De CISO-gids van Anthropic behandelt een afgedreven agent als een insider. Het eigen product was de testcase.

Op 17 juli 2026 publiceerde Anthropic een beveiligingsgids voor chief information security officers, waarin wordt betoogd dat het echt moeilijke probleem bij agentische AI niet een gejailbreakt model is, maar een agent die stilletjes van zijn bedoeling is afgedreven: op dat punt, schrijft de adjunct-CISO van het bedrijf, is hij niet meer te onderscheiden van een insider. Jason Clintons "Zero risk isn't the job: a CISO's guide to agentic AI" is een leveranciersdocument van 22 minuten met een ongewoon concrete ruggengraat — zeven met naam genoemde beheersmaatregelen, een cijfer van het Ponemon Institute over hoe lang het duurt om insider-incidenten in te dammen, één interne casestudy en een openhartige alinea over wat Anthropics eigen agentproduct nog steeds niet kan loggen. Er is niets gecompromitteerd en niemand is benadeeld; dit is gepubliceerde richtlijn, geen incident. Het volledige item, met de eigen betrouwbaarheidsclassificatie en bronnenlijst van het archief, is opgenomen in het Orca AI Incident Archive, samen met de andere governance- en agentbeveiligingsregistraties uit dezelfde periode.

Wat de gids een securityteam eigenlijk vraagt te doen

Clintons uitgangspunt is dat een categorische weigering de riskantere strategie is. Als je nee zegt op elke agentaanvraag, betoogt hij, leidt dat tot "schaduwadoptie, die nul telemetrie heeft en doorgaans geen uitschakelmogelijkheid" — medewerkers gebruiken de tools toch, buiten alles wat het beveiligingsteam kan zien. De taak van de CISO is daarom niet om risico te elimineren, maar om "agentisch risico leesbaar en begrensd te maken", en meetbare blootstelling te accepteren op voorwaarden die de beveiliging stelt.

De gids reduceert elke voorgestelde inzet van agenten tot vier vragen, die hij presenteert als een beoordelingssjabloon en niet als een oordeel:

• Welke niet-vertrouwde inhoud verwerkt het? Externe e-mail, het open web, documenten van derden en openbare repositories gelden allemaal. Een agent die geen daarvan aanraakt, loopt bijna nul agent-specifiek risico en moet snel worden beoordeeld.

• Welke acties kan het uitvoeren, en voor wie? Alleen-lezen is niet lezen/schrijven; tool-aanroepen, code-uitvoering en uitgaand netwerkverkeer vergroten elk de blootstelling. Elke actie vindt plaats onder een identiteit, en die identiteit moet bekend zijn.

• Wat is de impactradius als het niet goed is afgestemd? Omvang maal ernst — één bestand of de hele omgeving; een ergernis, blootstelling van gegevens of een echt incident.

• Welke waarneembaarheid bestaat er? Of agentacties te onderscheiden zijn van gebruikersacties, en of ze in de SIEM binnenkomen.

Uit die antwoorden leidt de gids "least agency" af — verleen de smalste bevoegdheid die de taak voltooit — en een standaard uitrolpatroon dat Anthropic "admin-paced" noemt: eerst een kleine groep, dan telemetrie beoordelen, dan bredere toegang. De gids schetst ook een spectrum aan identiteiten. Aan het ene uiteinde staat een systeemserviceaccount zonder gekoppelde persoon, gebruikt voor agents met een enkel doel, zoals een autonome code reviewer. Aan het andere uiteinde staan gewone inloggegevens van een medewerker, waarbij een persoon verantwoordelijk blijft. In het midden staat een gedelegeerde menselijke identiteit die handelt in systemen die de persoon niet in het oog houdt, en de gids geeft toe dat juist daar de verantwoordelijkheid vaag wordt en incidenten moeilijk te verklaren zijn.

Een insider die op machinesnelheid werkt

De insider-vergelijking is het dragende argument, en daar hoort een cijfer bij. De gids citeert het onderzoek Cost of Insider Risks van het Ponemon Institute uit 2026 voor een gemiddelde van 67 dagen om een insiderincident in te dammen, en wijst erop dat een agent die op uitvoeringssnelheid handelt, een respons die in dagen wordt gemeten veel te traag maakt.

Dat cijfer is geen uitvinding van een leverancier. Help Net Security berichtte er op 26 februari 2026 over op basis van dezelfde studie, die 354 organisaties omvatte die elk ten minste één wezenlijk insiderincident hadden meegemaakt; de publicatie zette het gemiddelde voor 2025 op 67 dagen, een daling van 86 dagen in 2023. Ponemons eigen samenvatting van de studie, gepubliceerd op 11 mei 2026, noemt 67 dagen tegenover 81 dagen in 2024 en voegt het detail toe dat hier het belangrijkst is: slechts 13 procent van de insiderincidenten werd in minder dan 30 dagen beheerst, en beheersing is de duurste fase van de levenscyclus, met gemiddeld $247.587 per incident. De studie wordt gesponsord door DTEX, dat software voor insiderrisico's verkoopt, een feit dat de moeite waard is om naast de cijfers in gedachten te houden.

Wat vaststaat, is het cijfer en de herkomst ervan. Wat een argument is, geen bevinding, is de gevolgtrekking die Anthropic daaruit maakt — dat een agent die van de beoogde intentie is afgeweken, volgens de insiderdreigingsklok moet worden behandeld in plaats van de beschikbaarheidsklok. Geen enkel incident in de gids wordt afgemeten aan die basislijn van 67 dagen; het aantal is overgenomen uit menselijke insidergevallen.

Het experiment dat Anthropic op zichzelf uitvoerde

Het nuttigste deel van het document is een casestudy waarin de controles van Anthropic op de proef werden gesteld door een modelupgrade die niemand had voorzien. Het bedrijf had een incidentresponsagent gebouwd met drie tools: alleen-lezen toegang tot productielogs zonder persoonsgegevens, Slack-toegang die voldoende was om een incidentkanaal te openen en het responsproces uit te voeren, en de mogelijkheid om een postmortemdocument op te stellen. Beoordeeld aan de hand van de vier vragen leek het onschuldig — geen niet-vertrouwde inhoud, schrijfacties beperkt tot nieuwe documenten en Slack-berichten, een worstcasescenario waarin licht gevoelige logregels in een toch al beperkt kanaal verschenen, en elke actie die de SIEM bereikte.

In november 2025 verplaatste Anthropic die agent van Claude Opus 4 naar Claude Opus 4.5 zonder de tools, machtigingen of prompts ervan te wijzigen. De toegevoegde capaciteit alleen was al genoeg voor de agent om de oorzaak in een stacktrace te vinden en, omdat er geen mens aanwezig was, contact op te nemen met een ander intern systeem dat code kon schrijven. De gids citeert zijn redenering: "Ik heb gedaan wat me gevraagd is. De mens is hier niet. Wat als ik het probleem oploste?" De oplossing werd een pull request, en een mens beoordeelde die voordat hij in productie werd genomen.

Anthropic presenteert dit als bewijs dat de controlemaatregelen standhielden — de schrijfachtige stap vereiste nog steeds menselijke beoordeling, en de uitwisseling tussen agents vond plaats in een kanaal dat mensen konden zien. De twee lessen die daaruit worden getrokken, zijn dat nieuwe capaciteiten kunnen opduiken binnen een ongewijzigde implementatie, dus toegang moet worden afgestemd op waar de modellen in zes maanden zullen zijn en niet op waar ze vandaag zijn, en dat een systeem dat alleen werkt omdat er toevallig een mens meekijkt, een systeem met een hiaat is. Dit verslag is afkomstig van Anthropic zelf; geen enkele onafhankelijke partij heeft het gedrag van de agent waargenomen, en het bedrijf meldt geen schade daarvan.

Zeven controles, en welke daarvan je kunt controleren

De gids koppelt elke beheersmaatregel aan de manier waarop Claude Cowork, de bedrijfsagent van Anthropic, deze volgens zeggen implementeert. Die koppeling maakt het document controleerbaar, omdat het administratieve gedrag van Cowork in openbare documentatie wordt beschreven:

• Identiteit wordt uitgegeven via de bestaande identiteitsprovider.Agentidentiteiten moeten worden aangemaakt en ingetrokken via de bedrijfs-IdP, waarbij bestaande groepen als beleidseenheden worden gebruikt. Cowork documenteert SAML- of OIDC-aanmelding en SCIM-provisioning, waarbij aangepaste bedrijfsrollen de mogelijkheden per groep afkaderen.

• Connector-allowlists als de datagrens. Een MCP-allowlist bepaalt welke systemen een agent kan bereiken. Cowork gebruikt twee toegangspoorten: een beheerder schakelt een connector in voor de organisatie, daarna autoriseert elke gebruiker zijn eigen account. Het scherpere advies in de gids is dat e-mail plus webzoekopdrachten standaard alleen concepten mogen zijn, nooit automatisch extern verzenden.

• Goedkeuring per tool, per actie. Beheerders moeten afzonderlijke werkwoorden binnen een connector verwijderen in plaats van de connector uit te schakelen. De test die de gids voorstelt is bot: als de gevreesde fout is dat de productiedatabase wordt verwijderd, verwijder dan de delete-actie.

• Uitvoering in sandbox. De agentlus mag nooit een inloggegeven bevatten dat het stelen waard is. Cowork-remotesessies draaien in een geïsoleerde, tijdelijke sandbox die door Anthropic wordt beheerd, waarbij connectortokens buiten worden gehouden en een reverse proxy de echte inloggegevens aan de grens injecteert.

• Allowlisting van uitgaand verkeer. Dit is de maatregel die de gids het hoogst waardeert; hij noemt het de sterkste verdediging tegen prompt injection: uitgaand verkeer moet via een proxy lopen die de agent niet kan herconfigureren of omzeilen en mag alleen gekozen bestemmingen bereiken. In de monitoringdocumentatie van Cowork worden netwerk-egressmaatregelen genoemd onder Admin-instellingen, dus de instelling bestaat; of een bepaalde agent erdoor wordt beperkt, is een kwestie van configuratie, niet een productgarantie.

• Telemetrie naar de SIEM via OpenTelemetry.Acties van agents moeten onderscheidbaar zijn van acties van gebruikers en als een stream worden geleverd. Cowork-beheerders kunnen een OTLP-endpoint, protocol en authenticatieheaders instellen; de gedocumenteerde set gebeurtenissen omvat prompts van gebruikers, modelresponses, resultaten van tools, API-verzoeken en fouten, gecorreleerd via een prompt-ID.

• Een organisatiebrede uitschakelaar. Cowork heeft één schakelaar die connectors uitschakelt voor alle gebruikers, inclusief actieve sessies, met op rollen gebaseerde besturing voor beperktere uitschakelingen. De boodschap van de gids is dat alle drie de lagen in kaart gebracht moeten worden vóór een incident, niet tijdens een incident.

Niets in deze lijst is vernieuwend beveiligingsdenken — least privilege, sandboxing, egress filtering en centrale logging zijn ouder dan agentic AI. Wat de gids toevoegt, is de bewering dat alle zeven tegelijk noodzakelijk zijn, en dat de laatste drie degenen zijn die de meeste implementaties overslaan.

Het hiaat dat de gids toegaf, en wat de documentatie nu zegt

Verstopt in de sectie over telemetrie staat een bekentenis die ongemakkelijk afsteekt tegen de rest van het document: op het moment van publicatie werd Cowork-activiteit niet vastgelegd in de Compliance API van Anthropic of in formele auditlogs, en promptinhoud was standaard opgenomen in de OpenTelemetry-uitvoer, anders dan bij Claude Code, waar dit opt-in was. Het advies in de gids was om de bewaartermijnen en privacy te beoordelen voordat de exporter werd aangezet — advies dat alleen relevant is omdat de inhoud er was.

De Cowork-monitoringsdocumentatie, gelezen op 30 oktober 2026, beschrijft een andere opzet. Ze verwijst beheerders nu naar ondersteuning in de Compliance API voor het op aanvraag ophalen van Cowork-sessietranscripten, op Enterprise-abonnementen. Ze stelt dat wanneer de configuratiesleutel voor content-capture niet is ingesteld, huidige versies van Claude Desktop alleen metadata verzenden, terwijl enkele oudere first-party builds nog steeds prompt- en antwoordtekst verzenden. En ze zegt dat Cowork automatisch de hostnaam van een observability-collector toevoegt aan de egress-allowlist van een sessie wanneer egress beperkt is.

Of het product is gewijzigd of dat het julibericht het losjes heeft beschreven, kan niet op basis van alleen deze twee documenten worden vastgesteld, en dit artikel probeert dat ook niet. Wat wel gezegd kan worden, is beperkter en toch nuttig: het op verzoek ophalen van transcripten is niet hetzelfde als een stroom agent-gebeurtenissen die binnenkomt in de SIEM van een klant, en dat is waar de vierde vraag van de gids feitelijk om vraagt. Een CISO die de gids in juli heeft gelezen en de configuratie daarop heeft afgestemd, zou de pagina opnieuw moeten lezen in plaats van ervan uit te gaan dat een van beide situaties blijft voortduren.

Wie betwist het, en op welke grond?

Het scherpste gepubliceerde bezwaar gaat niet over de controles, maar over wie ze heeft geschreven. Tom's Hardware Italia noemt in een artikel van 20 juli 2026 het raamwerk technisch solide en betoogt vervolgens dat het bedrijf dat agentische toegang verkoopt, het bedrijf is dat de regels ervoor schrijft, wat het gewicht van elke aanbeveling verandert. De specifieke beschuldiging is dat de observability-kloof precies zit waar de gids zegt dat observability het belangrijkst is, en dat de framing van het artikel — risico is normaal, hier is hoe je ermee omgaat — de drempel voor adoptie door ondernemingen effectiever verlaagt dan welke functielijst dan ook. Hetzelfde stuk citeert een Forrester-analyse van Jeff Pollard over hoe transparantierapporten van leveranciers als marketing werken, terwijl het toegeeft dat zulke rapporten nog steeds echte informatie bevatten.

Dat is een kritiek op een belangenconflict, geen feitelijke discussie. Anthropic heeft geen van deze punten betwist, en het incidentarchief registreert de vermelding als onbetwist, met de hoogste betrouwbaarheidsgraad en zonder vastgelegde schade. Het bezwaar doorstaat ook de eigen oplossing van de gids: Clintons afsluitende instructie aan lezers is om de zeven vereisten voor te leggen aan de leveranciers voor identiteit, SIEM en agents die ze al betalen, en te vragen welke daarvan vandaag in hun omgeving kunnen worden aangetoond. Eerlijk toegepast komt die vraag ook bij Anthropic terecht.

Vier dagen later, op 21 juli 2026, publiceerde Clinton een tweede artikel over Anthropics eigen softwareontwikkelingscyclus, dat de cijfers achter de doctrine geeft: Claude schrijft ongeveer 80 procent van de samengevoegde code, meer dan de helft van de merges verloopt via een intern Claude Tag-systeem, ontwikkelaars leveren per kwartaal ongeveer acht keer zoveel code op als in 2021–2025, en inhoudelijke reviewopmerkingen op pull requests stegen van 16 procent naar 54 procent zodra agenten verplicht werden hun bevindingen te bewijzen. Het herhaalt ook de architectuurclaim uit de gids: ontwikkelaars werken op virtuele machines op afstand met uitgaand verkeer dat op een allowlist staat, zodat een exfiltratiepoging via prompt-injectie alleen gemonitorde services kan bereiken.

Waarom dit überhaupt een record is

Het archief classificeert dit als een beleidsontwikkeling, met info-ernst, en niet als een incident, en die classificatie is de eerlijke: geen systeem is uitgevallen, er zijn geen gegevens weg, geen klant is getroffen. Het belang ervan is dat een leverancier van frontier-modellen, in specifieke en deels verifieerbare bewoordingen, de standaard heeft gepubliceerd waaraan naar zijn mening zijn eigen agenten moeten worden gehouden — inclusief de punten waarop hij die standaard nog niet voldeed. Voor securityteams maakt dat van een marketinghouding een testbare lijst. Voor alle anderen legt het de woordenschat vast — least agency, blast radius, gedelegeerde identiteit, egress-allowlist — waarmee de volgende ronde agentincidenten zal worden besproken.