17.800 AI-add-ons nemen orders aan van bronnen die niemand heeft geverifieerd. Nu kan het endpoint die van jou blokkeren

De twee lanceringen van 1 september 2026 naast elkaar: links de toeleveringsketen, met 17.800 publieke AI-add-ons die leunen op ongeverifieerde instructiebronnen, verspreid over 6,7 miljoen installaties, skills die zich voordoen als Anthropic en OpenAI en willekeurige code kunnen uitvoeren en 27 procent van het gevondene dat er weer is uitgefilterd, en rechts wat het endpoint nu kan doen: elke draaiende en sluimerende agent inventariseren, traceren van prompt naar identiteit naar tool-aanroep naar systeemactie, en elke agent blokkeren die niemand heeft goedgekeurd, op Windows en macOS tijdens runtime — De ene lancering zegt wat agents stilletjes inladen. De andere zegt dat de machine nu kan weigeren. Ze kwamen op dezelfde dag uit, en dat is het deel dat opvalt.

De meeste weken is het agentnieuws een capaciteit. Deze week was het een poort.

Op 1 september kwamen twee dingen binnen enkele uren van elkaar uit. CrowdStrike onthulde Falcon Guardian, dat elke AI-agent inventariseert die op een machine draait — ook die niemand heeft geregistreerd — en de agents blokkeert die niemand heeft goedgekeurd. En AIR Security kwam uit stealth met 50 miljoen dollar om een inline firewall te bouwen die filtert wat de context van een agent binnenkomt voordat de agent ernaar handelt.

Los gelezen: twee productaankondigingen. Samen gelezen zijn het dezelfde zin vanaf beide kanten: agents komen sneller bedrijven binnen dan wie dan ook ze kan verantwoorden, en de reactie is verschoven van beleid naar handhaving.

1. Wat er werkelijk is geleverd

Twee lanceringen, 1 september 2026

De een gebouwd om agents te zien en te stoppen, de ander om te controleren wat ze inladen

Falcon Guardian ontdekt bekende en schaduw-AI-agents op Windows en macOS, en levert een live inventaris van elke draaiende en sluimerende agent — plus wie hem heeft uitgerold.
Het traceert de uitvoeringsketen van prompt en identiteit via de tool-aanroep tot elke stroomafwaartse systeemactie, in plaats van de agent als één ondoorzichtig proces te behandelen.
De toegangscontroles bepalen welke agents op beheerde endpoints mogen draaien en blokkeren de agents die niet zijn goedgekeurd, tijdens runtime.
AIR Security lanceerde met 50 miljoen dollar over twee rondes — 10 miljoen onder leiding van Sequoia, daarna 40 miljoen onder leiding van Greenoaks — voor een bedrijf dat eerder dit jaar is opgericht en ongeveer 40 mensen telt.
De firewall filtert de instructies, tools en data die op weg zijn naar de context van een agent, niet alleen wat de agent daarna mag doen.
Het onderzoek vond 17.800 publieke AI-add-ons verspreid over 6,7 miljoen installaties die leunen op ongeverifieerde externe instructiebronnen, waaronder skills die zich voordeden als Anthropic en OpenAI en willekeurige code konden uitvoeren.

Let op wie er koopt. AIR meldt ruim 20 bedrijven die het platform al gebruiken, ongeveer een kwart daarvan grote enterprises, met de sterkste vraag uit financiële dienstverlening en farma. Dat zijn de twee sectoren die historisch bepalen hoe de inkoop van alle anderen er achttien maanden later uitziet.

2. De uitdrukking waar je bij moet stilstaan

Niet de financiering. Niet de handhaving. Deze:

Schaduw-AI-agent. Bekend en schaduw, op Windows en macOS.

"Schaduw-AI-agent" is nu een benoemde categorie binnen een beveiligingsproduct, met een live inventaris eraan vast en een blokkeerknop ernaast.

Die formulering heeft een geschiedenis. "Schaduw-IT" was tien jaar lang hoe de branche bottom-up SaaS-adoptie noemde — en bottom-up SaaS-adoptie was diezelfde tien jaar lang de betrouwbaarste distributiestrategie die een softwarefounder had. Je verkocht niet aan de CIO. Je werd geïnstalleerd door de persoon die het ding nodig had, en tegen de tijd dat inkoop het merkte had je vierhonderd seats en een interne pleitbezorger.

Elke agentstartup die ik ken draait op dit moment een versie van dat draaiboek. Een engineer installeert jouw CLI. Een team koppelt jouw MCP-server. Niemand maakt een ticket aan.

De ongemakkelijke symmetrie

Er bestaat nu een product waarvan het uitdrukkelijke werk is om precies die installaties op een lijst te zetten, de persoon te noemen die elke installatie heeft uitgerold, en de installaties te stoppen die nooit zijn goedgekeurd. Jouw distributiestrategie en de detectielogica beschrijven dezelfde gebeurtenis. Dat betekent niet dat jij de dreiging bent waarvoor het is gebouwd — maar de inventaris weet dat op dag één niet, en de securityanalist die hem leest ook niet.

3. Die 17.800 is een ander probleem dan het lijkt

Het is verleidelijk om het cijfer van AIR te lezen als een verhaal over kwaadwillenden die schadelijke skills publiceren. Een deel is dat ook: nep-add-ons in de kleuren van Anthropic en OpenAI om langs de review te komen, is gewoon een aanval.

Maar het grootste deel van die 17.800 is geen kwade opzet. Het zijn add-ons die hun instructies tijdens runtime ergens anders ophalen — een URL, een repo, een gehoste configuratie — omdat dat een volstrekt verstandige manier is om updates uit te brengen zonder opnieuw te publiceren. De toeleveringsketen doet wat toeleveringsketens doen.

Het probleem is wat dat betekent zodra er aan de andere kant een agent staat. Een library die je installeert voert de code uit die je hebt gecontroleerd. Een add-on die tijdens runtime instructies ophaalt, voert tekst uit die later binnenkomt, binnen een contextvenster waaraan jouw inloggegevens en jouw toolrechten hangen. Het is geen dependency in de zin die je dependencyscanner begrijpt. Het is een open kanaal naar het deel van je systeem dat handelt.

Ik schreef over de identiteitshelft hiervan toen de MCP-roadmap de mens uit de lus begon te ontwerpen. Dit is de andere helft: niet wie de agent is, maar waar zijn instructies vandaan kwamen.

4. Als je een agent bij enterprises uitrolt

Dat je gevonden wordt

Ga ervan uit

De aanname dat stille installaties stil blijven heeft een houdbaarheidsdatum, en op Windows- en macOS-endpoints is die vermoedelijk verstreken. Bereid je voor op het gesprek waarin een securityteam jouw naam, het aantal machines en de persoon die je installeerde al heeft. Ontdekt worden is nu het normale geval, niet het faalgeval.

Het goedkeuringsdocument vroeg

Lever

Wat je op een allowlist krijgt is saai en specifiek: onder welke rechten je agent draait, wat hij leest, wat hij mag aanroepen, wat de machine verlaat, hoe hij zich bijwerkt. Als een securityreviewer dat uit je binary moet reverse-engineeren, ben je een bevinding. Als je het op verzoek overhandigt, ben je een leverancier.

Het ophalen van instructies tijdens runtime

Schrap

Als je product na installatie prompts, skills of tooldefinities van je servers haalt, ben je onderdeel van die 17.800. Er kunnen goede redenen voor zijn, maar het maakt je niet te onderscheiden van datgene waarvoor de firewall bestaat. Versioneer het, onderteken het, lever het mee met de release.

Bottom-up als enige route

Heroverweeg

Bottom-up werkt nog steeds om vraag aan te tonen. Het werkt niet meer als het hele pad naar een contract, omdat de stap waarin niemand iets merkt nu is uitgerust met meetapparatuur. Land bottom-up, maar bouw het goedkeuringspad bewust op in plaats van te hopen dat de interne pleitbezorger je erdoorheen draagt.

5. Als je skills en MCP-servers van derden gebruikt

Hetzelfde onderzoek is een waarschuwing die de andere kant op wijst. De meeste founders die agentproducten uitrollen draaien ook, stilletjes, twintig add-ons van iemand anders in hun eigen stack.

Wat je werkelijk hebt geïnstalleerd

Inventariseer

Vraag je team om de lijst van MCP-servers, skills en plugins die verbonden zijn met iets met productiecredentials. De lijst is bijna altijd langer dan de founder verwacht, en niemand is er eigenaar van, omdat er één installeren tien seconden duurt en op configuratie lijkt in plaats van op een dependency.

Gecontroleerde code van tekst die binnenkomt

Scheid

Behandel een add-on die tijdens runtime instructies ophaalt als een onvertrouwd invoerpad, niet als een library. De bruikbare vraag is niet "is dit pakket populair" maar "wat kan dit ding morgen tegen mijn agent zeggen wat het vandaag niet zei, en wat zou mijn agent daarmee doen".

De schade voordat je vertrouwt

Begrens

Beperkte credentials en een aparte uitvoeringscontext winnen het van vooraf doorlichten, omdat doorlichten een momentopname is over een kanaal dat open blijft. Ga ervan uit dat één add-on ooit fout gaat en maak dat overleefbaar, in plaats van te proberen te garanderen dat het nooit gebeurt.

De volledige forensische tijdlijn van het OpenAI-agentlek is de versie hiervan die al heeft plaatsgevonden, en de vorm was dezelfde: de agent was niet gecompromitteerd, datgene wat hij vertrouwde wel.

6. Wat ik niet zou concluderen

Dit is niet het einde van bottom-up. Handhaving is een capaciteit die je moet aanzetten, afstellen en bemensen. De meeste bedrijven zullen lang ontdekking draaien voordat ze blokkeren draaien, want een vals positief die de codeeragent van een engineer om zeep helpt is een duur ticket. De inventaris komt ruim voor de blokkade.

Twee lanceringen op één dag zijn een signaal, geen markt. Leveranciers clusteren aankondigingen rond conferenties, en Fal.Con was die week. Wat het de moeite waard maakt om over te schrijven, is dat de een een gevestigde partij is die handhaving toevoegt en de ander een zes maanden oud bedrijf dat 50 miljoen ophaalt op dezelfde premisse — maar dat blijven twee datapunten, en ik lees er een richting in.

De 17.800 van AIR is hun eigen onderzoek. Het komt van een bedrijf dat de oplossing verkoopt voor wat het heeft gemeten, wat het niet onjuist maakt — de bevinding over merkimitatie is concreet en controleerbaar — maar de afbakening van wat als "onvertrouwd" telt is van hen, en het filterpercentage van 27 procent suggereert dat het ruwe cijfer nog ruiziger was.

De eerlijke samenvatting

Het interessante aan 1 september is geen van beide producten. Het is dat de vraag verschoof van "kun je agents vertrouwen" naar "welke agents draaien hier, wie heeft ze neergezet, en horen ze hier". Dat is een operationele vraag, en operationele vragen worden beantwoord door tools, en tools worden gekocht.

Voor founders die agents uitrollen is de praktische verschuiving klein en vervelend: het moment waarop niemand je opmerkte was dragend, en dat wordt weggemeten. Wat ervoor in de plaats komt is niet slechter, alleen trager en explicieter — een goedkeuringsdocument, een benoemde eigenaar, een scope die je op één pagina kunt beschrijven.

Voor founders die agents draaien is de verschuiving groter. Je dependencylijst is nu ook een instructielijst, en die tweede is nooit door iemand nagekeken. 17.800 add-ons en 6,7 miljoen installaties is geen verhaal over de beveiligingshouding van anderen. Het is een redelijke schatting van hoeveel van die kanalen op dit moment openstaan binnen doodgewone bedrijven, het jouwe inbegrepen.

Bronnen: Persbericht van CrowdStrike, "CrowdStrike Unveils Falcon Guardian to Secure AI Agents Where They Execute" · SiliconANGLE over Falcon Guardian · SiliconANGLE over de lancering van AIR Security · SecurityWeek over de ronde van AIR Security · Productcapaciteiten, financiering en onderzoekscijfers zijn zoals gerapporteerd; het distributieargument en de kanttekeningen in sectie 6 zijn van mij.

De MCP-roadmap geeft toe dat het protocol is gebouwd voor een mens achter een laptop24 augustus 2026

Three Companies, One Agent: The Full Forensic Timeline of the OpenAI Breach — and the Perimeter Founders ForgotJuly 30, 2026

Perplexity Beat Amazon Because of Where Its Code RunsAugust 9, 2026

IdeaToMVP Academy

Want to build with AI — not just read about it?

4-week live cohort for founders. Learn to ship AI agents, scope MVPs, and automate your business — taught by the same team that writes these guides.

Explore the Academy →