Goedkeuring en uitvoering zijn twee verschillende momenten
Een medewerker keurt een inkooporder goed. Terwijl die order wacht op verwerking, legt een andere workflow beslag op hetzelfde budget. De AI-agent voert daarna de eerder goedgekeurde order uit. Iedere stap lijkt afzonderlijk correct: de medewerker gaf toestemming en de agent handelde volgens die toestemming. Toch overschrijdt het bedrijf zijn limiet.
Dit is geen fout in het taalmodel. Het is een fout in de control-laag rond de handeling. De goedkeuring was geldig toen zij werd gegeven, maar niet meer toen de handeling werkelijk werd vastgelegd.
Nieuw onafhankelijk onderzoek naar gelijktijdig werkende agents noemt dit stale authorization: een systeem voert een toegestane handeling uit nadat de toestand die de toestemming rechtvaardigde, is veranderd. Het onderzoek gebruikt onder meer gedeelde budgetten en voorraad om te laten zien waarom controles bij de aanvraag alleen niet voldoende zijn.
Menselijke controle lost het tijdsprobleem niet automatisch op
Human-in-the-loop wordt vaak behandeld als de veilige eindoplossing: laat een mens de risicovolle actie beoordelen en de agent mag daarna verder. Dat is verstandig, maar alleen als duidelijk is wat die goedkeuring reserveert, hoe lang zij geldig blijft en welke omstandigheden haar ongeldig maken.
Bij een eenvoudige tekstcontrole kan een goedkeuring lang bruikbaar blijven. Bij een handeling tegen een veranderend systeem ligt dat anders. Denk aan een order binnen een dagbudget, een reservering van schaarse voorraad, een terugbetaling binnen een klantlimiet, een wijziging onder een risicodrempel of het aanmaken van cloudcapaciteit binnen een quotum. Andere mensen, agents en systemen kunnen dezelfde ruimte ondertussen gebruiken.
Een akkoord op aanvraag A kan daardoor achterhaald zijn voordat A wordt uitgevoerd. De menselijke beslissing was niet verkeerd. Het systeem maakte er ten onrechte een onbeperkte, losstaande toestemming van.
Controleer niet alleen de identiteit, maar ook de actuele toestand
Veel autorisatiecontroles beantwoorden een statische vraag: mag deze gebruiker of agent deze tool aanroepen? Operationele agents vragen om een extra vraag: mag deze concrete handeling nu nog worden vastgelegd, gegeven de laatste toestand van het bedrijfsproces?
Die tweede vraag hoort zo dicht mogelijk bij de daadwerkelijke wijziging te worden beantwoord. Anders ontstaat ruimte tussen controle en uitvoering. In security heet dat het time-of-check-to-time-of-use-probleem. De OWASP-richtlijn voor transactieautorisatie behandelt hetzelfde algemene risico: wat tijdens de controle geldig was, hoeft tijdens het gebruik niet meer geldig te zijn.
Voor een AI-workflow betekent dit dat de control-laag de relevante voorwaarden opnieuw moet lezen voordat het doelsysteem verandert. Niet alleen wie de actie aanvroeg, maar ook resterend budget, beschikbare voorraad, actuele goedkeuringsstatus, quota, risicosignalen en eventuele wijzigingen in het dossier.
Een auditlog bewijst de fout, maar voorkomt hem niet
Een nette auditlog kan achteraf laten zien dat de medewerker om 10.02 uur goedkeurde en de agent om 10.08 uur uitvoerde. Dat is nuttig voor onderzoek en verantwoording. Het voorkomt alleen niet dat om 10.05 uur een andere transactie dezelfde budgetruimte gebruikte.
Monitoring heeft dezelfde beperking. Een alarm na de tweede boeking vertelt dat de grens is overschreden. De beheersmaatregel moet juist voorkomen dat twee afzonderlijk geldige beslissingen samen een ongeldige toestand creëren.
Daarom moeten beslissing, actuele beleidsstatus en effect technisch aan elkaar worden gekoppeld. In sommige workflows betekent dat opnieuw valideren vlak voor uitvoering. In andere gevallen is een reservering nodig die budget of voorraad tijdelijk vastzet. Bij kritieke transacties kan de laatste controle onderdeel moeten zijn van dezelfde atomaire operatie als de wijziging zelf.
Wat het onderzoek wel en niet bewijst
De onderzoekers bouwden een PostgreSQL-prototype en vergeleken dat met benaderingen die beleidsstatus als gewone context bij een aanvraag meegeven. In gecontroleerde proeven voorkwam het prototype verouderde autorisaties die de vergelijkingsmethoden misten. Ook doorliepen zij een gescripte inkoopworkflow met gedeelde budgetten en voorraad.
Dat is nuttig technisch bewijs voor het probleem en een mogelijke oplossingsrichting. Het is geen productieaudit en ook geen meting van een taalmodel. De inkoopworkflow was bewust gescript en gebruikte geen LLM. De waarde van het onderzoek zit daarom niet in een beloofd prestatiepercentage, maar in de aantoonbare systeemfout: losse controles kunnen bij gelijktijdige handelingen allemaal groen geven terwijl het gezamenlijke resultaat het beleid schendt.
Vier acceptatievragen voor iedere agent die iets mag wijzigen
- Welke veranderlijke toestand bepaalt de toestemming? Leg vast of budget, voorraad, quota, status, risico of een ander gedeeld gegeven de actie begrenst.
- Wat reserveert een goedkeuring? Bepaal of een akkoord alleen intentie bevestigt of ook tijdelijk capaciteit vastzet.
- Wanneer vervalt het akkoord? Definieer een tijdslimiet en de systeemwijzigingen die herbeoordeling verplicht maken.
- Waar vindt de laatste controle plaats? Test de voorwaarden vlak voor het effect en koppel de controle waar nodig transactioneel aan de wijziging.
Test vervolgens niet alleen één agent in een lege omgeving. Laat twee workflows tegelijk aanspraak maken op dezelfde beperkte ruimte. Laat een menselijke goedkeuring wachten terwijl de onderliggende toestand verandert. Controleer daarna niet alleen de logs, maar de uiteindelijke toestand in ERP, CRM, TMS of ander doelsysteem.
De productieles: toestemming hoort bij het effect
Een agent die operationeel werk uitvoert, heeft meer nodig dan een goede prompt, een rollenmodel en een goedkeuringsknop. Hij heeft een control-laag nodig die data, bedrijfsregels, menselijke beslissingen en systeemwijzigingen op het juiste moment samenbrengt.
De praktische regel is eenvoudig: behandel een goedkeuring nooit automatisch als blijvende toestemming. Voordat de agent een handeling vastlegt, moet het systeem kunnen aantonen dat de actuele toestand die handeling nog steeds toestaat. Pas dan wordt menselijke controle een echte beheersmaatregel in plaats van een momentopname.