Kort samengevat: AI-agent-beveiliging in 2026
- AI-agents besturen echte browsers, passeren fingerprint-checks en transacteren op machinesnelheid. Traditionele botvendors missen ze.
- Gedrag is de enige betrouwbare scheidingsfactor: deterministische muispaden, DOM-burstleesacties, CDP-artefacten, geen viewport-scroll voor de query.
- Scoor agent-trust 0-100 per sessie. Sta toe, challenge of blokkeer per request in realtime.
Wat AI-agents zijn en waarom ze een nieuw beveiligingsprobleem vormen
AI-agents zijn softwareprogramma's die autonoom webbrowsers bedienen om taken uit te voeren. Ze kunnen afspraken boeken, formulieren invullen, aankopen doen, checkoutflows doorlopen, KYC-processen afronden, promotiebonussen claimen en gestructureerde data scrapen, allemaal zonder mens in de lus.
Dit is een wezenlijke verschuiving ten opzichte van traditionele bots. Traditionele bots sturen HTTP-verzoeken rechtstreeks. Ze renderen geen pagina's, voeren geen JavaScript uit en produceren geen echte browser-fingerprint. Ze zijn zichtbaar op de netwerklaag juist omdat ze zich niet als browsers gedragen.
AI-agents wel. Ze besturen een echte browser, in de meeste gevallen Chromium, en bedienen die zoals een mens zou doen. Ze renderen de volledige pagina, voeren JavaScript uit, lossen CAPTCHA-uitdagingen op en genereren een browser-fingerprint die niet te onderscheiden is van die van een menselijke gebruiker, bij elk controlepunt dat een WAF of CDN-botfilter inspecteert.
Het resultaat is een categorie geautomatiseerde dreiging die bestaande beveiligingsinfrastructuur niet is ontworpen om te zien.
Waarom bestaande beveiligingstools blind zijn voor AI-agents
WAF's en botbeheer op CDN-niveau zijn gebouwd rond een specifiek dreigingsmodel: geautomatiseerde verzoeken met hoog volume vanuit bekende IP-reeksen van datacenters, met ontbrekende of vervalste browserattributen. Dat model beschrijft AI-agents niet.
Bekijk wat een WAF of CDN-botfilter daadwerkelijk controleert. De user-agentstring: een AI-agent die binnen Chromium draait, stuurt een echte. De verzoeksnelheid: AI-agents werken op menselijke snelheid, soms trager. Het IP-adres: AI-agents routeren doorgaans via residentiële verbindingen, niet via datacenter-reeksen die blocklists herkennen. JavaScript-uitvoering: AI-agents doorstaan JavaScript-uitdagingen omdat ze een volledige JavaScript-engine draaien.
Bij elk controlepunt dat een tool op netwerkniveau kan inspecteren, ziet een AI-agent eruit als een mens. Dat is inherent aan hoe deze tools werken. Het zijn browsers, bediend door software in plaats van mensen, dus er is geen aparte ontwijkingsstap om te betrappen.
Een WAF kan een AI-agent niet zien. Een botfilter op CDN-niveau evenmin. Het probleem is structureel en geen configuratiegat: deze tools inspecteren het netwerk, en het bewijs leeft in de browser.
De signalen die AI-agents echt verraden
Detectie vereist het verplaatsen van de analyse naar de browserlaag, waar verschillen tussen AI-agents en menselijke gebruikers zichtbaar worden. Vier signaalcategorieën zijn betrouwbare onderscheiders.
De eerste is de entropie van canvas-fingerprints. Canvas-rendering in de browser wordt bepaald door de specifieke combinatie van GPU-hardware, lettertype-renderengine en besturingssysteem die een apparaat draait. Echte gebruikersapparaten produceren canvas-fingerprints met hoge entropie vanwege de variatie in hun hardwareconfiguraties. AI-agents die in minimale of gevirtualiseerde browseromgevingen draaien, produceren fingerprints met abnormaal lage entropie, minder door de GPU gerenderde variaties dan een echte hardwareconfiguratie genereert. Dit is meetbaar.
De tweede is de sessiecadans. Menselijke interactie met een browser kent natuurlijke variatie in timing. Iemand die zijn e-mailadres in een formulier typt, doet dat telkens met iets andere intervallen tussen toetsaanslagen, beïnvloed door aandacht, vertrouwdheid met het toetsenbord en tientallen andere fysieke factoren. AI-agents voeren gebeurtenissen uit met mechanisch precieze intervallen. Een formulierveld dat met exact 1,200 milliseconden tussen elk teken wordt gevuld, consistent herhaald over meerdere gebeurtenissen, is geen menselijk patroon.
De derde is cursorgeometrie. Menselijke muispaden zijn gebogen, ze versnellen en vertragen, en ze bevatten microcorrecties. AI-agents produceren ofwel geometrisch perfecte paden, rechte lijnen of precieze bogen, ofwel helemaal geen cursorbeweging tussen interacties. Echte gebruikers produceren vrijwel nooit rechte cursorpaden tussen elementen.
De vierde is de lettertype- en WebGL-fingerprint. Echte gebruikersapparaten hebben een volledige set systeemlettertypen geïnstalleerd en een GPU die consistente WebGL-uitvoer produceert. AI-agents die in minimale omgevingen draaien, hebben een beperkte lettertypeset en gevirtualiseerde of afwezige GPU-hardware. De combinatie van ontbrekende lettertypen en een afwijkende WebGL-signatuur is een sterke onderscheider.
Geen van deze signalen is zichtbaar op de netwerklaag. Ze vereisen allemaal een script dat binnen de browsersessie draait om ze waar te nemen.
Bekende AI-agents en hoe hun detectiesignaturen eruitzien
Verschillende AI-agenttools produceren onderscheidende signaalprofielen, en het is mogelijk om ze specifiek te identificeren in plaats van ze generiek als automatisering te classificeren.
OpenAI Operator draait in een op Chromium gebaseerde omgeving. De canvas-entropie is laag, de sessiecadans is mechanisch, en de interactiepatronen weerspiegelen de taakuitvoering van het onderliggende model in plaats van menselijke besluitvormingsritmes.
Claude for Chrome werkt als een browserextensie die de actieve sessie bestuurt. Detectie richt zich op afwijkingen in de sessiecadans, want door de extensiearchitectuur is de browser zelf echt, maar het interactiepatroon niet menselijk.
Playwright en Puppeteer zijn standaard headless. Zelfs wanneer basale ontwijkingstechnieken worden toegepast, zoals het instellen van een echte user-agent of het uitschakelen van de navigator.webdriver-vlag, ontbreken in hun browseromgevingen API's die echte browsers wel blootstellen, is hun canvas-entropie laag en blijven hun gedragssignalen mechanisch.
Selenium levert een profiel op dat lijkt op dat van Playwright en is detecteerbaar via door de driver geïnjecteerde window-eigenschappen die blijven bestaan, zelfs wanneer andere ontwijkingstechnieken worden toegepast.
cside detecteert dit alles vanuit één enkele scripttag, met signaalanalyse op de browserlaag en zonder wijzigingen aan uw applicatiecode. Het geeft een realtime oordeel dat AI-agent- en geautomatiseerde sessies markeert en, waar mogelijk, de specifieke agent benoemt. Bekijk hoe AI-agentdetectie werkt.
Waar AI-agentdetectie het belangrijkst is
Verliezen door account takeover in de VS bereikten $13.5 miljard in 2025, tegenover ongeveer $11.4 miljard het jaar ervoor. AI-agents die geautomatiseerde credential stuffing- en accountaanmaakcampagnes uitvoeren, vormen een groeiend deel van dat totaal en opereren op menselijke snelheid via echte browsers.
| Jaar | Verliezen door account takeover in de VS |
|---|---|
| 2024 | ~$11.4B |
| 2025 | $13.5B |
Bron: Javelin Strategy & Research, 2026 Identity Fraud Study.
De use cases waarin AI-agentactiviteit echte zakelijke schade veroorzaakt, zijn geconcentreerd in een paar sectoren.
In iGaming claimen agents welkomstbonussen, doorlopen ze geautomatiseerde KYC-flows en nemen ze op grote schaal geld op. De economie is simpel: als de bonus meer waard is dan de kosten van de agentoperatie, is het een winstgevende aanval.
In fintech openen agents katvangerrekeningen om geld wit te wassen, waarbij ze vaak identiteitsverificatiestappen doorlopen die zijn ontworpen om menselijke interactie te vereisen.
In e-commerce voeren agents card testing uit: kleine transacties door checkoutflows sturen om gestolen kaartnummers te valideren voordat ze voor grotere aankopen worden gebruikt. Card testing is schadelijk, zowel door de fraudeverliezen die het mogelijk maakt als door de chargeback-volumes die het genereert. Het Verizon Data Breach Investigations Report 2026 stelde vast dat gestolen inloggegevens voorkomen in 39% van alle datalekken, dezelfde inloggegevens die AI-agents steeds vaker worden ingezet om op grote schaal te valideren via checkout- en loginflows.
In SaaS scrapen agents op grote schaal prijspagina's, productcatalogi en klantgerichte data, vaak om competitive-intelligence-operaties te voeden.
Elk van deze use cases draait om een agent die een workflow voltooit die voor een menselijke gebruiker was bedoeld. De schade komt voort uit de uitkomst, een workflow die zonder autorisatie is voltooid, en niet uit het verzoekpatroon zelf.
AI-agentbeveiliging gaat niet over het blokkeren van alle automatisering
Niet al het geautomatiseerde verkeer is kwaadaardig, en AI-agentbeveiliging moet niet worden neergezet als het blokkeren van elke niet-menselijke sessie. Crawlers van zoekmachines, toegankelijkheidstools, legitieme API-integraties, monitoringtools en interne testframeworks zijn allemaal vormen van automatisering waar websites op leunen. Ze allemaal blokkeren zou meer schade aanrichten dan de dreigingen die worden aangepakt.
Het doel is geautoriseerde automatisering scheiden van misbruik, niet automatisering volledig uitbannen. Dat vraagt om een risicobeslissing per sessie op basis van de signalen die een sessie produceert, geen binaire regel die op al het niet-menselijke verkeer wordt toegepast.
De juiste architectuur geeft een risicosignaal per sessie terug, met genoeg context om waar mogelijk het specifieke agenttype te identificeren, en laat de applicatie beslissen hoe te reageren. Sommige sessies verdienen een uitdaging. Sommige verdienen een blokkade. Sommige, van crawlers die de site-eigenaar herkent en toestaat, verdienen helemaal geen actie.
Voor hoe risicobeslissingen per sessie in de praktijk werken, zie AI-agentdetectie. Voor hoe dit past in een volledige stack ter preventie van account takeover, begin daar.
Meer lezen
