Wetenschappers hebben een fundamentele tekortkoming ontdekt in de manier waarop Large Language Model (LLM) agents worden beveiligd. De huidige systemen zijn onvoldoende in staat om het verschil te zien tussen een actie die door een gebruiker is goedgekeurd en een kwaadaardige poging tot manipulatie, zeker wanneer er gebruik wordt gemaakt van externe hulpmiddelen.
In een rapport dat op 30 augustus 2026 verscheen, analyseren Tanzim Ahad en collega-onderzoekers de werking van zogenaamde 'influence-based guardrails'. Dit zijn digitale barrières die moeten bepalen of een handeling van een AI-agent veilig is. De onderzoekers stellen vast dat deze systemen vaak onterecht ingrijpen wanneer informatie uit een externe tool komt in plaats van direct van de gebruiker. Dit zorgt voor onnodige vertragingen en een verslechterde gebruikerservaring.
Het conflict tussen invloed en autoriteit
Het kernprobleem ligt in de interpretatie van causale signalen. Hoewel deze signalen kunnen aantonen hoe een actie tot stand is gekomen, kunnen ze niet vaststellen of de actie ook daadwerkelijk geautoriseerd was. In algemene zin wordt een cambridge.org beschouwd als een verbinding waarbij één element direct een ander element veroorzaakt. Binnen de beveiliging van AI blijkt deze logica echter misleidend.
Om dit aan te tonen, voerden de auteurs een uitgebreide audit uit met 96 condities, gebaseerd op 24 scenario's. Hierbij bleven de actie en het gewenste resultaat gelijk, maar werd de bron van de informatie gewijzigd. De resultaten waren consistent: zodra een waarde uit een legitieme tool kwam in plaats van de gebruiker, werd dit door zowel Llama- als Gemma-scorers als een aanval gemarkeerd. Deze bevindingen zijn gedetailleerd beschreven in de publicatie via arxiv.org.
Impact op de functionele inzetbaarheid
Deze mismatch tussen de causale route van informatie en de werkelijke autoriteit heeft grote gevolgen voor hoe effectief AI-agents in de praktijk kunnen worden ingezet. De onderzoekers testten verschillende beveiligingsarchitecturen om de impact te meten:
- Semantische monitors: Deze boden een hoge mate van veiligheid waarbij het succespercentage van aanvallen naar 0% daalde. Echter, de bruikbaarheid van het systeem kelderde hierdoor naar slechts 28%. Ter vergelijking: zonder deze monitor was de bruikbaarheid 60%, maar slaagde 16% van de aanvallen.
- Shadow-based guardrails: Deze variant liet alle onschuldige acties door, maar was minder effectief in het stoppen van ongeautoriseerde acties. Ongeveer 57,5% van de ongeautoriseerde pogingen passeerde de eerste controle, tegenover 29,2% van de geautoriseerde acties.
Causaliteit versus correlatie in AI-beveiliging
Om de fout in de huidige systemen te begrijpen, is het onderscheid tussen causaliteit en correlatie cruciaal. Volgens scienceinsights.org houdt causaliteit in dat één factor direct een andere produceert, terwijl correlatie enkel een samenhang tussen twee variabelen beschrijft zonder dat er noodzakelijkerwijs een oorzaak-gevolgrelatie is.
Bij LLM-agents maken de beveiligingsmechanismen de fout om de invloed van een externe tool — de feitelijke oorzaak van de informatie — te verwarren met de autoriteit van de actie. Omdat de causale route afwijkt van de gebruikelijke input van de gebruiker, markeert het systeem een legitieme bron als een potentieel gevaar.
De onderzoekers concluderen dat de routing van informatie en de constructie van referentiekaders essentieel zijn voor het maken van correcte beveiligingsbeslissingen. Zonder deze aanpassingen blijven AI-agents gevangen in een paradox waarbij een strengere beveiliging de functionele bruikbaarheid van de technologie drastisch ondermijnt.