Bij 107 door VentureBeat onderzochte ondernemingen krijgen AI-agenten daadwerkelijke toegang tot systemen en data, terwijl de controles die hen moeten beheersen onderontwikkeld blijven. Het onderzoek toont een aanhoudende beveiligingskloof rond agenten: autonome agenten verspreiden zich sneller dan de identiteits-, isolatie- en handhavingscontroles die nodig zijn om ze veilig te beheren. Anders dan traditionele software handelen agenten met beperkt menselijk toezicht — ze nemen beslissingen, roepen tools aan en bewegen lateraal door systemen — waardoor het aanvalsoppervlak groter wordt dan waarvoor conventionele applicatiebeveiliging is ontworpen.

Deze editie van VentureBeat Pulse Research onderzoekt hoe ondernemingen hun AI-agenten beveiligen — van de tooling die zij inzetten en hoe zij omgaan met agentidentiteit en isolatie tot wat er al is misgegaan, hoe budgetten worden toegewezen en of organisaties denken dat hun verdediging gelijke tred houdt met AI-gestuurde aanvallers.

De centrale bevinding: een beveiligingskloof rond agenten

De bepalende statistiek in het rapport is dat meer dan de helft van de organisaties (54%) al een bevestigd beveiligingsincident met agenten (18%) of een bijna-incident dat vóór schade werd onderschept (36%) heeft meegemaakt. De structurele zwakte achter deze cijfers ligt in identiteitsbeheer. Slechts ongeveer een derde van de ondernemingen (32%) kent elke agent een eigen afgebakende, beheerde identiteit toe — een vereiste voor least-privilege-toegang en duidelijke attributie. De rest meldt dat sommige agenten credentials delen of dat agenten vooral werken met gedeelde API-sleutels en geleende menselijke of serviceaccount-credentials. Wanneer agenten credentials delen, kan één gecompromitteerde agent of agent met te ruime rechten een grote blast radius veroorzaken, terwijl slechts drie op de tien ondernemingen (30%) hun meest risicovolle agenten in sandboxes isoleren om dat risico te beperken.

Wat de kloof vooral opvallend maakt, is hoe comfortabel ondernemingen zich erin lijken te voelen. De beveiligingsstack is overwegend provider-native — de guardrails van OpenAI (51%), cloudcontroles van Google en Microsoft, en de managed-agent-controles van Anthropic domineren, terwijl gespecialiseerde aanbieders van agentbeveiliging nauwelijks zichtbaar zijn. De tevredenheid over deze geleende stack bedraagt gemiddeld 4,2 op 5. Toch blijft de uitgave aan agentbeveiliging een klein deel van de totale beveiligingsbudgetten, gelooft slechts een derde van de ondernemingen dat hun AI-verdediging AI-gestuurde aanvallers voorblijft, en is een duidelijke meerderheid van plan binnen een jaar van tooling te wisselen. Organisaties zeggen tevreden te zijn over controles die ze tegelijkertijd voorbereiden om te vervangen.

Methodologie

VentureBeat voerde deze enquête uit als onderdeel van zijn doorlopende Pulse Research-reeks, waarbij dit instrument zich richtte op agentbeveiliging in ondernemingen — de tooling, identiteits-, isolatie- en handhavingscontroles die organisaties gebruiken om autonome AI-agenten te beveiligen. De antwoorden zijn gefilterd op organisaties met meer dan 100 werknemers (n=107; de kleinste omvangscategorie van de enquête, 1–100 werknemers, is uitgesloten), afkomstig uit één golf in juni 2026. Omdat dit één golf betreft en geen samengevoegde meermaandelijkse steekproef, leest het rapport als een dwarsdoorsnede en leidt het geen maand-op-maandtrends af. Verschillende vragen waren meerkeuzevragen, waardoor percentages kunnen optellen tot meer dan 100%.

Qua rol is de steekproef senior en geloofwaardig vanuit inkoopperspectief: 45% is eindbeslisser voor AI-aankopen en nog eens 30% is aanbeveler of beïnvloeder. De senioriteitsmix bestaat uit managers (43%), individuele medewerkers (24%), VP's en directeuren (15%) en de C-suite (11%). Naar organisatiegrootte is de steekproef gewogen richting de middenmarkt: 251–1.000 werknemers (42%) en 101–250 werknemers (25%) voeren de lijst aan, gevolgd door 1.001–5.000 (19%), 5.001–10.000 (8%) en 10.001+ (7%). Technologie/Software is met 23% de grootste vertegenwoordigde sector, gevolgd door Manufacturing (15%), Retail/E-commerce (14%) en Healthcare/Life Sciences (13%).

Met 107 respondenten is de steekproef groot genoeg om richtinggevend te lezen, maar zij moet worden behandeld als een directioneel signaal en niet als een exacte meting. De steekproef is zelfgeselecteerd en geen probabilistische steekproef, en helt over naar de middenmarkt — waardoor zij het best kan worden gelezen als het beeld vanuit organisaties die actief agentbeveiliging opzetten, niet vanuit de grootste operators. Tevredenheidsscores zijn berekend op basis van respondenten die elke beoordelingsvraag hebben beantwoord; de totale tevredenheidsscore weerspiegelt 82 van de 107 gekwalificeerde respondenten.

Bevinding 1: Incidenten doen zich al voor

Organisaties werd gevraagd of zij een beveiligingsincident met agenten hadden meegemaakt — een bevestigde inbreuk of een bijna-incident dat vóór schade werd onderschept. De meerderheid van de organisaties die agenten in productie draaien, meldde dat dit het geval was.

Meer dan de helft van de organisaties (54%) heeft al een beveiligingsgebeurtenis met agenten meegemaakt — 18% een bevestigd incident en 36% een bijna-incident dat vóór schade werd onderschept. Slechts 42% meldde niets, met een kleine restgroep die geen agenten in productie draait of dergelijke gebeurtenissen niet bijhoudt. Dat bijna-incidenten vaker worden gemeld dan bevestigde incidenten is op zichzelf veelzeggend: ondernemingen onderscheppen problemen, maar vaak dicht bij het faalpunt. De controles die in dit rapport worden onderzocht — identiteit, isolatie en handhaving — bepalen of het volgende bijna-incident beperkt blijft.

Blootstelling schaalt met bedrijfsgrootte, maar beheersing niet. Het percentage incidenten of bijna-incidenten stijgt van 49% bij middenmarktbedrijven (101–1.000 werknemers) naar 63% bij grotere ondernemingen (meer dan 1.000 werknemers). Over hetzelfde bereik daalt sandbox-isolatie van risicovolle agenten van 35% naar 20%, en daalt de tevredenheid over beveiligingstooling van 4,36 naar 3,97. De organisaties die de meeste agenten over de meeste systemen draaien, hebben de meeste incidenten en gebruiken het minst de ene controle die de blast radius van een incident begrenst.

Bevinding 2: De identiteitskloof

Ondernemingen werd gevraagd hoe zij de identiteit van AI-agenten beheren — of elke agent eigen credentials heeft of dat agenten die delen. Volledige identiteit per agent blijft eerder uitzondering dan regel.

Gezamenlijk laten de overlappende antwoorden zien dat 69% van de ondernemingen (74 van 107) enige mate van credentialdeling heeft binnen hun agentenbestand. Slechts ongeveer een derde (32%) geeft elke agent een eigen afgebakende, beheerde identiteit — de basis voor least-privilege-toegang en duidelijke attributie. Bijna de helft (48%) zegt dat sommige agenten afgebakende identiteiten hebben, maar dat veel agenten nog steeds credentials delen, en nog eens 32% meldt dat agenten vooral draaien op gedeelde API-sleutels of geleende menselijke en serviceaccount-credentials. Respondenten konden meer dan één patroon binnen hun agentenbestand beschrijven, waardoor deze cijfers overlappen.

Het gevolg is direct: wanneer agenten credentials delen, kan een agent met te ruime rechten of een gecompromitteerde agent met veel meer reikwijdte handelen dan bedoeld, en kan forensisch onderzoek na een incident niet duidelijk onderscheiden welke agent welke actie uitvoerde. Beheer van niet-menselijke identiteiten — elke agent een eigen beheerde identiteit geven — vormt het grootste onafgemaakte onderdeel van agentbeveiliging in ondernemingen. Industrieraamwerken, waaronder OWASP's Top 10 for LLM Applications, hebben excessieve agency en ontoereikende identiteitscontroles aangemerkt als een belangrijke risicocategorie, en analistenbureaus zoals Gartner hebben governance voor niet-menselijke identiteiten geïdentificeerd als een snel opkomende discipline die bestaande IAM-tooling niet volledig afdekt.

De data toont ook een correlatie tussen credentialhouding en incidenten. Organisaties met credentialdeling ergens in het agentenbestand hadden in de afgelopen twaalf maanden een incident of bijna-incident met een percentage van 63,5% (47 van 74). Organisaties waar elke agent een eigen afgebakende identiteit heeft, werden geraakt met 40,9% (9 van 22). De volledig afgebakende groep is klein, dus voorlopig is de relatie een associatie en geen bewezen causaliteit, en de kloof concentreert zich in de middenmarkt — maar binnen één enquête suggereert een verschil van drieëntwintig procentpunten in incidentpercentage betekenis.

Bevinding 3: Observatie en handhaving zonder isolatie

Organisaties werd gevraagd hoe hun agentbeveiliging er in de praktijk uitziet — of zij observeren, handhaven, isoleren of deze benaderingen combineren. De controle die schade het meest effectief begrenst, wordt het minst vaak ingezet.

Monitoring en handhaving zijn redelijk wijdverbreid: ongeveer de helft van de ondernemingen observeert agentactiviteit (47%) of handhaaft afgebakende rechten tijdens runtime (49%). Slechts 30% isoleert echter zijn meest risicovolle agenten in sandboxes die zijn ontworpen om de blast radius te beperken wanneer andere controles falen. Deze volgorde staat haaks op een defense-in-depth-benadering: observatie laat zien wat er is gebeurd, handhaving probeert het te voorkomen, maar isolatie beperkt de schade wanneer preventie faalt — en dat is de controle die ondernemingen het minst hebben ingevoerd. In combinatie met de identiteitskloof ontstaat het beeld van agenten die wel worden bekeken en van rechten voorzien, maar zelden echt worden ingesloten; precies de configuratie waarin één enkele fout zich breed kan verspreiden.

Bevinding 4: Provider-native controles domineren

Ondernemingen werd gevraagd welke agentbeveiligingstooling zij gebruiken en welke als primaire laag dient. De resultaten vallen uit in het voordeel van modelproviders en hyperscalers, boven gespecialiseerde beveiligingsleveranciers.

Organisaties beveiligen agenten vooral met tools die zijn meegeleverd met hun model- en cloudplatformen. De guardrails van OpenAI leiden met 51%, gevolgd door de cloud-native controles van Google en Microsoft en de managed-agent-controles van Anthropic. Op de vraag naar hun enige primaire beveiligingslaag noemde 82% een van deze provider-native aanbiedingen. De speciaal gebouwde categorie voor agentbeveiliging — waaronder Palo Alto's Prisma AIRS, CrowdStrike, Cisco AI Defense, Zenity, HiddenLayer, Check Point's Lakera, Okta for AI Agents en platforms voor niet-menselijke identiteiten — is nauwelijks zichtbaar, waarbij elke leverancier in de lage enkelcijferige percentages blijft. Slechts 5% meldde helemaal geen dedicated tooling te draaien. De providerbundel wint de standaardpositie: ondernemingen grijpen eerst naar de guardrails die hun platform meelevert, en de onafhankelijke beveiligingslaag die identiteits- en isolatiekloof zou aanpakken, heeft nog geen betekenisvolle adoptie bereikt.

Dit patroon van standaardkeuze voor de provider weerspiegelt het vroege traject van cloudbeveiliging, waar organisaties aanvankelijk vertrouwden op native cloudprovidercontroles voordat gespecialiseerde leveranciers zoals Wiz, Orca en Lacework de categorie cloud-native application protection platform (CNAPP) vestigden. Of agentbeveiliging dezelfde boog volgt — van providergemak naar speciaal gebouwde tooling — is een vraag waarop de overwegingsdata in Bevinding 8 een eerste antwoord begint te geven.

Dit provider-default-patroon is consistent over beide Q2-enquêtegolven. In de golf van april–mei (n=110) werd het gebruik aangevoerd door dezelfde namen — OpenAI's controles met 26%, Azure met 15%, AWS met 14%, Google met 12% — waarbij elke gespecialiseerde agentbeveiligingsleverancier op 3% of lager uitkwam, en één op de tien helemaal geen dedicated tooling gebruikte. De consistente bevinding over beide enquêtes: ondernemingen kiezen standaard voor oplossingen die door hun bestaande platform worden geleverd, en gespecialiseerde categorieleveranciers hebben nog geen significante aanwezigheid opgebouwd.

Een opmerking bij het lezen van deze percentages: de respondentengroep is zelfgeselecteerd en helt over naar de middenmarkt, en de gebruiksvraag telde elke leverancier of aanpak die een respondent in gebruik heeft. De cijfers meten dus aanwezigheid in de beveiligingsstack, niet uitgaven of exclusiviteit. Percentages per leverancier dragen de gebruikelijke steekproefvoorbehouden. Het structurele patroon hield echter stand over beide Q2-golven en bij twee verschillend geformuleerde vragen: provider-native en hyperscalercontroles leiden, en gespecialiseerde aanbieders van agentbeveiliging blijven in de lage enkelcijferige percentages.

Bevinding 5: Hoge tevredenheid ondanks blootstelling

Ondernemingen werd gevraagd hoe tevreden zij zijn met hun huidige agentbeveiligingstooling. Het gerapporteerde comfortniveau strookt opvallend slecht met de gedocumenteerde blootstelling.

De tevredenheid over agentbeveiligingstooling is hoog — 4,2 op 5 in totaal en 4,1 voor prijs-kwaliteitverhouding — en behoort tot de meest positieve metingen in deze onderzoeksreeks. Ondernemingen spreken hoge tevredenheid uit over een stack die grotendeels bestaat uit geleende provider-guardrails, ondanks het feit dat meer dan de helft al een incident of bijna-incident heeft meegemaakt en slechts een derde hun agenten afgebakende identiteiten geeft. Het comfort lijkt geworteld in het gemak en de lage frictie van provider-native controles, niet in aangetoonde effectiviteit van beheersing. Zoals Bevinding 8 laat zien, omvat dezelfde groep tevreden ondernemingen een duidelijke meerderheid die binnen een jaar van tooling wil veranderen, wat suggereert dat hun vertrouwen dunner kan zijn dan de tevredenheidsscore doet vermoeden.

Bevinding 6: Budgetten lopen achter op het risico

Ondernemingen werd gevraagd welk deel van hun beveiligingsbudget zij toewijzen aan het beveiligen van AI-agenten. Voor een snel opkomende risicocategorie blijft de allocatie bescheiden.

De meest voorkomende allocatie is 6–10% van het beveiligingsbudget (46%), en een derde van de ondernemingen (34%) besteedt 5% of minder. Slechts een kwart (24%) wijdt meer dan een tiende van het budget hieraan. Gezien het incidentpercentage en de hierboven beschreven identiteits- en isolatiekloof lijkt het budget een achterlopende indicator — het risico heeft zich sneller gematerialiseerd dan de financiering om het aan te pakken. Ondernemingen die meer dan een tiende van hun beveiligingsbudget aan agentbeveiliging besteden, vormen een duidelijke minderheid, en zijn waarschijnlijk de organisaties die de afgebakende identiteits- en isolatiecontroles bouwen die anderen nog niet hebben uitgerold.

Bevinding 7: De wapenwedloop is op zijn best gelijk

Ondernemingen werd gevraagd hoe zij de balans inschatten tussen hun AI-gestuurde verdediging en AI-gestuurde aanvallers. Het vertrouwen is allesbehalve uitgekristalliseerd.

Slechts ongeveer een derde (35%) gelooft dat hun AI-gestuurde verdediging voorloopt op AI-gestuurde aanvallers. De rest is minder zeker: 32% noemt het ongeveer gelijk, 21% denkt dat aanvallers het voordeel hebben, en nog eens 21% zegt dat het te vroeg is om te oordelen. Bij elkaar genomen beoordeelt een duidelijke meerderheid (53%) de balans als gelijk of gekanteld in de richting van de aanvaller. Die onzekerheid staat ongemakkelijk naast de hoge tevredenheid uit Bevinding 5: ondernemingen zijn tevreden met hun tooling, maar niet overtuigd dat die de strijd wint waarvoor zij bestaat. In een domein waarin offensieve capaciteiten zich eveneens met AI opstapelen, is een gelijke race een kwetsbare positie.

Bevinding 8: Een beveiligingsherschikking komt eraan

Ondernemingen werd gevraagd of zij van plan zijn een nieuwe, aanvullende of vervangende agentbeveiligingsoplossing te adopteren, en welke leveranciers zij overwegen. Weinigen zijn van plan de status quo te handhaven.

Hoewel 41% geen plannen heeft om te veranderen, is een duidelijke meerderheid (59%) van plan binnen twaalf maanden een nieuwe, aanvullende of vervangende agentbeveiligingsoplossing te adopteren, en 29% al binnen het volgende kwartaal — een sterk signaal dat ondernemingen, ondanks hoge tevredenheidsscores, erkennen dat hun huidige stack voorlopig is.

Incidenten lijken de primaire katalysator voor de aankoopcyclus. Van de organisaties die een incident hebben meegemaakt, is 42,1% van plan binnen de komende negentig dagen agentbeveiligingstooling te adopteren, toe te voegen of te vervangen, tegenover 14,0% van de organisaties zonder incident. Na een bevestigd incident wordt dit meerderheidsgedrag, met 52,6%. Geraakt worden verschuift ook de dreigingsinschatting: 33,3% van de getroffen organisaties zegt dat met AI bewapende aanvallers hun verdediging voor zijn, tegenover 8,0% van de niet-getroffen organisaties. In deze data is ervaring de sterkste voorspeller van zowel urgentie als pessimisme.

De overwegingslijst helt nog steeds naar provider-native oplossingen (OpenAI 34%, Google 30%, Anthropic 29%, Azure 25%), maar dedicated beveiligingsleveranciers — Cloudflare, Cisco, Palo Alto, Okta en Check Point's Lakera — trekken vroege interesse in de middelhoge tot hoge enkelcijferige percentages, boven hun huidige geïnstalleerde voetafdruk.

Opvallend afwezig op de boodschappenlijst is specifiek de identiteitslaag. Twaalf procent van de respondenten neemt ergens in hun overwegingslijst een agentidentiteitsproduct op — Okta for AI Agents, Microsoft Entra Agent ID of een platform voor niet-menselijke identiteit. Onder organisaties die credentials delen en al een incident hebben gehad, blijft de overweging van identiteit vrijwel onveranderd op ongeveer één op de tien. De controle die het meest direct door de incidentdata wordt aangewezen, ontbreekt grotendeels in de aankoopplannen. Of deze golf de provider-native standaard verstevigt of de deur opent naar speciaal gebouwde agentbeveiliging — de identiteits- en isolatiecontroles waar de incidenten om vragen — is een vraag die deze onderzoeksreeks zal blijven volgen.

De kern: een beveiligingskloof die autonomie als eerste zal testen

Organisaties met meer dan 100 werknemers geven AI-agenten echte toegang tot systemen en data, terwijl zij die beveiligen met controles die voor andere doeleinden zijn gebouwd. Meer dan de helft heeft al een incident of bijna-incident gehad. Slechts een derde geeft elke agent een eigen afgebakende identiteit, en de meeste delen nog steeds credentials. Slechts drie op de tien isoleren hun meest risicovolle agenten. De stack die dit werk doet, is overwegend geleend van modelproviders en hyperscalers, in plaats van speciaal gebouwd voor agenten.

De ongemakkelijke combinatie van vertrouwen en blootstelling springt eruit: de tevredenheid over huidige tooling behoort tot de hoogste in deze onderzoeksreeks, maar de uitgaven blijven een klein deel van het beveiligingsbudget, slechts een derde gelooft dat hun verdediging AI-gestuurde aanvallers voor is, en een duidelijke meerderheid is al van plan te vervangen wat zij heeft. Met 107 respondenten in één golf is dit een directionele lezing die naar de middenmarkt helt — maar de richting is duidelijk. De adoptie van agenten loopt voor op agentbeveiliging, en de controles die het belangrijkst zijn wanneer er iets misgaat — afgebakende identiteit en isolatie — zijn juist de controles die ondernemingen het minst hebben uitgerold.

De beveiligingskloof rond agenten is geen dekkingsprobleem dat een provider-guardrail op zichzelf zal sluiten. Het is fundamenteel een probleem van identiteit, isolatie en handhaving die zijn ontworpen voor autonome software. De open vraag voor latere golven is of ondernemingen deze kloof doelbewust dichten — of dat een bevestigd incident dat voor hen doet.

Gebaseerd op enquêteantwoorden van 107 gekwalificeerde ondernemingsrespondenten (100+ werknemers), afkomstig uit één golf in juni 2026. Dit is een directionele lezing, geen exacte meting — de steekproef is zelfgeselecteerd en helt over naar de middenmarkt, waardoor zij het best kan worden gelezen als het beeld van organisaties die actief agentbeveiliging opzetten, niet van de grootste operators. Respondenten zijn senior en geloofwaardig vanuit inkoopperspectief (45% eindbeslissers, 30% aanbevelers/beïnvloeders), variërend van managers tot de C-suite, en voornamelijk afkomstig uit Technology/Software, Manufacturing, Retail/E-commerce en Healthcare/Life Sciences.