Welke tools mag een AI-agent gebruiken? Maak eerst een toolkaart

Waarom begint een agent bij rechten en niet bij tools?

Een agent is pas bruikbaar wanneer duidelijk is wat hij mag doen. Een zoekfunctie in openbare handleidingen is een ander risico dan een functie die klantdossiers opent of e-mails verstuurt. Begin daarom bij één afgebakende taak en schrijf op welke informatie echt nodig is. Heeft een supportmedewerker alleen een conceptantwoord nodig, dan kan de agent met een goedgekeurde, alleen-lezen zoekfunctie werken; verzendrechten voegen voor die proef niets toe.

Bij Claude tool use beschrijft Anthropic hoe een model een gestructureerde toolaanroep voorstelt en de uitvoering daarna door de applicatie of dienst gebeurt. Dat onderscheid is belangrijk: het model krijgt geen bevoegdheid door een mooie prompt. De applicatie en de achterliggende bron bepalen welke handeling met welke identiteit daadwerkelijk mogelijk is. Controleer rechten dus buiten het taalmodel, ook wanneer het model zelf belooft voorzichtig te zijn.

Welke velden horen op een toolkaart?

Schrijf voor iedere tool zeven regels op: naam en zakelijk doel; toegestane invoer; mogelijke uitvoer; gegevensbron; lees- of schrijfrecht; verantwoordelijke eigenaar; en grenzen voor tijd, geld en foutafhandeling. Voeg toe welke gebruikersrol de tool mag starten. Eén generieke functie `zoek_alles` is lastig te toetsen; `zoek_goedgekeurde_handleidingen` maakt de grens concreet. Noteer ook of de tool zelf persoonsgegevens teruggeeft en of antwoorden of logs kopieën daarvan bewaren.

Voor een fictieve ticketagent kan de kaart er zo uitzien: `zoek_handleiding`, invoer = onderwerp en productversie, uitvoer = maximaal enkele relevante passages met bron-URL, toegang = alleen geselecteerde openbare handleidingen, eigenaar = supportteam. Als niets past, retourneert de tool expliciet ‘geen bron gevonden’. De agent mag dan een vraag stellen of overdragen. Hij krijgt geen alternatieve brede zoekfunctie om de beperking te omzeilen.

Leg vast welke wijziging een nieuwe controle vereist. Een extra datamap, ruimer OAuth-bereik of nieuwe schrijfactie is een bevoegdheidswijziging, ook als de zichtbare chatinterface gelijk blijft. OWASP beschrijft te veel functies, te ruime rechten en te veel autonomie als afzonderlijke risico's.

Hoe beperk je bevoegdheid technisch?

Gebruik een account of token dat alleen de benodigde bron en handeling kan bereiken. Geef geen beheerdersaccount aan een proef die documenten moet lezen. Laat de achterliggende API opnieuw controleren welke dossiers de aanvrager mag zien; een door het model aangeleverd dossiernummer is geen autorisatie. Scheid ontwikkel- en productiegegevens. Gebruik bij de eerste test openbare of fictieve inhoud, zodat een fout geen echte klantgegevens blootlegt.

Stel maximale aantallen toolaanroepen, een time-out en zo mogelijk een budgetgrens in. Een zoektool die vastloopt, hoort niet eindeloos opnieuw te worden aangeroepen. Google ADK laat zien dat tools afzonderlijke onderdelen van een agent zijn; die scheiding biedt een plek voor validatie en observatie. De precieze instelling verschilt per platform. Beoordeel daarom de feitelijke rechten en technische grens, niet een productnaam of marketingterm.

Welke proef laat zien dat de toolkaart werkt?

Maak vijf fictieve verzoeken: een normale vraag, een onderwerp zonder passende bron, een poging om een verboden dossier te openen, een document met misleidende instructies en een fout van de zoekdienst. Voer die in een afgeschermde omgeving uit. Lees zowel het antwoord als het log van feitelijke toolaanroepen. Een nette weigering in tekst telt niet als succes wanneer intussen toch een ongeoorloofde API-aanroep is gedaan.

Accepteer de tool pas als de normale vraag een controleerbare bron oplevert, het verboden dossier onbereikbaar blijft en alle foutgevallen stoppen of aan een mens worden overgedragen. Bewaar versies van de toolkaart en de testset bij het werkplan. Als een agent later e-mail of CRM mag wijzigen, maak daarvoor een nieuwe, specifiekere kaart en een apart menselijk controlemoment. De basisgids over AI-agents helpt bepalen of een vaste workflow al genoeg is.