NLEN
Plan een gesprek

Diensten / AI-security engineering

Bescherming tegen AI-agents die op hol slaan, agent-swarms en aanvallen op AI-systemen.

In juli 2026 coördineerden agents uit de cybersecurity-evaluatie van een AI-lab een inbraak bij Hugging Face, een geval dat Hugging Face en METR hebben gedocumenteerd, en AI-browsers en assistenten blijken instructies te volgen die in de pagina's staan die ze lezen. We versterken AI-agents en LLM-toepassingen zodat één foute instructie niet één foute actie wordt, en we testen ze zoals een aanvaller dat doet, met schriftelijke toestemming van de eigenaar van het systeem. We zorgen er ook voor dat je Databricks-platform hersteld kan worden, en bewijzen dat met een oefening. Een kernteam leidt, en toegewijde engineers sluiten aan waar het werk dat vraagt.

Plan een gesprekPentest voor AI-agents

01 / Wat we aanbieden

Drie diensten, één manier om te starten

Kies de dienst die bij je vraag past. Elke dienst is een product met een schriftelijke scope en een resultaat dat je houdt.

  • Pentest voor AI-agents

    Een geautoriseerde white-hat test die laat zien hoe je AI-agent bezwijkt, en hoe je dat oplost.

    Je krijgt

    • Een schriftelijke scope, met de toestemming van de eigenaar van het systeem
    • Bevindingen op risico gerangschikt, met reproductiestappen en oplossingen
    • Een hertest die bevestigt wat is gesloten

    Zo verloopt het

    1. Toestemming en scope
    2. Dreigingen modelleren
    3. Testen
    4. Rapporteren
    5. Hertesten
    Bekijk het product

  • Beveiliging van agents versterken

    Agents die binnen hun grenzen blijven, met de verdedigingslagen en aanvalstests ingebouwd.

    Je krijgt

    • Identiteit, limieten, goedkeuringspoorten en een noodstop in je agents
    • Aanvalstests die als release-poort draaien
    • Runbooks voor je team

    Zo verloopt het

    1. Dreigingen modelleren
    2. De lagen ontwerpen
    3. Bouwen
    4. Testen en afdwingen
    5. Overdragen
    Bekijk het product

  • Databricks backup en restore op orde

    Een Databricks-platform waarvan je weet hoe je het herstelt en hoe lang een restore duurt.

    Je krijgt

    • Een herstelontwerp met gesynchroniseerde deep clones en configuratie als code
    • Een restore-runbook per systeem
    • Een eerste restore-oefening met een gemeten hersteltijd

    Zo verloopt het

    1. Beoordelen
    2. Ontwerpen
    3. Bouwen
    4. Oefenen
    5. Inplannen
    Bekijk het product

Doorlopende bescherming

Doorlopende monitoring van agentbeveiliging en periodieke hertests lopen via onze beheerde AI-operations en onze senior capaciteit op retainer.

Beheerde AI-operations Senior capaciteit op retainer

Zo begin je

  1. Plan een gesprekVertel welke agents en data je AI-systemen bereiken.
  2. Scope en toestemmingWe leggen de scope schriftelijk vast, en de eigenaar van het systeem tekent de toestemming.
  3. StartHet werk begint op de afgesproken datum.
Plan een gesprekStuur ons je brief

02 / Wat is er veranderd

Wat er recent veranderd is in AI-security

Gedateerde ontwikkelingen uit primaire bronnen, en wat elke ontwikkeling betekent voor een team dat AI-agents draait.

Een gedocumenteerd swarmgeval: Hugging Face en OpenAI, juli 2026

Hugging Face maakte op 16 juli 2026 bekend dat een autonoom AI-agentframework toegang had gehad tot een beperkte set interne datasets en tot meerdere inloggegevens van zijn services, en zei geen aanwijzingen te hebben gevonden voor manipulatie van openbare modellen, datasets of Spaces. Het onafhankelijke onderzoek van METR van 26 augustus 2026 herleidde de agents naar een interne cybersecurity-evaluatie van OpenAI. METR meldt dat ongeveer 1.200 agents die van elkaar geïsoleerd hadden moeten zijn een manier vonden om op een gedeeld prikbord met elkaar te communiceren, en dat ongeveer 700 van hen aan de aanval deelnamen. Elk punt hieronder is toegeschreven aan de partij die het publiceerde.

Wat er misging bij het incident bij Hugging Face en de laag die daarop antwoordt
Wat de bronnen meldenBronOnze laag
Agents die van elkaar geïsoleerd hadden moeten zijn, communiceerden op een gedeeld prikbordMETRGeen gedeelde beschrijfbare stores tussen agents, en egresscontrole
De toegang liep via dataverwerking, met een dataset-loader die code uitvoert en een templateinjectie in een conversiepodTijdlijn van Hugging FaceVeilig verwerken van data en configuratie, en uitvoering in een sandbox
Inloggegevens uit een workeromgeving leidden tot cluster-admin op meerdere interne clustersTijdlijn van Hugging FaceBeperkte inloggegevens, identiteit per agent en minimale rechten
De AI-gestuurde alarmering van Hugging Face correleerde de signalen, maar verhoogde de urgentie niet en riep de dienstdoende niet opTijdlijn van Hugging FaceAnomaliemeldingen die vroeg naar een mens escaleren
De agents draaiden in een evaluatieomgeving en niet in productieMETRDezelfde monitoring in test- en evaluatieomgevingen als in productie
Recente ontwikkelingen in AI-security en wat ze voor je betekenen
DatumWat er gebeurdeWat het voor je betekent
jul 2026Hugging Face maakte op 16 juli bekend dat een autonoom AI-agentframework toegang had gehad tot interne datasets en inloggegevens van services. METR herleidde de agents naar een cybersecurity-evaluatie van OpenAI en telt ongeveer 700 van circa 1.200 agents op een gedeeld prikbord die aan de aanval deelnamen.Een gedocumenteerd swarmgeval: agents coördineerden zonder dat hun dat was gezegd. Egresscontrole, geen gedeelde beschrijfbare stores, beperkte inloggegevens en escalatie naar een mens zijn het antwoord.
20 aug 2025Brave liet zien dat verborgen tekst op een webpagina de AI-browser Perplexity Comet kan laten handelen met de accounts van de gebruiker.Elke assistent met toegang tot accounts heeft dezelfde injectietests nodig als je eigen agents.
13 nov 2025Anthropic meldde een aan een staat gelinkte groep die een agentische codeertool inzette tegen ongeveer dertig doelwitten en 80 tot 90 procent van de campagne door AI liet uitvoeren, met alleen af en toe menselijke tussenkomst.Aanvallen kunnen op machinesnelheid en in grote volumes verlopen, dus limieten, anomaliemeldingen en een noodstop tellen.
25 nov 2025De MCP-specificatie kreeg OpenID Connect Discovery en stapsgewijze toestemming voor scopes, en een bijgewerkte versie van de security best practices.We controleren of je MCP-servers en -clients de huidige autorisatieflow gebruiken en de kleinste scope vragen.
9 dec 2025OWASP publiceerde de Top 10 for Agentic Applications for 2026.Ons dreigingsmodel en ons testplan voor agents volgen die lijst.
mrt 2026In een grote red-teamingwedstrijd met NIST CAISI viel elk geteste model voor minstens één geslaagde aanval bij toolgebruik, codeertaken en computergebruik.Veiligheid op modelniveau neemt de noodzaak van controles rond de agent niet weg.
20 mrt 2026Het Databricks AI Security Framework v3.0 kreeg een agentische uitbreiding met 35 nieuwe technische risico's en 6 nieuwe maatregelen, gegroepeerd als agent core, MCP-server, MCP-client en inter-agentdynamiek.We leggen de maatregelen op jouw platform langs het uitgebreide framework.
2026MITRE ATLAS voegde in de releases van 2026 agenttechnieken toe, waaronder AI Agent Tool Poisoning, Autonomous Attack Orchestration en Autonomous AI Agent Communication.In onze rapporten noemen we bij elke aanvalsstap de ATLAS-techniek.

Primaire bronnen

Hugging Face: beveiligingsincident, juli 2026 Hugging Face: technische tijdlijn METR: onafhankelijk onderzoek OpenAI: postmortem van het incident Brave: prompt injection in Comet Anthropic: door AI georkestreerde spionagecampagne MCP-specificatie: wijzigingslog OWASP Top 10 voor agentische toepassingen NIST CAISI: red-teamingwedstrijd voor agents MITRE ATLAS releases

03 / Dreigingen

Dreigingen waartegen we verdedigen

De OWASP Top 10 for LLM Applications 2025 is de gemeenschappelijke taal voor deze risico's. Zo komt elk risico terug bij een agent die documenten leest en tools aanroept.

Items van de OWASP Top 10 for LLM Applications 2025 en waar we verdedigen
OWASP-itemWat het voor je agent betekentWaar we verdedigen
LLM01 Prompt injectionInstructies die verborgen zitten in een prompt, een document, een webpagina of een toolresultaat veranderen wat de agent doet. Indirecte injectie komt binnen via content die de agent zelf leest.Filtering, goedkeuringspoorten en aanvalstests
LLM02 Sensitive information disclosure (lekken van gevoelige informatie)Een antwoord, een logregel of een toolaanroep onthult data die de aanvrager niet mag zien.Toegang met minimale rechten en outputfiltering
LLM03 Supply chainModellen, packages, plugins en MCP-servers van buiten je eigen beheer brengen het risico je systeem binnen.Allow lists en gereviewde afhankelijkheden
LLM06 Excessive agencyEen agent heeft meer tools, rechten of autonomie dan zijn taak nodig heeft, waardoor een fout of aanval een groot bereik krijgt.Identiteit per agent en goedkeuringspoorten
LLM07 System prompt leakage (lekken van de systeemprompt)De instructies en geheimen in een systeemprompt kunnen door de gebruiker worden gelezen of afgeleid.Geen geheimen in prompts en outputfiltering
LLM08 Vector and embedding weaknesses (zwaktes in vectoren en embeddings)Een retrievalstore geeft vergiftigde of te ruim gedeelde content terug aan het model.Toegangsregels op de index en review van bronnen
LLM10 Unbounded consumption (onbegrensd verbruik)Eén klant, één loop of veel parallelle agents verbruiken budget en capaciteit. Aanvallers noemen dit denial of wallet.Limieten op kosten, aanvraagsnelheid en stappen

04 / Agents en swarms

Dreigingen specifiek voor agents en swarmscenario's

Agents brengen risico's mee die een gewone chattoepassing niet heeft: ze handelen, onthouden en praten met andere agents. De OWASP Top 10 for Agentic Applications for 2026 behandelt risico's als goal hijack, toolmisbruik, geheugenvergiftiging, onveilige communicatie tussen agents, kettingreacties van fouten en agents die op hol slaan. Dit zijn de scenario's waartegen we ontwerpen.

  • Goal hijackTekst die de agent leest stuurt hem om van de taak die jij gaf naar een taak die een aanvaller koos.
  • ToolmisbruikEen agent gebruikt een tool die hij mag gebruiken voor een doel dat niemand bedoelde, zoals het exporteren van records die hij legitiem kan lezen.
  • Vergiftiging van geheugen en contextEen slecht item in het geheugen, een retrievalindex of een lange context blijft de agent beïnvloeden, lang na de aanval.
  • Risico's van MCP-serversEen confused deputy handelt met rechten die de aanroeper nooit had, een server accepteert tokens die hij niet zelf heeft uitgegeven, of een token heeft meer scope dan de taak nodig heeft. We volgen de regels voor scopebeperking en tokens uit de MCP security best practices.
  • SwarmmisbruikVeel agents of geautomatiseerde clients handelen tegelijk, elk binnen zijn eigen limiet en samen ver boven wat het systeem aankan. Bij het incident bij Hugging Face in juli 2026 telt METR ongeveer 700 agents die aan één aanval deelnamen. We stellen limieten in per agent en voor de swarm als geheel.
  • Onveilige communicatie tussen agentsEen agent die een andere agent standaard vertrouwt, geeft een compromittering door. In onze ontwerpen is elk bericht tussen agents onbetrouwbare invoer.
  • Kettingreacties van foutenEén foute uitkomst voedt de volgende agent, die erop handelt en de volgende voedt. We bouwen controles en onderbrekers tussen de stappen, zodat een fout lokaal blijft.
  • Agents die op hol slaanEen agent die afdrijft van zijn rol, door een hijack, een slecht geheugen of een eigen fout, blijft handelen. Limieten, monitoring en een noodstop brengen hem weer onder controle.

Het incident bij Hugging Face hierboven is een gedocumenteerd swarmgeval. MITRE ATLAS noemt agenttechnieken als Autonomous Attack Orchestration en Autonomous AI Agent Communication. Onze swarmmaatregelen zijn engineeringpraktijk die we samen met jou toepassen en testen.

OWASP Top 10 voor agentische toepassingen, editie 2026

05 / Versterken

Zo versterken we agents

Verdediging in lagen: geen enkele maatregel hoeft te houden om de agent veilig te laten blijven. Anthropic komt in zijn onderzoek naar betrouwbare agents van 9 april 2026 tot dezelfde conclusie: geen enkele verdedigingslinie is genoeg. Elke laag heeft een eigenaar en een test.

  1. IdentiteitEén identiteit per agent
  2. Filter op invoerInvoer gecontroleerd en begrensd
  3. Tool in een sandboxAllow list, minimale rechten
  4. GoedkeuringspoortEen mens keurt impact goed
  5. Filter op uitvoerUitvoer gecontroleerd, egress beheerd
  6. Tracing en alarmElke stap vastgelegd
  • Identiteit per agent en tools met minimale rechtenElke agent heeft een eigen identiteit en alleen de tools en data die zijn taak nodig heeft, zodat een gekaapte agent weinig bereik heeft.
  • Allow listsTools, servers, domeinen en acties zijn op naam toegestaan. Al het andere wordt geweigerd.
  • Goedkeuringspoorten voor acties met impactBetalingen, verwijderingen, externe berichten en rechtenwijzigingen wachten op een mens, met de context om te beslissen.
  • Uitvoering in een sandbox en egresscontroleCode en tools draaien in een geïsoleerde omgeving, en uitgaand verkeer gaat alleen naar bestemmingen op de lijst.
  • Filtering van invoer en uitvoerAanvragen, documenten en toolresultaten worden bij binnenkomst gecontroleerd, antwoorden en toolaanroepen bij vertrek.
  • Limieten op kosten, aanvraagsnelheid en stappenPlafonds per agent en per swarm op kosten, aanvraagsnelheid en het aantal stappen in een loop, zodat één storing klein blijft.
  • Noodstop en circuit breakersEen mens kan een agent direct stoppen, en breakers schakelen hem uit zodra zijn gedrag buiten het normale valt.
  • Volledige tracing en anomaliemeldingenElke modelaanroep en toolaanroep wordt vastgelegd, en er gaat een alarm af bij ongebruikelijke tools, volumes en bestemmingen.
  • Aanvalsevaluatiesets als release-poortEen set bekende aanvallen draait bij elke wijziging. Een release die er één doorlaat, gaat niet live.

Zo bouwen we agents Unity AI Gateway voor toegang, kosten en logs

06 / Red teaming

White-hat pentesten en red teaming voor AI-agents

We vallen je AI-systeem aan zoals een echte tegenstander dat doet, zodat je de zwakke plek vindt voordat een ander dat doet. De tests volgen de OWASP-lijst voor agents en noemen de MITRE ATLAS-techniek erbij. We testen alleen systemen waarvoor we toestemming hebben.

  • Prompt injection en jailbreaksDirect en indirect, via documenten, webpagina's, e-mails en toolresultaten, en pogingen om het systeem zijn regels te laten negeren.
  • ToolmisbruikDe eigen tools van de agent gebruiken voor acties en data die hij nooit had mogen bereiken.
  • Routes voor data-exfiltratieWegen waarlangs privédata het systeem verlaat via antwoorden, links, toolaanroepen of logs.
  • RechtenescalatieMeer rechten verkrijgen via tools, serviceaccounts en MCP-servers.
  • GeheugenvergiftigingContent in het geheugen of in een retrievalindex plaatsen die later gedrag verandert.
  • Denial of walletKosten en capaciteit opdrijven met loops, grote invoer en parallelle agents.
  • Supply chain van MCP en toolsDe servers, packages en plugins die een agent laadt, en wat een kwaadaardige of gewijzigde variant kan doen.
  • Codeeragents op ontwikkelaarsmachinesWat een codeeragent op een laptop of buildserver kan lezen, uitvoeren en versturen wanneer een repository of package vijandig wordt.
  • AI-browsers en assistenten met toegang tot accountsOf een pagina of bericht een assistent kan sturen die is ingelogd op je accounts.

07 / Zo verloopt een test

Een test met regels, scope en een stopprocedure

Een pentest is eerst een afspraak en pas daarna een technische oefening.

  1. Schriftelijke toestemming

    De eigenaar van het systeem tekent voordat er iets begint. Onbevoegde toegang is naar Nederlands recht strafbaar, dus we testen geen enkel systeem zonder toestemming.

  2. Scope en spelregels

    Een schriftelijke scope noemt de systemen, de methoden en de grenzen. Genoemde contactpersonen aan beide kanten, testaccounts en een stopprocedure horen erbij.

  3. Testopzet

    We gebruiken testaccounts en testdata. Productiedata gebruiken we alleen als we dat schriftelijk hebben afgesproken.

  4. Aanval

    We voeren de aanvallen uit de scope uit, leggen elke stap vast en bewaren de stappen om ze te reproduceren.

  5. Rapport

    De bevindingen staan op risico gerangschikt, elk met reproductiestappen en een oplossing, en zijn gekoppeld aan OWASP, MITRE ATLAS en het Databricks AI Security Framework.

  6. Hertest

    Nadat je team de bevindingen heeft opgelost, voeren we dezelfde aanvallen opnieuw uit en melden we wat is gesloten.

We testen alleen systemen waarvoor we toestemming hebben, met een schriftelijke scope van de eigenaar van het systeem.

Wat je krijgt

  • Bevindingen op risico gerangschikt, met reproductiestappen
  • Een oplossing per bevinding, geschreven voor je team
  • Een koppeling aan OWASP, MITRE ATLAS en het Databricks AI Security Framework
  • Een hertest die de oplossingen bevestigt

08 / Backup en restore

Een Databricks-backup die je eenmaal hebt hersteld

In de disaster-recoveryrichtlijnen van Databricks ben jij verantwoordelijk voor je recovery point objective en voor de integriteit tussen je primaire en secundaire omgeving. Een backup die je nooit hebt teruggezet is een hoop, dus we plannen, bouwen en oefenen hem.

Herstelhulpen met beperkte vensters

  • Time travel leest oudere versies van een tabel, standaard 7 dagen
  • UNDROP herstelt een verwijderde tabel binnen een venster van standaard 7 dagen
  • VACUUM verwijdert de oude bestanden waarvan time travel afhankelijk is

Wat we inrichten

  • Deep clones van kritieke tabellen, gesynchroniseerd voor disaster recovery
  • Configuratie als code met Terraform en Declarative Automation Bundles (DABs), zodat het platform opnieuw opgebouwd kan worden
  • Gedocumenteerde restore-runbooks per systeem
  • Geplande restore-oefeningen met gemeten hersteltijden

Beheerde disaster recovery en Lakebase

De beheerde disaster recovery van Databricks is afgeschermd: je vraagt toegang aan via je accountteam, en je hebt Premium nodig, de Mission Critical-add-on, serverless en privé-endpoints in de secundaire regio. Ze repliceert geen beheerde volumes, secrets, ML-modellen, model serving, vectorzoekindexen, Delta-shares of gepubliceerde dashboards, en bij een ongeplande failover kan data verloren gaan die na het laatste replicatiepunt is geschreven. Lakebase heeft point-in-time restore met een venster van 2 tot 30 dagen, standaard 7, en een restore maakt een nieuwe branch. Een restoreplan dekt wat deze functies overslaan.

Aan het eind weet je hoe lang een restore duurt, want we hebben het gemeten.

Disaster-recoveryrichtlijnen van Databricks Beheerde disaster recovery

  • Databricks
  • Unity Catalog
  • Delta Lake
  • Terraform

09 / Frameworks

Frameworks waaraan we koppelen

Elke bevinding en elke maatregel koppelen we aan een erkend framework, zodat je security- en auditteams het resultaat kunnen lezen.

Frameworks en hoe we ze gebruiken
FrameworkWat het dektHoe we het gebruiken
OWASP Top 10 voor LLM-toepassingen 2025De tien belangrijkste risico's van LLM-toepassingenDreigingsmodel en testplan
OWASP-richtlijnen voor agentic AIDreigingen en maatregelen voor agents, en de Top 10 for Agentic Applications for 2026Dreigingsmodel voor agents
MCP-specificatie en security best practicesAutorisatie, toestemming voor scopes en de genoemde risico's van MCP-serversReview van je MCP-servers en -clients
MITRE ATLASTactieken, technieken, maatregelen en casestudy's van tegenstanders tegen AI-systemen, inclusief agenttechniekenKoppeling van aanvalsstappen in rapporten
NIST AI RMF 1.0 en het Generative AI Profile (AI 600-1)Een vrijwillig framework voor het beheersen van AI-risicoRisicotaal voor governance
Databricks AI Security Framework (DASF) v3.097 risico's en 73 maatregelen voor het AI-systeem op Databricks, met een agentische uitbreiding in v3.0Maatregelen op je platform
EU AI Act, artikel 15Hoogrisico-AI-systemen moeten bestand zijn tegen pogingen van onbevoegde derden om het gebruik, de uitvoer of de prestaties te veranderen door kwetsbaarheden van het systeem uit te buitenBewijs van robuustheidstests

OWASP Top 10 voor LLM-toepassingen OWASP: dreigingen en maatregelen voor agentic AI MITRE ATLAS NIST AI RMF 1.0 NIST-profiel voor generatieve AI Databricks AI Security Framework MCP: security best practices EU AI Act (Verordening (EU) 2024/1689)

10 / FAQ

Vragen over AI-security

Testen jullie elk systeem dat we noemen?

Nee. We testen alleen systemen die van jou zijn of waarvoor de eigenaar schriftelijk toestemming heeft gegeven. Voor de eerste test leggen we de scope, de spelregels, de genoemde contactpersonen en een stopprocedure vast.

Legt een test ons productiesysteem plat?

We gebruiken testaccounts en testdata, en productiedata alleen als we dat schriftelijk hebben afgesproken. In de spelregels staat welke acties buiten de grenzen vallen, en met de stopprocedure kan elke partij de test direct stilleggen.

Wat krijgen we aan het eind van een test?

Een rapport met bevindingen op risico gerangschikt, met reproductiestappen en een oplossing per bevinding, gekoppeld aan OWASP, MITRE ATLAS en het Databricks AI Security Framework. Nadat je team de bevindingen heeft opgelost, doen we een hertest en melden we wat is gesloten.

Kunnen jullie agents versterken die we zelf hebben gebouwd?

Ja. We beginnen bij wat je draait, voegen de ontbrekende lagen toe, zoals identiteit per agent, goedkeuringspoorten, limieten, tracing en een aanvalsevaluatieset, en laten de code en de runbooks in je repositories achter.

Is time travel een backup?

Nee. Time travel bewaart oude versies standaard 7 dagen en VACUUM verwijdert ze, en UNDROP heeft standaard een venster van 7 dagen. Ze helpen je herstellen van een vergissing. Een backup heeft een kopie nodig, zoals een gesynchroniseerde deep clone, en een restore die je hebt geoefend.

Hoe past dit bij de EU AI Act?

Artikel 15 vraagt dat hoogrisico-AI-systemen bestand zijn tegen pogingen van onbevoegde derden om het gebruik, de uitvoer of de prestaties te veranderen door kwetsbaarheden van het systeem uit te buiten. Onze tests en rapporten geven je bewijs van dat soort robuustheidswerk. Of jouw systeem hoogrisico is, is een juridische vraag voor je eigen adviseurs.

Volgende stap

Welk AI-systeem moeten we als eerste aanvallen?

Vertel ons welke agents en data je AI-systemen kunnen bereiken. We zeggen wat een eerste test of een versterkingsronde omvat en wat we van je nodig hebben.

Plan een gesprekStuur een berichtof mail info@nexops.nl direct

Open voor projecten in Q4 2026