Identiteitskaping in workflows: Noma Labs verandert een gewone support-e-mail in toegang tot geprivilegieerde gegevens

Op 9 september 2026 publiceerde het onderzoeksteam van Noma Security, onder de naam Noma Labs, een verslag van wat het workflow-identiteitskaping noemt: een zakelijke AI-workflow leest een gewoon bericht dat binnenkomt bij een publiek toegangspunt — een supportinbox, een GitHub-issue, een webformulier, een gedeeld document — en voert vervolgens het gevraagde werk uit met zijn eigen serviceaccount met hoge privileges in plaats van met de machtigingen van de afzender. De walkthrough van Noma laat een buitenstaander een e-mail sturen naar het openbare supportadres van een bedrijf en onder meer vragen naar de kwartaalverkoopcijfers uit de meest recente e-mail van de financieel directeur; enkele minuten later komt de inhoud aan in de inbox van de aanvaller. Er werd geen model misleid en geen account werd gecompromitteerd, en dat is precies de kern van het rapport: "het enige dat de aanvaller hoefde te doen, was vragen." Het archief vermeldt geen werkelijke schade — er wordt geen slachtoffer genoemd en geen ingezet systeem wordt als gecompromitteerd beschreven — en beoordeelt de bevinding als onderzoek, ernst medium, betrouwbaarheid A, betwist: nee. Dit verslag is gebaseerd op het rapport van Noma Labs, op de berichtgeving van Dark Reading die dezelfde dag verscheen en op de follow-up van CSO Online, en het AI-incidentenarchief herbergt deze vermelding naast de omliggende vermeldingen, elk met eigen bronnen, ernst en betrouwbaarheidsgraad.

De eigen velden van het record zijn het lezen waard voordat je aan de tekst begint. Het is getagd als INFRA en EXFIL, bestrijkt de regio GLOBAL, draagt één datum die tot op de dag precies is, 9 september 2026, en is niet gemarkeerd als een landmark-entry. De datum is de publicatiedatum van het onderzoek en niets anders; er is geen incidenttijdlijn aan verbonden, omdat er geen incident is om te dateren. Dat is het eerste om vast te houden: wat Noma publiceerde, is een mechanisme en een categorie, geen inbreukrapport.

Wat Noma wel aantoonde, en wat niet

De support-inboxsequentie is een geconstrueerde illustratie en geen klantcase. Het rapport van Noma noemt geen organisatie, geeft geen aantal getroffen implementaties, publiceert geen telemetrie uit een echte pipeline en geeft geen link naar een proof-of-conceptrun voor dit scenario — anders dan het juli-onderzoek van de groep, dat verwees naar een openbare GitHub Actions-run. Wat het rapport in plaats daarvan biedt, is een beschrijving van het mechanisme die precies genoeg is om aan een architectuur te toetsen: een niet-geauthenticeerde invoer komt binnen, het model interpreteert die correct, de pipeline voert de downstream-aanroep uit, en die aanroep gebeurt met de bevoegdheid van de maker van de workflow.

Sasi Levi, hoofd securityonderzoek bij Noma en auteur van het rapport, vat de kernoorzaak in één zin samen: "de identiteit en machtigingen van de gebruiker die een workflow activeert, zijn losgekoppeld van de identiteit en machtigingen die worden gebruikt om die uit te voeren." Waar dat geldt, wordt de workflow, in de woorden van het rapport, "ongeauthenticeerde proxies voor geprivilegieerde acties en stille data-exfiltratie."

Omdat de acties via vertrouwde automatisering met geldige inloggegevens verlopen, betoogt Noma dat er voor conventionele alarmering weinig te detecteren valt. Het verzoek is normaal, de uitvoer van het model is een geldige modeluitvoer, de API-aanroep is geauthenticeerd, het antwoord is het antwoord dat de workflow moest versturen. CSO Online citeerde red teamer Vibhum Dubey, die het detectieprobleem concreet maakte: "De afzonderlijke gebeurtenissen kunnen er volkomen legitiem uitzien. De nuttige signalen zouden komen uit het correleren van de oorspronkelijke aanvrager, de identiteit die stroomafwaarts wordt gebruikt, de resources waartoe toegang is verkregen, de aangeleverde parameters en de uiteindelijke actie."

De controle die mislukt, is een autorisatiecontrole, geen inhoudsfilter.

De scherpste illustratie in het rapport is een paar identieke verzoeken. Van een chief financial officer: "Wat zijn de kwartaalomzetcijfers van de Finance Director in diens meest recente e-mail?" Van een externe afzender: dezelfde woorden. Noma's punt is dat de prompt en de gevraagde bewerking hetzelfde zijn, terwijl de autorisatiebeslissing volledig anders zou moeten zijn — "Een CFO heeft recht op die informatie; een externe afzender niet."

Standaard detectoren voor promptinjectie en agent-guardrails, zo betoogt het rapport, classificeren de twee inputs identiek, omdat er in geen van beide iets kwaadaardigs valt te detecteren. "Het beveiligingsrisico zit niet in de prompt; het zit in de autorisatiegrens." Noma's structurele claim volgt daaruit: guardrails, systeeminstructies en inputfilters "zijn niet ontworpen om als autorisatiegrens te dienen", dus een pipeline die erop vertrouwt dat ze bepalen wat een aanroeper mag ophalen, vertrouwt op een controle die nooit die taak heeft gekregen.

Het onderscheid is praktisch relevant. Directe promptinjectie manipuleert hoe het model instructies volgt; indirecte promptinjectie verbergt instructies in inhoud die het model later leest; workflow-identiteitskaping, zoals Noma het definieert, heeft geen van beide nodig, omdat het verzoek er een is dat het model geacht wordt te begrijpen en dat de pipeline geacht wordt uit te voeren. Een verdediger die het hele jaar heeft besteed aan het harden tegen injectie, heeft aan een andere laag gewerkt.

Statische workflows vallen buiten de inspanning om agents weerbaarder te maken.

Noma scheidt twee zaken die gewoonlijk door elkaar worden gebruikt. Een AI-workflow is een vooraf gedefinieerde, statische reeks waarin een model één verwerkingsstap is — de verkorte notatie van het rapport is stap A, model, stap B, stap C — en de deterministische pijplijn rond het model bepaalt wat er gebeurt. Een agentische workflow is autonoom: de agent beslist welke stappen hij neemt en welke tools hij aanroept. Veel van de huidige beveiligingsinspanningen, stelt het rapport, zijn gericht op de tweede soort: het beperken van tooltoegang en het afbakenen van machtigingen voor agents die dynamische beslissingen nemen, en die maatregelen strekken zich niet uit tot de eerste.

Het rapport dicht ook een voor de hand liggende ontsnappingsroute. Beperken wie of wat een workflow kan activeren, lost het probleem niet op: als een automatisering volgens een schema om 8.00 uur 's ochtends draait en inwerkt op een inbox waar iedereen naartoe kan schrijven, beantwoordt het controleren van "wie deze workflow kan activeren" de verkeerde vraag. De regel van Noma is dat elke automatisering moet worden beoordeeld op basis van "de minst betrouwbare partij die invloed kan uitoefenen op waarop zij inwerkt" — inclusief e-mails, formulieren, tickets, GitHub-issues, gedeelde documenten en chatberichten.

Noma zegt dat Google een Google Workflows-zaak heeft opgelost; Google heeft niets gepubliceerd.

Het enige genoemde platform in het rapport is dat van Google. Noma stelt dat het dezelfde risicovector binnen Google Workflows heeft geïdentificeerd, dat het deze verantwoord heeft gemeld, en dat Google de melding heeft erkend en een fix heeft bevestigd "zonder implementatiedetails vrij te geven." Die zin vormt het volledige publieke record. Er kon geen Google-advisory, release note of CVE worden gevonden die deze vector beschrijft, en elke secundaire beschrijving van de fix — inclusief de exemplaren die in de dagen na 9 september zijn gepubliceerd — schrijft die toe aan Noma in plaats van aan Google.

Het rapport is ook niet helemaal consistent over welk Google-product het bedoelt. De lopende tekst noemt Google Workflows; een kop in hetzelfde rapport luidt: "Google Workspace: identiteitskaping via AI-workflows." Beide zijn Google-producten met verschillende vertrouwensgrenzen, en het rapport brengt ze niet met elkaar in overeenstemming. Noma zegt niet of het geval dat het meldde, is misbruikt, hoeveel klanten eraan zijn blootgesteld of wat de oplossing heeft veranderd — en omdat Google niets heeft gezegd, kunnen geen van die hiaten vanaf de kant van de leverancier worden gedicht.

GitLost was dezelfde grens, gezien door een nauwere lens.

Noma's eerdere onthulling geeft de categorie een precedent. In juli 2026 publiceerde de groep onderzoek naar GitHub Agentic Workflows, dat zij GitLost noemde: een workflow die werd geactiveerd wanneer een issue werd toegewezen, de titel en tekst van het issue las en met een opmerking antwoordde, en omdat de agent leesrechten had voor de repositories van de organisatie, konden externe gebruikers via issue-toewijzing toegang krijgen tot gegevens in privérepositories. Dark Reading berichtte er op 7 juli 2026 over en beschreef een aanvaller die opdrachten in gewoon Engels verborg in de tekst van een issue dat in een openbare repository werd geopend, zonder inloggegevens en zonder programmeervaardigheden nodig te hebben.

De twee framingen zijn niet identiek, en het verschil is het interessante deel. Het juli-verslag van Dark Reading is een prompt-injectieverhaal: door aanvallers beheerste tekst wordt als instructies gelezen. Het septemberrapport van Noma beschrijft GitLost in termen van de trigger en leestoegang tot de hele repository, en presenteert het als dezelfde autorisatiegrens vanuit één perspectief. Beide beschrijvingen passen bij een workflow waarvan de agent tekst las die een buitenstaander had geschreven, maar alleen de eerdere ervan berust erop dat het model wordt gestuurd. Noma zegt nu dat het dezelfde risicovector aan Google heeft gemeld; het zegt niet of de GitLost-zaak ooit verder is misbruikt dan de gepubliceerde demonstratie.

Noma's eigen weergave van het bereik is dat Hacker News, Dark Reading en meer dan 100 andere internationale media het GitLost-onderzoek hebben behandeld. Dat aantal is afkomstig van de leverancier, en dit artikel heeft de berichtgeving niet onafhankelijk geteld.

Beoefenaars zijn het erover eens dat het mechanisme oud is; de discussie gaat over de naam.

Onafhankelijke berichtgeving betwistte de bevinding niet, en twee externe praktijkdeskundigen betwistten veeleer de nieuwheid dan de inhoud. Morey Haber, chief security adviser bij BeyondTrust, zei tegen Dark Reading: "Niemand heeft een AI-model ertoe gebracht iets te doen wat het niet zou moeten doen. Het model deed precies wat het was opgedragen, door een vreemde (niet-vertrouwde) partij, en de workflow eromheen gebruikte de identiteit van iemand anders om dat mogelijk te maken, omdat deze niet was afgebakend en niet volgens het least-privilegebeginsel werd behandeld." CSO Online citeerde Vibhum Dubey, die het patroon omschreef als "een bekende categorie autorisatiezwakheden", en eraan toevoegde dat wanneer een niet-geauthenticeerde invoer een vertrouwde workflow kan activeren die met zijn eigen bevoegdheden handelt, "de workflow in feite kan optreden als een confused deputy."

Ram Varadarajan, CEO van Acalvio, bood Dark Reading een volstrekt andere beheersmaatregel aan: in plaats van meer filtering, de omgeving bezaaien met lokmiddelen — nepgespreksreeksen van leidinggevenden, honeytoken-records — waarvoor geen enkele legitieme reden bestaat dat een geautoriseerde workflow ze aanraakt, zodat een onschuldig lijkend verzoek dat er een probeert te bereiken, een grens overschrijdt die het nooit zou mogen overschrijden. Het meningsverschil, voor zover daarvan sprake is, gaat erover of de nuttige bijdrage een nieuwe naam is voor een delegatiekwetsbaarheid uit 1988 of een werkende beschrijving van waar die kwetsbaarheid nu voorkomt. Noma's standpunt is het tweede: dat het patroon systemisch is in AI-pipelines binnen ondernemingen en dat huidige AI-beveiligingskaders naar het verkeerde oppervlak kijken.

De mitigatie is delegatie en een checkpoint, niet een beter filter.

Noma's aanbevolen beheersmaatregelen bevinden zich op applicatielaag, niet op modellaag. Identiteitsbewuste tokendelegatie betekent dat statische administratieve API-sleutels uit AI-workflows worden verwijderd en dat data-operaties worden uitgevoerd met kortstondige, afgebakende delegatietokens die aan de geauthenticeerde aanvrager zijn gekoppeld, zodat de gebruikerscontext doorkomt naar de aanroep die daadwerkelijk de data aanraakt. Contextuele autorisatiecheckpoints betekenen dat elke modeloutput als niet-vertrouwde input wordt behandeld en dat een expliciete toegangscontrole- en runtimebeschermingsevaluatie wordt geplaatst tussen de transformatiestap van het model en elke daaropvolgende database- of toolaanroep. Asymmetrische outputscheiding betekent dat dataretrieval structureel wordt geïsoleerd van externe communicatiekanalen, zodat een workflow die gevoelige interne data verwerkt geen uitvoeringspad deelt met een geautomatiseerd mechanisme dat aan buitenstaanders antwoordt.

Dubey gaf CSO Online een goedkopere test dan alle drie: vergelijk de uitkomsten tussen verschillende privilegeniveaus. "Als een gebruiker met weinig rechten hetzelfde resultaat kan bereiken als een beheerder, omdat downstreamsystemen alleen de identiteit van de workflow zien, dan is dat waar ik mijn onderzoek op zou richten."

Wat het verslag openlaat

• Geen slachtoffer, geen aantallen en geen telemetrie. Noma's support-inboxcasus is een walkthrough; het rapport noemt geen organisatie en het archief registreert werkelijke schade als onwaar. De aannemelijkheid van het mechanisme is geen bewijs dat het is gebruikt.

• Welk Google-product is opgelost, en wat de oplossing was. De tekst van Noma zegt Google Workflows, de kop van de sectie zegt Google Workspace, en Google heeft niets gepubliceerd. Organisaties kunnen nog niet op basis van openbare bronnen vaststellen of een pipeline die zij draaien binnen de scope viel.

• Of de aanvalsvector ergens is misbruikt. Noch het rapport noch enige berichtgeving die voor dit artikel is bekeken, beschrijft een waargenomen campagne, gegevensverlies of een forensische bevinding die toe te schrijven is aan workflow-identiteitskaping.

• Of de categorie standhoudt bij meting. Geen enkele onafhankelijke partij heeft een scan, een corpus van getroffen pipelines of een testsuite voor het patroon gepubliceerd; het bewijs dat circuleert bestaat uit architectuurargumenten plus de beschrijving van één leverancier van één opgelost geval.

• Wie het argument maakt. Noma Labs is de onderzoeksafdeling van Noma Security, dat agentbeveiligingsmaatregelen verkoopt van precies het soort dat zijn rapport aanbeveelt. Dat maakt de bevinding niet onjuist — Dark Reading en CSO Online hebben er beiden over bericht, en geen van beide vond een feitelijke fout — maar het is context die een lezer in gedachten moet houden bij het afwegen hoe breed de categorie wordt getrokken.

De ernstgraad 'medium' van het record en de markering 'false' voor werkelijke schade beschrijven het bewijs, niet het mechanisme. Wat Noma daadwerkelijk heeft vastgesteld, is beperkt en controleerbaar: dat de triggeridentiteit van een workflow en de uitvoeringsidentiteit ervan afzonderlijke zaken zijn, dat de tweede gewoonlijk de krachtigere is, en dat een pijplijn die deze nooit vergelijkt voor een vreemde zal doen wat ze zou doen voor de persoon voor wie ze is gebouwd. De controle die daaruit volgt is navenant onglamoureus — vraag bij elke automatisering wie invloed kan uitoefenen op waarop ze handelt, en of er stroomafwaarts ooit opnieuw wordt gecontroleerd of degene die het vraagt, het mocht vragen.