Een AI-agent heeft uw geld uitgegeven – kan iemand bewijzen dat u daar toestemming voor hebt gegeven?

Je zegt tegen een kunstmatige intelligentie-agent, een AI die in staat is tot autonoom redeneren en het uitvoeren van meerdere stappen: “Zoek een shirt voor minder dan $30, maar koop het niet.” De agent vindt er een, maar plaatst de bestelling toch.

AI Je betwist de afschrijving. De winkelier laat zien dat de bestelling via jouw account is binnengekomen. De AI-agent laat zien dat je de instructie hebt gegeven om niet te kopen. De betaaldienst laat de afschrijving zien. Elk van deze gegevens kan kloppen. Maar niets in die gegevens koppelt de afschrijving aan de opdracht die je de agent hebt gegeven om een ​​shirt te zoeken – maar niet te kopen.

Een conventionele chatbot stelt een shirt voor en wacht. Een medewerker kan uw account gebruiken, contact opnemen met andere diensten en de transactie voltooien. Eén zin zet een reeks acties in gang in systemen van verschillende bedrijven. Elk bedrijf kan alleen het deel verifiëren dat het ziet. Om het geschil op te lossen is een antwoord nodig dat alle drie de partijen omvat: Heeft deze medewerker, handelend namens deze persoon, deze actie uitgevoerd binnen de grenzen van deze taak?

Een wetsvoorstel van de Senaat wijst op het probleem. Senator Mark Warner (D-Va.) introduceerde de AI AGENT Act, S. 5051, op 21 juli 2026. Deze wet definieert een “custodial user agent” als een agent die gemachtigd is om namens een gebruiker op een transparante, gedocumenteerde, beperkte en herroepbare manier te handelen.

De wet vereist over het algemeen dat dergelijke agenten realtime gegevens bijhouden van de acties die namens gebruikers worden uitgevoerd. De wet draagt ​​het National Institute of Standards and Technology (NIST) ook op om protocollen te identificeren of technische standaarden te ontwikkelen voor het verifiëren dat een gebruiker bevoegdheden heeft gedelegeerd aan een agent en voor het bijhouden van controleerbare gegevens van de acties die een agent uitvoert.

Het wetsvoorstel zou echter niet expliciet een verifieerbare bewijsketen vereisen tussen de verschillende betrokken systemen, vanaf het moment dat een gebruiker een taak start tot het uiteindelijke resultaat. In het voorbeeld met het shirt zou zo’n keten de instructies van de gebruiker aan de agent, de acties van de agent en de gegevens van de retailer en de betaaldienst met elkaar verbinden.

Een blik op hoe een verificatiesysteem ontworpen zou kunnen worden, geeft enig inzicht in enkele van de technische uitdagingen die AI-agenten naar verwachting zullen introduceren.

Wat de markt kan zien

Mijn promotieonderzoek maakte gebruik van jarenlange gegevens over datalekken om organisaties door de tijd heen te volgen. Het was gebaseerd op stabiele identificatoren, dat wil zeggen labels of nummers die in verschillende records naar dezelfde organisatie of gebeurtenis verwijzen. Wanneer de identificatoren veranderden of niet meer overeenkwamen, viel één geschiedenis uiteen in meerdere onvolledige geschiedenissen.

Een aankoop via een agent kent dezelfde zwakte: de retailer herkent mogelijk de aanbieder van de AI-agent zonder de specifieke agent te identificeren, en de betaaldienstverlener kan dezelfde klant anders labelen. Door de gebruiker, aanbieder en specifieke agent in deze gegevens te matchen, kunnen onderzoekers de transactie traceren, maar ze hebben nog steeds bewijs nodig dat de gebruiker toestemming heeft gegeven voor die taak.

In technische systemen is een authenticatiegegeven een gegeven dat een systeem accepteert als bewijs van identiteit of bevoegdheid. Veel websites gebruiken OAuth , een industriestandaard beveiligingsprotocol voor het delegeren van autorisatie voor toegang tot online diensten op een manier die de inloggegevens van gebruikers, zoals wachtwoorden, beschermt. Het genereert een toegangstoken dat een applicatie presenteert om toegang te krijgen tot een beveiligde dienst.

Die permanente autorisatie is mogelijk al weken eerder goedgekeurd. De applicatie kan nog steeds een geldig toegangstoken verkrijgen of presenteren waarmee vandaag nog afgerekend kan worden, zelfs als de huidige instructie zegt dat er gezocht moet worden maar niet gekocht. De retailer ziet een bruikbaar token en voert de transactie uit. In die situatie blijft de taakspecifieke beperking tegen kopen binnen de AI-agentprovider.

Het bewijsmateriaal moet reizen.

Om dit soort verantwoording te laten werken, moeten er vijf dingen aanwezig zijn: een verifieerbare koppeling tussen het account van de gebruiker, de agent op een specifiek tijdstip en de taak; limieten die specifiek zijn voor die taak; een verifieerbare koppeling binnen de transactie; een controle vóór elke actie; en gegevens waarvan latere wijzigingen kunnen worden gedetecteerd. Betaalsystemen zijn begonnen met het samenstellen van deze onderdelen.

Het eerste record identificeert het geauthenticeerde gebruikersaccount dat de taak heeft goedgekeurd en de agent die de autorisatie heeft ontvangen. De retailer kan niet alleen vertrouwen op de naam van de AI-agentprovider. De provider koppelt het account, de agent en de taak in een autorisatierecord en ondertekent dit digitaal, waardoor de retailer en de betaaldienst kunnen controleren wie het record heeft uitgegeven en of het is gewijzigd.

De AI-agentprovider bewaart ook het oorspronkelijke verzoek en zet dit om in beperkingen die andere systemen kunnen afdwingen. Voor de taak met het shirt: 15 minuten zoeken, geen aankoop, geen koopbevoegdheid overdragen aan een andere agent. Voordat de agent begint, ziet de gebruiker deze gestructureerde versie en keurt deze goed. Als de vertaling onjuist is, kunnen onderzoekers de regel vergelijken met de achterliggende woorden.

Een manier om die koppeling te creëren is door een taakreferentie met elk verzoek mee te sturen. Deze referentie is uniek voor één taak, bevat geen naam, rekeningnummer of andere directe identificatiegegevens, en verschijnt in de gegevens van elk deelnemend bedrijf. Technici gebruiken al een vergelijkbaar hulpmiddel, een trace-identificatiecode , om gebeurtenissen van één bewerking te correleren wanneer deze tussen services wordt verplaatst.

De taakreferentie koppelt verspreide records aan één taak. Op zichzelf verleent de taakreferentie geen autorisatie. De taakreferentie moet daarom gekoppeld zijn aan de door de gebruiker goedgekeurde regel in het digitaal ondertekende autorisatierecord van de agentprovider. Omdat zelfs een willekeurige identificatiecode activiteiten over verschillende services heen kan koppelen, moet deze van korte duur zijn en alleen zichtbaar voor bedrijven die aan de taak deelnemen.

Iemand moet vervolgens controleren aan welke regels het geld is gekoppeld. Bij de kassa valideert de winkelier de ondertekende machtiging en beoordeelt de voorgestelde aankoop aan de hand daarvan. Een koopverbod blokkeert de transactie, zelfs als de applicatie bredere toegang tot de rekening heeft. Een bankoverschrijving of het vrijgeven van medische gegevens kan een nieuwe bevestiging vereisen. Elke machtiging die aan een andere agent wordt overgedragen, moet dezelfde taakreferentie behouden en binnen de oorspronkelijke limiet blijven.

Na de beslissing registreert het systeem van de winkelier de medewerker, de taakreferentie, de geëvalueerde regel, het tijdstip, de beslissing en het resultaat. De betaaldienst bewaart dezelfde referentie en de aanbieder bewaart de instructie en de goedgekeurde regel. Beide bedrijven bewaren een fraudebestendig register, zodat latere wijzigingen kunnen worden opgespoord. De gebruiker ontvangt een eenvoudige bon: “Uw medewerker heeft drie winkels doorzocht en geprobeerd af te rekenen. De aankoop is geblokkeerd omdat de aankoop niet was geautoriseerd.”

Het Agent Payments Protocol (AP2) van Google voldoet aan een aantal van deze eisen. Het creëert gegevens die de goedgekeurde limieten van de gebruiker en de informatie die aan elke deelnemer wordt gepresenteerd bij een betwiste transactie, kunnen weergeven. AP2 laat zien hoe het bewijsmateriaal zich kan verspreiden. Het bepaalt echter niet wie het verlies draagt ​​of hoe lang elk bedrijf dat bewijsmateriaal moet bewaren en hoe het later kan worden opgevraagd.

Buiten het oorspronkelijke toepassingsgebied van NIST

NIST beoordeelt momenteel de reacties op het conceptdocument van februari 2026 over agentidentiteit en -bevoegdheid. Daarin wordt de vraag gesteld hoe een agent zijn bevoegdheid kan bewijzen, die bevoegdheid aan een persoon kan koppelen en verifieerbare gegevens kan produceren.

De voorgestelde eerste inspanning richt zich op agenten die binnen organisaties opereren, waar meer controle en inzicht kan worden verkregen in de agenten en de systemen waartoe ze toegang hebben. Agenten afkomstig van onbetrouwbare externe bronnen worden in deze eerste fase uitgesloten, hoewel wordt gesteld dat publiekelijk toegankelijke of individuele agenten later aan bod kunnen komen.

Consumentenagenten die de grenzen van bedrijven overschrijden, vormen een zaak die NIST heeft uitgesteld. Elk bedrijf hanteert zijn eigen identificatiecodes, autorisatietaal en bewaarregels. Een geschil kan onopgelost blijven, zelfs wanneer beide bedrijven hun gegevens exact overleggen zoals ze zijn opgeslagen.

Een geschil over een shirt van 30 dollar is misschien makkelijk af te wimpelen, maar de bewijsvoering kan net zo goed tekortschieten wanneer een agent 40.000 dollar verplaatst, een beroepsprocedure voor uitkeringen start of een herhaalrecept aanvraagt ​​op uw naam. In dergelijke gevallen is het wellicht niet moeilijk aan te tonen dat de agent bevoegd was om namens u te handelen. Het is echter een andere zaak om te bewijzen of u de agent wel of niet toestemming hebt gegeven om dit namens u te doen.