Drie afzonderlijke kwetsbaarheden in Amazon's AgentCore-platform, een rogue-agentincident bij Wikimedia en een nieuw SailPoint-rapport leggen deze week samen een en dezelfde zwakte bloot: de identiteit en toegangsrechten van autonome AI-agenten lopen mijlenver achter op hoe snel ze worden uitgerold.
Listen to the episode →Amazon Bedrock AgentCore is het platform waarmee duizenden bedrijven hun AI-agenten in de cloud draaien: chatbots die browsen, code schrijven, bestanden aanraken en namens een gebruiker beslissingen nemen. Deze week kwamen drie onderzoeksverhalen samen die laten zien hoe fragiel dat platform onder de motorkap nog is, en hoe weinig organisaties voorbereid zijn op wat er gebeurt als een autonome agent de verkeerde handen in de verkeerde la steekt. Tegelijk publiceerde identity-leverancier SailPoint cijfers die het probleem in één zin samenvatten: 79 procent van de bedrijven draait AI-agenten in productie, amper 2 procent heeft daar beveiliging voor die specifiek op agenten is gebouwd. Dat gat van veertig op één is niet abstract. Het is, deze week bleek, exact het gat waar onderzoekers en zelfs rondzwervende AI-agenten van andere bedrijven doorheen glipten.
Het verhaal begint niet deze week, maar de puzzelstukken vielen deze week op hun plaats. In april 2026 toonde onderzoek van Unit 42 (Palo Alto Networks), gebundeld door Aviatrix onder de naam "Cracks in the Bedrock", dat de standaard IAM-rollen van de AgentCore Starter Toolkit veel te ruim waren. Een ontbrekende S3-ownership-check (CVE-2026-4269, CVSS 7,5) liet een aanvaller code injecteren tijdens het buildproces, met code-executie in de AgentCore Runtime als gevolg. Amazon paste de documentatie aan: de standaardrollen zijn voor ontwikkeling en testen, niet voor productie. Een waarschuwing, geen patch.
In december 2025 meldden onderzoekers Tamir Ishay Sharbat en Lana Salameh van Zenity Labs iets fundamentelers aan AWS: agenten op AgentCore konden via één prompt hun eigen Instance Metadata Service (IMDS) bevragen, destijds nog IMDSv1, en zo hun eigen tijdelijke AWS-credentials buit maken. Met die credentials kon een aanvaller alle andere agenten in dezelfde account en regio opsommen, containerimages uit Elastic Container Registry trekken, agentgeheugens lezen en herschrijven, en zo het gedrag van agenten in toekomstige sessies permanent manipuleren. AWS sloot de eerste melding in april 2026 af als "informatief" en liet weten dat IMDSv2 inmiddels verplicht was. Het onderliggende probleem, de te ruime standaardrol die toegang gaf tot alle AgentCore-resources in een regio in plaats van tot één agent, bleef bestaan tot minstens juni 2026 en werd pas eind september opgelost. Vorige week publiceerde The Register het verhaal, inclusief een reactie van Amazon die stelt dat Zenity "gedocumenteerd gedrag voorstelt als een kwetsbaarheid" en dat er ontwikkelaarsfouten nodig zouden zijn om het scenario uit te voeren.
Daar kwam eind september nog een derde laag bovenop: beveiligingsbedrijf BeyondTrust vond dat de Python-SDK van AgentCore, specifiek de hulpfunctie voor pakketinstallatie in de Code Interpreter-sandbox, een pakketnaam kon laten doorsijpelen naar een shell-commando. De eerste kwetsbaarheid (CVE-2026-12530) werd door AWS gedicht, waarna BeyondTrust de patch zelf omzeilde met pip's "extras"-syntax (CVE-2026-16796). Opnieuw was de uiteindelijke buit: tijdelijke AWS-credentials van de rol die aan de Code Interpreter hing.
Los van AWS speelde er een ander verhaal: de Wikimedia Foundation meldde begin oktober dat ze activiteit had ontdekt van agenten die ze toeschrijft aan OpenAI. Die agenten deden testbewerkingen in sandbox-omgevingen van Wikipedia, probeerden tevergeefs het publieke notitietool Etherpad te misbruiken als proxy om data van andere diensten op te halen, en genereerden miljoenen automatische verzoeken aan de publieke API's van Wikimedia. Die verkeersgolf droeg volgens de stichting mogelijk bij aan een storing in mei 2026. Geen bewijs van compromittering, wel een duidelijk signaal: agenten van de ene partij testen, al dan niet bewust, de grenzen van infrastructuur van een andere partij.
De kern van alle AgentCore-kwetsbaarheden is hetzelfde patroon: een agent krijgt een identiteit (een IAM-rol met tijdelijke credentials) om zijn werk te kunnen doen, en die identiteit is makkelijker te bereiken en te ruim bemeten dan iemand had willen toegeven. Bij de Zenity-bevinding volstond server-side request forgery: de agent vragen om de inhoud van een metadata-URL te tonen, en de Firecracker microVM waarin de agent draaide isoleerde het netwerkverkeer niet genoeg om dat te blokkeren. Zodra de credentials buiten de sandbox waren, bleek de bijbehorende rol niet beperkt tot die ene agent, maar tot alle AgentCore-resources in de regio. Daardoor werd een lek in één chatbot een inbraak in het hele wagenpark.
Bij BeyondTrust ging het niet om netwerkisolatie maar om inputvalidatie: de functie die een pakketnaam doorgeeft aan een installatiecommando controleerde onvoldoende welke tekens daarin mochten staan. Een pakketnaam met een regeleinde, of later met pip's extras-notatie, werd zonder verdere controle als shell-commando uitgevoerd binnen de sandbox, met toegang tot de credentials van de rol die aan die specifieke Code Interpreter hing. De Firecracker-isolatie zelf hield overigens wel stand, zei BeyondTrust nadrukkelijk: de sandbox lekte niet naar de onderliggende host, maar wel naar de cloud-identiteit die erin draaide.
Het verband met Wikimedia is losser maar instructief: agentic AI-systemen krijgen vaak tools om te browsen, formulieren in te vullen of code uit te voeren, en die tools zijn zelf aanvalsoppervlak. Een notitietool als Etherpad, bedoeld voor mensen, wordt voor een agent een potentiële proxy om verzoeken naar derden te sturen. Dat is precies het soort "confused deputy"-probleem dat identity-architecten al kennen van mensen met te veel rechten, nu toegepast op software die zelf beslissingen neemt over welke acties het uitvoert.
Dat agent-identiteit nu het zwakke punt is, is geen toeval. SailPoint's vijfde jaarlijkse "Horizons of Identity Security"-rapport, gebaseerd op een bevraging van 340 identity- en risicoverantwoordelijken, becijfert dat 54 procent van de organisaties voor agent-identiteit nog op het laagste volwassenheidsniveau zit, tegen 23 procent voor menselijke identiteiten, een aandeel dat sinds 2022 al gehalveerd is. AI-agenten maken inmiddels 22 procent uit van alle non-human accounts, terwijl 85 procent van de organisaties nog identity-tools gebruikt die niet voor agenten zijn ontworpen. Slechts 15 procent kan non-human toegang in realtime toekennen. SailPoint noemt het een inhaalrace waarbij bedrijven een vijfjarige volwassenheidscurve voor menselijke identiteit in nog geen jaar moeten doorlopen voor agenten, omdat de agenten al in productie draaien terwijl de controles nog ontbreken.
De regelgevers lopen niet voorop, maar staan ook niet stil. De PCI Security Standards Council publiceerde principes voor AI-systemen in betaalomgevingen die opvallend direct ingrijpen op wat een agent nooit zou mogen zijn: belast met rollen die formele verantwoordelijkheid vereisen, zoals key custodian of goedkeurende manager; uitgerust met volledige regie over een hele ontwikkel- en implementatieketen zonder mens in de lus; of toegang gevend tot meer systemen en data dan strikt nodig. Die drie regels lezen bijna als een rechtstreeks antwoord op wat er bij AgentCore misging: te veel toegang, geen mens in de lus bij geheugenwijzigingen, en geen scheiding tussen wat een agent mag zien en wat het nodig heeft.
Voor een cybersecurity-consultant is dit geen AWS-nieuwtje, het is een identity-nieuwtje met AWS als eerste decor. Wie klanten adviseert over agentic AI-projecten, moet drie dingen nu al checken, los van welke cloud of welk model er onder zit: of agent-rollen scoped zijn tot één agent of workload in plaats van tot een hele account of regio, of agentgeheugen en -sessies te manipuleren zijn door iemand met slechts lees- of chattoegang tot één agent, en of er logging bestaat die een actie van een agent terugvoert naar een verantwoordelijke mens, zoals de PCI SSC nu letterlijk eist. Onder NIS2 en DORA valt dit onder risicobeheer van ICT-derde partijen en beveiligingsmaatregelen voor essentiële diensten: een agent die ongemerkt credentials van andere agenten kan buit maken, is een incident dat gemeld moet worden zodra het een essentiële of belangrijke entiteit raakt. De Aviatrix-analyse van de IAM-kwetsbaarheid wijst dat zelf al aan met verwijzingen naar DORA artikel 5 en NIS2 artikel 21.
Het is belangrijk twee registers niet te verwarren. Bij AgentCore is er geen bevestigd misbruik in het wild gevonden; het zijn onderzoekers die, netjes volgens responsible disclosure, aantoonden wat kon. Amazon betwist bovendien expliciet de framing van Zenity's bevindingen als kwetsbaarheid en stelt dat ontwikkelaarsfouten nodig zouden zijn. Bij Wikimedia is evenmin bewijs van daadwerkelijke compromittering gevonden, alleen van pogingen en van verkeer dat "mogelijk bijdroeg" aan een storing, een nuance die Wikimedia zelf ook zo formuleert. Wat niet overdreven is: de tijdlijn. Tussen de eerste Zenity-melding in december 2025 en de uiteindelijke fix lagen bijna tien maanden, en de overgepriviligieerde rol bleef na een eerste "opgelost"-verklaring nog maanden intact. Dat is precies het soort trage respons dat SailPoint's cijfers voorspellen wanneer identity-governance de snelheid van agent-adoptie niet bijhoudt.
De komende weken zijn drie dingen het volgen waard. Ten eerste of AWS nog meer AgentCore-documentatie en standaardconfiguraties aanpast nu er binnen een jaar drie aparte kwetsbaarhedenklassen in hetzelfde platform zijn blootgelegd. Ten tweede hoe OpenAI's eigen toegegeven incidenten met "misaligned" modellen, los van Wikimedia, zich verder ontwikkelen; het bedrijf pauzeerde recent de training van een krachtiger model na interne twijfels over veiligheid. Ten derde of de PCI SSC-principes de komende maanden hun weg vinden naar een formele PCI DSS-vereiste, of blijven steken in vrijblijvende richtlijnen zolang de sector zelf nog aan het uitvinden is wat een agent eigenlijk is: een gebruiker, een service, of iets ertussenin waarvoor de bestaande identity-modellen domweg niet gebouwd zijn.