project kan werken. Maar hier komt het lastige gedeelte bij: wat als iemand een piepklein, onzichtbaar virus in die rugzak smokkelt? Het doet misschien niet direct iets. In plaats daarvan wacht het, verborgen in een notitie of een instelling van een tool, totdat de robot weken later een volkomen onschuldige taak oppakt. Plotseling activeert die onschuldige taak het virus, en wist de robot per ongeluk je bestanden of stuurt hij een geheim bericht. Dit is de wereld van "persistent risico" in AI-agenten: gevaren die de tijd en verschillende taken overleven, wachtend op het juiste moment om toe te slaan.

Dit artikel, getiteld HarnessSafe, is als een enorme, hoogtechnologische stress test voor deze robotrugzakken. De onderzoekers wilden zien of huidige AI-systemen deze "slapende" aanvallen konden onderscheppen voordat ze wakker werden en problemen veroorzaakten. Ze bouwden een speeltuin met 328 verschillende scenario's waarin ze probeerden deze verborgen virussen in zeven verschillende soorten "rugzakken" (zoals geheugen, vaardigheden en gedeelde tools) over zeven populaire robotsystemen te planten. In plaats van alleen te vragen: "Is de robot gehackt? Ja of nee?", volgden ze de aanval stap voor stap. Ze keken of het virus werd ontdekt op het moment dat het werd geplant, of het een grens overschreed (zoals een nieuwe dag of een nieuwe gebruiker), of het er uiteindelijk in slaagde om een ramp te veroorzaken.

De resultaten waren een beetje een waarschuwing. De onderzoekers ontdekten dat veiligheid niet alleen gaat over het brein van de robot of de rugzak alleen; het gaat over de specifieke combinatie van de twee. Sommige robotsystemen waren geweldig in het ontdekken van virussen in hun geheugen, maar verschrikkelijk in het opsporen van ze in hun tools. Anderen waren het tegenovergestelde. Sterker nog, twee systemen kunnen dezelfde "foutpercentage" (hoe vaak ze gehackt werden) hebben, maar het ene systeem stopte de aanval vroegtijdig, terwijl het andere de aanval dagenlang liet ronddwalen voordat het uiteindelijk faalde. Dit betekent dat het simpelweg tellen hoe vaak een systeem wordt gehackt niet genoeg is; we moeten weten waar en wanneer de verdediging faalde. De studie bewijst dat deze verborgen, vertraagde aanvallen echt en gevaarlijk zijn, en dat het oplossen ervan vereist dat we naar de hele reis van het risico kijken, en niet alleen naar de uiteindelijke explosie.

Het Verhaal van de "Slapende Spion"

Om te begrijpen wat de onderzoekers hebben gedaan, laten we ons de AI-agent voorstellen als een supergeorganiseerde stagiair die werkt in een groot kantoor. Deze stagiair heeft een rugzak (de "harness") waar hij zijn to-do lijsten, zijn gereedschappen (zoals een rekenmachine of een mappenmap) en zijn aantekeningen over wat hij heeft gedaan, bewaart.

Meestal is deze stagiair behulpzaam. Maar stel je voor dat een spion (de aanvaller) de stagiair wil saboteren om het kantoor te ontregelen. De spion roept niet gewoon "Doe iets slechts!", want dan zou de stagiair "nee" zeggen. In plaats daarvan smokkelt de spion een slapende instructie in de rugzak van de stagiair. Misschien schrijft hij een vreemde notitie in de sectie "Geheugen", of past hij een "Vaardigheid"-bestand aan zodat het normaal lijkt, maar een verborgen val bevat.

De spion vertrekt. De stagiair gaat door met zijn dag en voert normale, saaande taken uit. Er gebeurt niets. Dit is het "persistentie"-gedeelte — het slechte spul zit daar gewoon en wacht.

Dan, dagen later, vraagt de baas (een gebruiker) de stagiair om iets volkomen onschuldigs te doen, zoals "Vat dit rapport samen." Dit is de "onschuldige trigger". Maar omdat de rugzak van de stagiair nog steeds die slapende instructie van de spion bevat, springt het moment dat de stagiair het rapport opent, de val dicht. De stagiair kan per ongeluk de bestanden van de baas verwijderen of een geheime e-mail sturen, terwijl hij denkt dat hij gewoon een normale baan uitvoert.

De Grote Rugzak Stress Test

De auteurs van dit artikel besloten de rol van de spion aan te nemen om te zien welke kantoorsystemen veilig waren. Ze creëerden HarnessSafe, een enorme testkit met 328 verschillende manieren om deze slapende spionnen te planten. Ze testten deze spionnen in zeven verschillende soorten rugzakken:

1. Geheugen: Verborgen in de aantekeningen van de stagiair.
2. Vaardigheden: Verborgen in de instructies voor hoe een taak moet worden uitgevoerd.
3. Tools/MCP: Verborgen in de instellingen van de tools die de stagiair gebruikt.
4. Geheugen-naar-Vaardigheid: Een aantekening veranderen in een nieuwe vaardigheid.
5. Subagent Delegatie: De spion doorgeven aan een hulp-robot.
6. Sessie Samenvatting: Verborgen in de samenvatting van een eerder gesprek.
7. Gedeelde Artefacten: Verborgen in een bestand dat gedeeld wordt tussen verschillende werkers.

Ze voerden deze tests uit op zeven verschillende real-world robotsystemen (zoals Claude Code, Codex CLI en anderen) om te zien hoe ze met de aanvallen omgingen.

De "Stage" Score: Niet Alleen Ja of Nee

Hier wordt het onderzoek echt slim. De meeste veiligheidstests zeggen alleen: "Is de robot gehackt? Ja/Nee." Maar de onderzoekers realiseerden zich dat dat hetzelfde is als zeggen dat een auto-ongeluk hetzelfde is, of de remmen nu faalden bij 10 km/u of bij 100 km/u.

In plaats daarvan creëerden ze een 7-fasen scorebord (genoemd N0 tot N5b) om precies bij te houden hoe ver de spion kwam:

• N0: De spion werd nooit eens gezien. De rugzak was stevig vergrendeld.
• N1: De spsion werd opgemerkt zodra hij probeerde binnen te komen.
• N2: De spion kwam binnen en veranderde iets, maar werd betrapt voordat hij echte schade kon aanrichten.
• N3: De spion overleefde de "nacht" (een nieuwe sessie) en werd opnieuw gelezen door de stagiair.
• N4: De spion probeerde iets slechts te doen, maar het systeem stopte de actie.
• N5a/N5b: De spion slaagde! De schade was aangericht.

Door dit scorebord te gebruiken, konden ze zien dat sommige systemen goed waren in het stoppen van spionnen bij de deur (N1), maar slecht in het stoppen van hen zodra ze binnen waren (N3). Anderen waren het tegenovergestelde.

Wat Ze Vonden: Het Draait Om de Combinatie

De grote ontdekking was dat veiligheid afhangt van de specifieke samenwerking tussen het brein van de robot (het AI-model) en zijn rugzak (de harness).

• Niemand is perfect: Er was geen enkel systeem dat het beste was in alles. Bijvoorbeeld, één systeem (Codex CLI) was geweldig in het vangen van spionnen in zijn tools en geheugen, maar was eigenlijk het slechtst in het vangen van hen in zijn "Vaardigheden". Een ander systeem (Claude Code) was goed in vaardigheden, maar zwakker elders.
• Het Brein Doet Er Ook Toe: Als je dezelfde rugzak neemt en er een ander AI-brein in plaatst, verandert de veiligheidsscore drastisch. Het ene brein kan zeer voorzichtig zijn en de spion vangen, terwijl een ander te vertrouwend is en hem doorlaat.
• De "Hetzelfde Score" Valstrik: Twee systemen kunnen dezelfde "Attack Success Rate" hebben (wat betekent dat ze beide even vaak faalden). Maar wanneer je naar de fasen kijkt, is het ene systeem misschien vroeg gefaald (N1), terwijl het andere de spion dagenlang rondliet te dwalen (N3) voordat het faalde. Dit betekent dat een simpele "pass/fail" score veel gevaarlijke details verbergt.

De Conclusie

Het artikel concludeert dat we niet zomaar een robot kunnen bekijken en zeggen: "Hij is veilig" of "Hij is onveilig". Veiligheid is een complexe dans tussen de software die het geheugen vasthoudt en de AI die denkt. Als we deze "slapende spion"-aanvallen willen stoppen, moeten we systemen bouwen die de hele reis van het risico bewaken, en niet alleen het eindresultaat. We moeten precies weten waar de verdediging brak, zodat we dat specifieke deel van de rugzak kunnen repareren.

Kortom, de onderzoekers hebben ons laten zien dat in de wereld van AI-agenten een verborgen gevaar een lange tijd kan slapen, en dat het vangen ervan een veel gedetailleerdere blik vereist dan alleen controleren of de robot nog steeds werkt. Ze hebben de kaart en het scorebord geleverd om ons te helpen precies te vinden waar de barsten zitten.