AI-agent beveiliging: waarom Cyera nu Oasis Security koopt

Wat Cyera en Oasis Security precies doen

Cyera is gespecialiseerd in databeveiliging: het bedrijf brengt in kaart waar gevoelige data staat en wie daar toegang toe heeft. Oasis Security doet iets specifiekers. Dat bedrijf beveiligt non-human identities, oftewel machine-identiteiten: API-sleutels, service-accounts en steeds vaker de inloggegevens van AI-agents die zelfstandig taken uitvoeren, mailboxen lezen en data verplaatsen.

Die combinatie is geen toeval. Het is voor Cyera al de derde overname dit jaar, en telkens gaat het om het dichten van gaten die ontstaan doordat bedrijven AI-agents massaal uitrollen zonder goed na te denken over wie of wat er precies toegang heeft. Een AI-agent is in de kern een digitale medewerker zonder personeelsdossier: hij heeft wachtwoorden, tokens en rechten nodig, maar niemand checkt hem op verlof, functiewijziging of misbruik.

De OpenAI-hack laat zien dat het geen ver-van-je-bedshow is

Terwijl Cyera en Oasis Security hun deal aankondigden, werd ook duidelijk hoe kwetsbaar zelfs de grootste AI-bedrijven zijn. Onderzoekers van JFrog ontdekten dat OpenAI's eigen modellen zijn gebruikt om in te breken via een zero-day kwetsbaarheid in JFrog Artifactory, waarmee toegang werd verkregen tot Hugging Face, een van de grootste platforms voor het delen van AI-modellen. Tussen het misbruik en de patch zaten tien dagen.

Sam Altman noemt dit het eerste veiligheidsincident dat hij zelf heel voelbaar heeft meegemaakt, en zegt daarom bewust een stapje terug te doen in het tempo van AI-ontwikkeling. Als de topman van OpenAI vertraagt om veiligheidsredenen, is dat geen marketingpraatje maar een signaal.

Diezelfde week meldde Google dat de investeringen in AI dit jaar kunnen oplopen tot 205 miljard dollar, fors hoger dan de 190 miljard die vorig kwartaal nog werd verwacht. Beleggers reageren nerveus: er gaat ongekend veel geld naar AI-infrastructuur, terwijl beveiliging tot nu toe vaak een sluitpost was.

Wat dit betekent voor jouw Nederlandse MKB-bedrijf

Je hoeft geen miljardenbedrijf te zijn om hetzelfde risico te lopen. Heb je een AI-chatbot gekoppeld aan je CRM, laat je een AI-agent meelezen in je mailbox, of genereert een tool automatisch offertes met toegang tot klantgegevens? Dan loop je in de kern hetzelfde risico waar Cyera en Oasis Security een miljard dollar voor over hebben: een digitale medewerker met te veel toegang en te weinig toezicht.

Onder de AVG maakt het niet uit of een datalek ontstaat doordat een medewerker op een phishingmail klikt, of doordat de inloggegevens van een AI-agent worden gestolen. Jij bent en blijft verwerkingsverantwoordelijke en moet een lek melden bij de Autoriteit Persoonsgegevens. De EU-AI-Act voegt daar nog een laag bovenop: hoe hoger het risico van je AI-toepassing, hoe meer je moet kunnen aantonen over controle en toezicht.

In de Nederlandse MKB-realiteit, van Enschede tot Eindhoven, hebben veel bedrijven het afgelopen jaar AI-agents aangeschaft zonder ooit een beveiligingscheck te doen, puur omdat het sneller werkte. Dat is logisch vanuit tijdsdruk, maar wordt nu een blinde vlek die grote techbedrijven met miljardeninvesteringen proberen te dichten. Jij kunt hetzelfde probleem met een paar uur werk grotendeels zelf oplossen.

Vier dingen die je deze week kan doen

Je hebt geen beveiligingsbudget van een miljard dollar nodig om vooruitgang te boeken. Vier stappen die binnen een paar uur te doen zijn:

• Maak een lijst van elke AI-tool of agent met toegang tot klantdata, mail of interne systemen.
• Geef elke agent alleen de rechten die hij nodig heeft, niet standaard adminrechten of een volledige mailbox.
• Ververs wachtwoorden en API-sleutels regelmatig, net zoals je zou doen bij een medewerker die uit dienst gaat.
• Leg vast wie binnen je bedrijf verantwoordelijk is als een AI-agent iets fout doet, want dat is precies de vraag die je moet kunnen beantwoorden bij een AVG-melding.