Hoe je een AI-agent veilig je computer laat gebruiken

Welke omgeving je ook kiest, behandel het als een nieuw bureau, niet je gebruikelijke. Log alleen in bij de ene of twee accounts die de taak daadwerkelijk vereist, en laat alles anders uitgelogd. Als de taak het boeken van één afspraak op een planningssite is, is die site het enige dat een sessie nodig heeft; je e-mail, je bank en je werktools horen niet in dezelfde omgeving, alleen omdat het handig zou zijn om ze bij de hand te hebben.

Houd een wachtwoordmanager en elke bankentoegang helemaal buiten die omgeving, niet alleen uitgelogd maar daar om te beginnen nooit opgeslagen. Anthropic's veiligheidsrichtlijnen voor Claude's computer use zijn hier duidelijk over en waarschuwen tegen het geven van toegang aan het model tot gevoelige gegevens zoals inloggegevens van accounts, specifiek om informatiediefstal te voorkomen. Dezelfde logica geldt welke aanbieder's agent je ook gebruikt: de agent kan geen inloggegevens lekken of misbruiken die nooit binnen zijn bereik zijn geplaatst.

Dit telt nog meer zodra de agent ergens in moet zijn ingelogd. Anthropic's eigen prompting-richtlijnen merken op dat het gebruik van computer use binnen toepassingen die inloggen vereisen, het risico op een slechte uitkomst door een prompt injection-aanval vergroot, en raden aan te bekijken hoe dat risico te beperken voordat je inloggegevens afgeeft. Een afgeschermd, wegwerpaccount voor de ene dienst die je daadwerkelijk nodig hebt, is een klein ongemak naast dat risico.

Een computer-use agent leest niet alleen jouw instructies. Hij leest ook alles wat op de pagina's, documenten en e-mails staat die hij onderweg opent, en sommige van die inhoud kan eigen instructies bevatten, gericht op de agent in plaats van op jou. Dit heet prompt injection: een zin verstopt in een webpagina of een e-mail die probeert de agent om te leiden naar iets wat jij nooit hebt gevraagd, zoals het bezoeken van een andere site, het delen van informatie, of het herhalen van een ongewenste actie.

Anthropic's documentatie voor Claude's computer use stelt dit duidelijk: in sommige omstandigheden volgt Claude opdrachten gevonden in inhoud, zelfs wanneer die in strijd zijn met je eigen instructies, met als voorbeeld instructies op webpagina's of binnen afbeeldingen die overschrijven wat je hebt gevraagd. Anthropic voegt toe dat het automatische classifiers draait om te scannen wat de computer-use tools teruggeven, zoals schermafbeeldingen, om mogelijke injectiepogingen te signaleren, maar is even duidelijk dat de voorzorgsmaatregelen van het isoleren van de agent van gevoelige gegevens en acties belangrijk blijven, ook met die classifiers draaiend.

Dat laatste punt is degene die het waard is om te onthouden over elke aanbieder's versie van deze functie, niet alleen die van Claude. Een geautomatiseerde veiligheidscontrole is een tweede laag, geen vervanging voor de eerste: houd de agent weg van je gevoelige accounts, zodat zelfs een geslaagde injectiepoging zeer weinig daadwerkelijk kan doen zodra hij binnen is.

Behandel het einde van een computer-use sessie zoals je de eerste dag van een nieuwe medewerker zou beoordelen: kijk naar wat er daadwerkelijk is gebeurd, niet alleen of het eindresultaat er goed uitziet. Vraag de agent elke pagina die hij heeft bezocht, elk account dat hij heeft aangeraakt, en elk veld waarin hij heeft getypt op te sommen, in volgorde, en vergelijk dat met wat je verwachtte dat de taak zou vereisen.

Anthropic's documentatie voor Claude merkt op dat meerdere acties samen kunnen worden gegroepeerd in één 'batch', waardoor een meerstapssequentie binnen één beurt wordt afgerond, en adviseert specifiek dat als je toepassing een mens vraagt om ingrijpende acties te bevestigen, die controle vóór elke stap in de batch moet plaatsvinden, niet alleen eenmaal aan het einde. De praktische versie van dat advies voor iedereen die deze tools direct gebruikt, is hetzelfde: wacht niet tot een lange reeks volledig is afgerond om aandacht te gaan geven.

Een snelle controlegewoonte vangt ook de gewone fouten op die niets met veiligheid te maken hebben: een veld dat in het verkeerde vakje is getypt, een stap die is overgeslagen, een pagina die niet laadde zoals de agent aannam. Teruglezen wat er is gebeurd, is goedkoop. Een fout achteraf ontdekken, zodra een bericht is verstuurd of een formulier is ingediend, is dat niet.

Begin met de kleinste omgeving die aannemelijk de klus kan klaren. Een enkele snelle opzoeking op een openbare website heeft geen virtuele machine nodig; een vers browserprofiel is ruim genoeg. Bewaar de zwaardere opties, een toegewijd besturingssysteemaccount of een volledige virtuele machine, voor taken die je zult herhalen, taken die meer dan één site raken, of iets waar je nog aan moet wennen.

Schrijf de taak nauw omschreven voordat je hem overdraagt. 'Zoek de drie goedkoopste vluchten op de site van deze ene luchtvaartmaatschappij en som ze voor mij op' is een taak die een agent kan doen met bijna niets op het spel. 'Boek welke vlucht er het beste uitziet' draagt een beslissing en een betaling in één stap over, wat precies het soort taak is dat achter een regel voor menselijke goedkeuring hoort, niet binnen de instructie zelf.

Volg de eerste sessies nauwlettend, ook in een geïsoleerde omgeving. Isolatie beperkt hoeveel schade een fout kan aanrichten; het zegt je niet of de agent de taak goed uitvoert. Zodra je hem een paar keer hebt zien presteren zoals je verwachtte, kun je je aandacht laten verslappen voor die specifieke, nauw omschreven taak, maar niet voor een nieuwe die je nog niet hebt uitgeprobeerd.

Ga er ten slotte van uit dat de opzet die je vandaag gebruikt, later een tweede blik nodig zal hebben. Aanbieders veranderen wat hun agents kunnen doen, welke instellingen bestaan en welke standaardwaarden gelden, vaak binnen maanden na de lancering van een functie. Bekijk je eigen opzet opnieuw, en de actuele documentatie van die aanbieder, voordat je op een agent leunt voor iets groters dan wat je eerst hebt getest.

Een schoon browserprofiel, een apart account, of een virtuele machine beperken allemaal de schade die een fout kan aanrichten. Geen van deze maakt de agent beter in beoordeling, en geen van deze voorkomt dat een overtuigende scampagina een uur van de tijd van een geïsoleerde sessie verspilt, zelfs als hij niets kan bereiken dat telt zodra hij daar is. Isolatie gaat over wat de agent kan aanraken, niet over of hij een situatie correct zal inschatten.

Het vervangt ook niet het daadwerkelijk bekijken van de output. Een agent die binnen een virtuele machine draait, kan nog steeds een formulier invullen met de verkeerde informatie, een verwarrende pagina verkeerd lezen, of een taak afronden op een manier die technisch correct is maar niet wat jij wilde. De controlegewoonte die eerder in deze gids beschreven staat, telt of de agent nu in de meest afgeschermde opzet draait die beschikbaar is of in de minst afgeschermde.

Ten slotte is niets hiervan een eenmalige opzet die je afrondt en vergeet. Anthropic, OpenAI, Microsoft en Google ontwikkelen elk nog actief hun computer-use en agentische browsefuncties, wat betekent dat de specifieke instellingen, standaardwaarden en waarborgen die voor jou beschikbaar zijn, kunnen veranderen tussen de ene sessie en de volgende. Behandel deze gids als de gewoontes die nuttig blijven door die verandering heen, en controleer de actuele documentatie van de aanbieder voor de exacte functienamen en instellingen die nu voor je liggen.