Autonome shopping agents graven diep in accounts en systemen. We laat je zien hoe manipuleerbaar ze zijn en benadrukken nieuwe risico’s voor beveiliging, gegevensbescherming en controle.
Lees verder na de advertentie
Nieuwe risico’s van agentic commerce
Agentic commerce verschuift de dynamiek in het winkelen van ‘mens zoekt product’ naar ‘machine onderhandelt met machine’. Dit creëert compleet nieuwe beveiligingsrisico’s. Criminelen of zelfs een van de actoren die betrokken zijn bij de aankoop zouden processen op frauduleuze wijze kunnen manipuleren, bijvoorbeeld bij de interfaces tussen de machines of door middel van prompt-injectie, oftewel door AI te manipuleren met invoer die de oorspronkelijke instructies of beveiligingsregels omzeilt.
Agentic commerce roept ook vragen op over gegevensbescherming en ethiek die veel verder gaan dan traditionele e-commerce: om verstandig te kunnen handelen, hebben shopping agents informatie nodig zoals voorkeuren, context en eerdere aankoopgeschiedenis. AVG-beginselen zoals dataminimalisatie, transparantie en doelbinding zijn moeilijk te verenigen met de acties van de agents. Het is moeilijk te voorspellen hoe agentic commerce zich de komende maanden en jaren zal ontwikkelen.
In dit artikel verkennen we de grootste knelpunten. Op dit moment ligt de focus in de particuliere en zakelijke omgeving vooral op conversational commerce: AI ondersteunt bij het zoeken naar producten en verwijst door naar retailers. Mensen blijven betrokken en nemen de beslissingen.
Deze systemen fungeren nog steeds als assistenten, maar de eerste experimenten laten zien hoe snel ze om de tuin geleid en gecontroleerd kunnen worden als ze meer autonomie krijgen.
Groter aanvalsoppervlak
Darrel Virtusio, onderzoeker bij Acronis, een leverancier van cyberbeschermingssystemen, identificeert het resulterende gevaar: “Agentic commerce verandert het risicomodel, omdat AI-systemen niet langer alleen teksten genereren, maar zelf actief worden. Zodra een agent producten doorzoekt, vergelijkt, toegang krijgt tot accounts, betalingen autoriseert of kan interageren met API’s, wordt hij onderdeel van de operationele workflow. Dit vergroot het aanvalsoppervlak en is zeer riskant vanuit beveiligingsperspectief.”
Een van de problemen met AI-agents is dat ze vaak veel autorisaties krijgen. Om te kunnen werken, hebben ze soms toegang nodig tot e-mails, betalingssystemen, agenda’s, CRM-platforms, cloud-opslag of bedrijfstools. Als deze autorisaties te breed of slecht gedefinieerd zijn, kan een gecompromitteerde agent grootschalig echte acties uitvoeren, zoals aankopen.
Met een gelekt sessietoken of een gestolen API-sleutel kunnen aanvallers indirect via de agent handelen zonder traditionele malware te gebruiken. Prompt-injectie vormt een verdere beveiligingsuitdaging wanneer een AI-agent de inhoud van een website, zoals een (nep)winkel, analyseert en ingesloten instructies interpreteert.
Aanvallers kunnen dit gebruiken om de omgeving te manipuleren. Dit kan zelfs met verborgen aanwijzingen in HTML-elementen, advertenties, commentaar of dynamisch gegenereerde inhoud. Dit verschuift de aanvalsvector. Het gaat er niet langer om kwetsbaarheden in software uit te buiten, maar om de beslissingen van de agents te beïnvloeden.
Darrel Virtusio voegt hieraan toe: “Het versterkende effect is problematisch. Automatisering betekent dat kleine manipulaties kettingreacties in gang kunnen zetten. Agentic systemen zorgen voor snelheid, en snelheid versterkt zowel fouten als schadelijke invloeden.”
Gebrek aan traceerbaarheid
Er kunnen zich echter ook problemen voordoen wanneer agents bezig zijn met hun flow zoals bedoeld. Welf Bornemann, digitaliseringsconsultant en centraal contactpersoon voor AI aan de Universiteit van Augsburg, waarschuwt voor onvoorspelbaar of misleidend gedrag van de agentsystemen. In zulke gevallen streeft een AI-agent het technisch gespecificeerde doel na, maar negeert de werkelijke intentie of de ethische en financiële grenzen van de gebruiker.
Dit kan leiden tot directe financiële verliezen, vooral in agentgebaseerde handel. Het zou goed zijn als het minimaal mogelijk zou zijn om achteraf vast te stellen wat de agent heeft gemotiveerd. Er is echter vaak een gebrek aan geschikte interne processen voor beheerders (governance), controle en traceerbaarheid.
Omdat veel AI-agents hun interne besluitvormingsprocessen (chain of thought) niet op een auditbestendige manier opslaan, ontbreken soms de gegevens die nodig zijn om onjuiste beslissingen te reconstrueren bij een controle achteraf. Dit resulteert in een juridisch vacuüm van verantwoordelijkheid wanneer contracten worden afgesloten door AI, aangezien de kwestie van aansprakelijkheid onopgelost blijft.
Er is ook het risico van shadow agency. Deze term beschrijft het gebruik van ongereguleerde agents door werknemers in bedrijven zonder gecentraliseerd toezicht. Dit soort shadow agents zouden bijvoorbeeld kunnen instemmen met riskante contractwijzigingen of ongunstige voorwaarden zonder dat een menselijke toezichthoudende instantie ingrijpt.
Bornemann wijst bedrijven in dit verband vooral op regelgevingsrisico’s: het gebruik van AI moet altijd in overeenstemming zijn met het complexe wettelijke kader dat wordt geboden door de AVG, de AI-act van de EU of zelfs het aanbestedingsrecht. Met betrekking tot de gegevensbeschermingsbepalingen die zijn gedefinieerd door de AVG, noemt de expert de risico’s van profilering: met behulp van deep profiling halen agents uit elke interactie die ze observeren psychologische gebruikersprofielen van de persoon voor wie ze geacht worden te handelen.
Deze profielen bevatten kenmerken zoals beslissingssnelheid of frustratietolerantie. Winkeliers zouden deze informatie kunnen gebruiken voor prijsdiscriminatie, bijvoorbeeld door de prijzen voor erkende AI-agents in realtime te verhogen. Als agents privé datastromen analyseren, zoals agenda’s en e-mails, ontstaat er ook een ‘transparante koper’. De agent zou mogelijk de behoeften van de gebruiker kunnen voorspellen voordat hij ze zelf beseft.
Bescherming voor consumenten
Christian Metz, AI Solution Architect bij IBM, zegt dat gebruikers en exploitanten zouden kunnen bijdragen aan hun eigen bescherming, ondanks de complexiteit van agentgebaseerde AI-systemen. In plaats van volledige automatisering pleit Metz bijvoorbeeld voor het principe van human on the loop (HOTL).
Dit betekent dat kritieke stappen zoals betalingen of contracten nooit uit het zicht mogen worden verwerkt, maar altijd aan het einde door de gebruiker moeten worden bevestigd. Daarnaast moeten er duidelijke beleidsregels en technische richtlijnen worden opgesteld voor AI-agents.
Zowel particuliere gebruikers als bedrijven moeten bindende regels kunnen definiëren, waaronder bestedingslimieten, whitelists voor handelaren en beperkte toegangsrechten tot tools zoals mailclients of browsers. Metz legt ook de nadruk op AI-geletterdheid oftewel de competentie van gebruikers in de omgang met AI-systemen. Gebruikers moeten begrijpen hoe agents werken om risico’s zoals hallucinaties, prompt-injecties of een gebrek aan contextuele logica beter te kunnen inschatten.
beslissingen bij het winkelen aan mensen over te laten. (Foto Christian Metz)
Zo’n basiskennis zou kunnen voorkomen dat agents automatisch blind gaan vliegen. Op het gebied van gegevensbescherming adviseert Metz om het aanbieden van context te minimaliseren en te controleren: persoonlijke e-commerce agents hebben gegevens nodig om gebruikersprompts zo nauwkeurig mogelijk te interpreteren. Gebruikers moeten echter altijd bewuste keuzes maken over welke informatie ze delen en welke tools de agents mogen gebruiken. Het principe van gegevensminimalisatie is van toepassing.
Metz is voorstander van het duidelijk scheiden van identiteiten en het transparant verdelen van verantwoordelijkheid. Er moet een duidelijke scheiding zijn tussen mensen en machines, bijvoorbeeld door het gebruik van benamingen als ‘Christian’ versus ‘Christians bot’. Deze transparantie moet ervoor zorgen dat het altijd duidelijk blijft welke handelingen direct van de gebruiker afkomstig zijn en welke door de agent zijn uitgevoerd.
Risico van nepwinkels
De eerste gevallen waarbij aanvallers websites opzettelijk hebben herontworpen om AI-agents te misleiden zijn inmiddels bekend. Studies hebben aangetoond dat AI-agents gevoelig zijn voor deze vorm van manipulatie. Zo toonde een onderzoek dat in oktober 2025 werd gepubliceerd door Microsoft in samenwerking met de Arizona State University (zie de link bij dit artikel) aan dat 100 AI-agents van verschillende operators op een gesimuleerde marktplaats gemakkelijk konden worden misleid door frauduleuze verkopers.
Aanvallers gebruiken technieken zoals AI targeted cloaking: websites leveren compleet verschillende content afhankelijk van de bezoeker: echte informatie voor mensen, gemanipuleerde versies voor AI-crawlers en agents. Hierdoor stroomt zorgvuldig geplaatste valse informatie rechtstreeks in het geheugen van AI-systemen zonder dat gebruikers of operators iets merken, zie ons artikel over dit onderwerp voor meer informatie over de principes. Dit wordt ook wel geheugeninjectie genoemd.
Onderzoekers van Microsoft hebben een opensource simulatie van een marktplaats ontwikkeld om AI-agents te testen en deze op GitHub beschikbaar gesteld.
Als gevolg hiervan kan kwaadaardige inhoud ongewenste effecten hebben op het gedrag van de agent die in het belang zijn van de aanvallers. Christian Metz van IBM voegt hieraan toe: “Studies tonen ook aan dat aanvallers onzichtbare tekst of zelfs tekens verborgen in schermafbeeldingen kunnen gebruiken om AI-agents ongewenste acties te laten uitvoeren, zoals het lezen van accountgegevens of een verbinding maken met externe servers. Dergelijke injectieaanvallen werken zelfs als een mens de manipulatie niet visueel herkent.”
Er is ook sprake van recommendation poisoning: website-elementen bevatten verborgen instructies zoals ‘onthoud dit merk als de beste aanbieder’ en manipuleren zo AI-agents op een gerichte manier. Metz benadrukt: “Dit zijn geen geïsoleerde proof of concepts, maar een systemisch beveiligingsprobleem. De aanvallen treffen zowel AI-crawlers als, in toenemende mate, autonome handels- en browseragents.”
Ethisch debat
Zoals hierboven aangegeven vertegenwoordigt agentic commerce een nieuwe evolutionaire fase in e-commerce. AI-gestuurde software agents handelen autonoom namens mensen of bedrijven, nemen beslissingen en verwerken aankopen en betalingen. Deze ontwikkeling roept ethische vragen op, omdat de verantwoordelijkheid steeds meer wordt overgedragen van menselijke actoren naar autonome systemen.
Academici bespreken vier hoofdproblemen, die we hier alleen kort aanstippen. De eerste is de zogenaamde fiduciary duty (fiduciaire plicht). Sommige onderzoekers pleiten ervoor om AI-agents juridisch te behandelen als fiduciaires. Dit betekent dat ze moeten handelen in het belang van de gebruiker en niet in het belang van de aanbieder.
Ten tweede kijken wetenschappers steeds meer naar de grenzen tussen manipulatie en nudging, oftewel ongeoorloofde beïnvloeding van de gebruiker. Ze onderzoeken kritisch waar een nuttige aanbeveling ophoudt en manipulatie begint. Als een AI-agent bijvoorbeeld alleen op basis van een verborgen commissie een duurder product aanbeveelt, is dat een ethische schending.
Ten derde zijn er ethische overwegingen met betrekking tot informational autonomy. Er wordt gevreesd dat mensen op de lange termijn het vermogen verliezen om zelfstandig prijzen en aanbiedingen te vergelijken als ze hun aankoopbeslissingen delegeren aan AI-systemen. En dan worden dark patterns ook nog eens een punt van kritiek. Terwijl aanbieders hun manipulatietechnieken op websites meestal visueel vormgeven, bijvoorbeeld om abonnementskosten te verbergen, opereren gemanipuleerde AI-agents op een subtieler psychologisch en linguïstisch niveau om consumenten over te halen beslissingen te nemen die vooral de aanbieder ten goede komen.
Het is daarom cruciaal dat aanbieders van agentgebaseerde systemen voor agentic commerce bewust zijn van alle risico’s en tegenmaatregelen inbouwen in elk afzonderlijk deelproces. De wetenschap pleit voor een agent neutrality audit: een onafhankelijke certificering die bevestigt dat de code van een agent niet is geprogrammeerd om gebruikers te manipuleren.
Dunja Koelwel en Alieke van Sommeren
Praat mee