Tijdens een CISO-rondetafelbijeenkomst, georganiseerd door de chief information security officer van Anthropic, stelde Rubriks GM of AI Dev Rishi de aanwezigen een eenvoudige vraag: had iedereen zijn AI-governance- en beveiligingsbeleid schriftelijk vastgelegd? Ongeveer 14 handen gingen omhoog. Zijn vervolgvraag — hoe iemand dat beleid in de praktijk daadwerkelijk handhaaft — riep een duidelijk andere reactie op.

"And everybody chuckled," herinnerde Rishi zich tijdens een fireside chat op VB Transform 2026 in Menlo Park. "It was like the dirty secret in the room that everyone has these policies, but no way to actually make them real."

De kloof tussen beleid hebben en beleid handhaven is precies het terrein waarop Rubrik zich richt. Rishi onthulde dat de oprichter en CTO van het bedrijf sterk aandringt op het inschakelen van de AI-agents van het bedrijf in wat bekendstaat als YOLO mode — een configuratie die toestemmingsprompts uit agentworkflows haalt en agents autonoom laat handelen. Voor een beursgenoteerd databeveiligingsbedrijf waarvan de kernactiviteit bestaat uit het back-uppen van kritieke bedrijfsdata, is die uitspraak betekenisvol.

In Rubriks implementatie beoordeelt een tweede AI-systeem elke agentactie in realtime aan de hand van organisatiebeleid, ter vervanging van de mens die anders op goedkeuren zou klikken. Rubrik test de aanpak eerst op zichzelf. Rishi schetste autonomie als een kwestie van oordeel, niet van capaciteit. "If you ask the agent to act autonomously, it will," zei hij. "It's a question that you have internally. Should it?"

Van security theater naar AI-arbitrage

Rubrik kwam via pijnlijke ervaring tot deze aanpak. Toen Claude Code- en Cowork-pilots intern werden gelanceerd, stelde het bedrijf verplicht dat elke opdracht in ask mode werd uitgevoerd, wat betekende dat de werknemer die de opdracht gaf de aansprakelijkheid droeg. De weerstand van ontwikkelaars was hevig en vulde één Slack-thread met 120 berichten.

"The developers basically are pushing back, and they're like, this is like the iTunes service agreement. I'm just hitting check, check, check, check, check, check, check," vertelde Rishi. "There's no way that I can actually read through this. And it becomes security theater."

Die frustratie is wijdverbreid. Onder verwijzing naar onderzoek van Rubrik Zero Labs merkte Rishi op dat ongeveer 80% van de respondenten zich in dezelfde situatie bevindt. De bevindingen komen uit "The State of the Agent", een rapport uit april op basis van een enquête onder meer dan 1,600 IT- en beveiligingsleiders, waarin werd geconcludeerd dat het monitoren en goedkeuren van agentacties meer tijd kost dan de agents zelf besparen.

Rubriks antwoord is SAGE, oftewel de Semantic AI Governance Engine. SAGE fungeert als de arbitragelaag binnen Rubrik Agent Cloud, monitort elke agentactie, interpreteert de semantische intentie erachter en bepaalt of de actie is toegestaan op basis van beleid dat in natuurlijke taal is opgesteld. "We took what people said was human in the loop, a good idea, and we replaced it with AI in the loop," zei Rishi, terwijl hij beschreef hoe hij het concept presenteert aan beveiligingsleiders die hij typeerde als terughoudend tegenover niet-deterministische systemen.

Die verschuiving is belangrijk omdat enterprise-agents verder gaan dan chat en codesuggesties en doordringen tot systemen van record, ticketingwachtrijen, repositories en communicatietools. In die context houdt governance op een documentatieoefening te zijn en wordt het een uitvoeringsprobleem: de controle moet plaatsvinden op het moment dat een agent een tool probeert te gebruiken.

Beveiligingsgoedkeuring, niet kosten, beperkt AI-ROI

Rishi's achtergrond omvat enkele van de invloedrijkste organisaties in AI en machine learning. Voordat hij bij Rubrik kwam, was hij medeoprichter en CEO van Predibase, een startup voor generatieve-AI-infrastructuur die Rubrik in juni 2025 overeenkwam over te nemen. Daarvoor leidde hij ML-product bij Google in het team dat Vertex AI werd, en was hij de eerste productmanager van Kaggle tijdens de groei van ongeveer één miljoen naar tien miljoen gebruikers. Hij heeft een bachelor- en masterdiploma in computerwetenschappen van Harvard.

Tijdens zijn eerste drieënhalve maand bij Rubrik voerde Rishi 200 klantgesprekken met IT- en beveiligingsleiders binnen een klantenbestand dat lijkt op de Global 2000. Hij stelde open vragen over kosten, latency, prestaties en orkestratie.

"Pretty consistently, what I heard through all of those conversations was that all of those are pretty secondary," zei hij. "The main challenge is actually, how do I get this approved from a security and risk standpoint? I'm concerned about all the different things that could go wrong. Actually, I felt like that was one of the biggest things constraining ROI."

Onderzoek van VentureBeat Pulse dat eerder die dag op het Transform-podium werd gepresenteerd, bevestigde wat Rishi bleef horen. De gegevens lieten zien dat 66% van de ondernemingen — twee derde — al productie-implementaties zonder menselijke beoordeling toestaat of daar actief naartoe bouwt, terwijl slechts 5% volledig vertrouwt op de geautomatiseerde evaluaties die zo'n besluit zouden moeten ondersteunen.

Die vertrouwenskloof vormt de commerciële opening voor producten voor agentgovernance, maar legt de lat ook hoog. Als geautomatiseerde beoordeling het mechanisme wordt waarmee agents menselijke goedkeuring kunnen omzeilen, hebben ondernemingen bewijs nodig dat de beoordelingslaag zowel snel genoeg is voor productieworkflows als betrouwbaar genoeg voor beveiligingsteams om te verdedigen.

Eén AI leest wat het regelboek niet kan lezen

Rubriks eigen interne beleid liet zien waarom geschreven regels tekortschieten als handhavingsmechanisme. Eén regel bepaalde dat agents Rubriks beleid voor het gebruik van klantgegevens moeten respecteren — een richtlijn die handhaafbaar klinkt totdat iemand probeert die operationeel te maken.

"Rubrik's customer data use policy is like a three-page document of legal text," zei Rishi. "I have no idea how to write that in there as a rule." Toen hem op het podium werd gevraagd hoe een team van AI-infrastructuurspecialisten een probleem oppakte dat traditioneel bij security engineers ligt, antwoordde Rishi: "with a lot of naivety and innocence, honestly."

De kerninzet van het team was dat modellen die goed zijn in taalbegrip ook effectief toezicht zouden kunnen houden op andere modellen. SAGE kwam daaruit voort. Het argument om een model op de beoordelaarsstoel te zetten draait om precisie. Een regel die agents verbiedt omzetvelden in Salesforce te bewerken, faalt bijvoorbeeld in conventionele tooling omdat Salesforce niet onderscheidt welke velden als omzet gelden. Beheerders worden daardoor gedwongen elke Salesforce-actie handmatig goed te keuren. SAGE leest in plaats daarvan de intentie en gebruikt organisatiecontext om een onschuldige gegevensopvraag te onderscheiden van het soort bewerking dat een beleid verbiedt.

De economische haalbaarheid hangt af van het klein houden van de beoordelaar. SAGE draait op een klein taalmodel dat volgens Rishi een orde van grootte lagere kosten en latency heeft dan een frontier LLM. "If I told you, don't worry, you're gonna be secure and governed, but I'm gonna double your cost and latency, you would tell me to get out of the room," zei hij.

Toen Rishi het publiek vroeg of zij zich het afgelopen jaar zorgen hadden gemaakt over tokenverbruik, stak ongeveer de helft de hand op. "And I guess the other half is probably just too lazy to raise their hand," grapte hij.

SAGE is opgebouwd als een bundeling van gespecialiseerde beoordelaars op basis van parameter-efficiënte fine-tuning, waardoor Rubrik taakspecifieke varianten van een basismodel kan maken die organisatiecontext delen. Eén beoordelaar monitort op hallucinaties bij toolgebruik, een andere onderdrukt persoonlijk identificeerbare informatie voordat die het systeem kan verlaten, en elk werkt als een afzonderlijk afdwingbaar beleid. Beveiligings- en GRC-teams zijn ook begonnen financiële regels in dezelfde laag op te nemen, waaronder een intern beleid dat AI-uitgaven voor persoonlijke projecten verbiedt.

De dodelijke trifecta

Toen hem werd gevraagd welke aanvalsvectoren hem het meest zorgen baren, wees Rishi op wat beveiligingsonderzoeker Simon Willison in juni 2025 de "lethal trifecta" noemde. Het concept beschrijft een agent die tegelijk privégegevens bezit, niet-gecontroleerde externe content verwerkt en beschikt over een kanaal om bevindingen naar de buitenwereld te sturen.

Het kerngevaar, legde Rishi uit, ligt in de manier waarop afzonderlijk legitieme rechten zich kunnen opstapelen. Een agent die zowel Salesforce-toegang als e-mailtoegang heeft via de inloggegevens van een werknemer, heeft op zichzelf nog niets verkeerd gedaan — nog niet.

"A very simple example is that an agent can start pulling data from Salesforce and then decide to accidentally leak and exfiltrate that out via an email," vertelde hij het publiek. Een financiële dienstverlener waarmee Rishi die ochtend sprak, onderstreepte dat punt en vertelde hem dat geen van de afzonderlijke rechten op zichzelf problematisch is en dat de agent ze allemaal echt nodig heeft om zijn taak uit te voeren. "It should have permission to each of those systems, but it's the combination that ends up becoming really destructive," zei Rishi.

Traditioneel identiteits- en toegangsbeheer hield nooit rekening met zulke combinaties, omdat het vertrouwde op het menselijke oordeel van de houder van de inloggegevens — en agents leveren dat niet. "I can tell you the number of times Claude Code has tried to leak some of our sensitive source code to a public GitHub repository is incredibly high," maakte Rishi bekend. Agents volledig afsluiten van publieke bronnen zou hun nut ondermijnen, waardoor de uitdaging terugkeert naar het beoordelen van intentie binnen context in plaats van het breed intrekken van toegang.

Een afzonderlijke VentureBeat June Pulse-enquête onder 107 gekwalificeerde enterprise-respondenten kwantificeerde de impactradius van dit patroon. Onderzoek van VentureBeat dat die ochtend op het Transform-podium werd gepresenteerd, liet zien dat 69% van de bedrijven ergens binnen hun agentvloot gedeelde inloggegevens gebruikt. Organisaties met gedeelde inloggegevens kregen vaker te maken met beveiligingsincidenten of bijna-incidenten, met een percentage van 63.5% (47 van 74), vergeleken met 40.9% (9 van 22) bij organisaties waar elke agent een eigen afgebakende identiteit heeft.

De aanvallen die geen enkele afzonderlijke beurt onthult

Rubrik Agent Cloud werd in februari algemeen beschikbaar, hoewel nog niet elke mogelijkheid die Rishi beschreef al wordt meegeleverd. Backtesting begint net te worden uitgerold. De functie speelt historische agentacties en toolaanroepen van een organisatie opnieuw af tegen een nieuw beleid, waardoor zichtbaar wordt waar het beleid zou hebben ingegrepen en waar een actie onopgemerkt zou zijn doorgekomen, met beleidsaanpassingen die in realtime kunnen worden toegepast. Rishi noemde dit historische archief een van de waardevolste data-assets die een onderneming bezit.

Realtime detectie en blokkering blijken eerder het startpunt dan het volledige product te zijn. Sommige aanvallen activeren nooit een regel voor één afzonderlijke actie. "No individual turn of the conversation was problematic, but if you took the session as a full trace, that ended up being problematic," legde Rishi uit. Agent Cloud voert elk uur of elke dag batchanalyses uit over volledige sessietraces en brengt naar voren wat Rubrik "insights" noemt — problemen die geen enkele afzonderlijke guardrail wist te vangen.

Hetzelfde Zero Labs-rapport stelde vast dat 88% van de organisaties niet in staat is agentacties terug te draaien zonder systemen te verstoren — een herstelkloof die rechtstreeks binnen Rubriks bestaande expertisegebied valt.

Voor beveiligingsteams is rollback de andere helft van handhaving. Een slechte actie blokkeren is alleen nuttig als het systeem die op tijd onderschept; wanneer een agent een meerstapsworkflow voltooit voordat iemand het probleem ziet, hangt de reactie af van de vraag of bekend is wat er is gewijzigd, welke tools zijn gebruikt en of de organisatie de gevolgen kan terugdraaien zonder een bredere storing te veroorzaken.

Een onbeantwoorde vraag

Een sceptische CISO zou de vraag stellen die in de fireside chat niet werd beantwoord. SAGE is zelf een niet-deterministisch model dat andere niet-deterministische modellen beoordeelt, en Rishi gaf geen percentage voor fout-positieven of fout-negatieven van de beoordelaar. Het dichtst dat de architectuur bij een antwoord komt, is auditbaarheid: zowel backtesting als batchinzichten genereren een door mensen te beoordelen spoor van elke beslissing die SAGE nam en elke actie die eraan ontsnapte. Voorlopig wordt de vraag wie de toezichthouder controleert beantwoord met een spoor van bewijzen in plaats van een gepubliceerde benchmark. Tot zo'n benchmark bestaat, blijft AI-in-the-loop een operationele gok in plaats van een gekwantificeerde controlemaatregel.

Uit de sessie komen drie vragen naar voren voor beveiligingsteams die hun eigen paraatheid beoordelen: hoeveel huidige productieguardrails zijn afhankelijk van een mens die op goedkeuren klikt, en wat gebeurt er met die werklast wanneer het aantal agents opschaalt? Dwingt enig onderdeel van de stack semantische intentie af, of steunt alles volledig op allow- en deny-lijsten? En kan het team agentgedrag backtesten tegen een nieuw beleid en een meerstapssessie terugdraaien zonder systemen offline te halen?

Rishi's timing sluit aan bij meetbare marktvraag. Hetzelfde onderzoek van VentureBeat wees uit dat 82% van de ondernemingen nog steeds de ingebouwde guardrails en cloudcontroles van hun primaire AI-provider noemt als belangrijkste beveiligingslaag voor agents, terwijl 59% van plan is binnen de komende 12 maanden agentbeveiligingstooling te adopteren, toe te voegen of te vervangen. Slechts 12% overweegt een agent-identiteitsproduct, terwijl het delen van inloggegevens de norm blijft.

Elke CISO aan die rondetafel van Anthropic had een beleidsdocument, maar miste een handhavingsmechanisme. Rubrik bouwde een product voor de ruimte tussen die twee realiteiten. YOLO mode vertegenwoordigt de inzet dat een AI die andere AI's in de gaten houdt, dat beleid eindelijk operationeel kan maken.