Claude, Codex and Hermes are names you now hear in the boardroom. Each name covers two things: a model that writes text, and a program around it that lets it act on your computers. On top come skills and MCP servers, which your teams install like apps. Five things decide whether that is a productivity gain or a new way in. Claude, Codex en Hermes zijn namen die u nu in de bestuurskamer hoort. Elke naam dekt twee dingen: een model dat tekst schrijft, en een programma eromheen waarmee het op uw computers kan handelen. Daarbovenop komen skills en MCP-servers, die uw teams installeren zoals apps. Vijf dingen bepalen of dat productiviteit oplevert of een nieuwe weg naar binnen.
A model, such as Anthropic's Claude, OpenAI's GPT or Nous Research's Hermes, reads text and writes text. On its own it cannot open a file. The harness is the program around it. It gives the model tools, runs the commands the model asks for, and decides what needs your approval. Claude Code is Anthropic's harness, Codex is OpenAI's, and Hermes Agent is an open-source harness from Nous Research that works with many models.
Business impact: the model decides what to try; the harness decides what is allowed. Most of the security lives in the harness and its settings: which folders, which commands, which network. Claude, and the GPT models behind Codex, run as an online service at their vendor. Hermes models can be downloaded and run on your own servers, so you decide where data goes but also patch them yourself. The same model can be safe in one setup and dangerous in another. So it is worth asking two questions: which model, from which provider, and where does our data go? And which harness, with which permissions?
Een model, zoals Claude van Anthropic, GPT van OpenAI of Hermes van Nous Research, leest tekst en schrijft tekst. Op zichzelf kan het geen bestand openen. De harness is het programma eromheen. Die geeft het model gereedschap, voert de opdrachten uit waar het model om vraagt, en bepaalt wat uw goedkeuring nodig heeft. Claude Code is de harness van Anthropic, Codex die van OpenAI, en Hermes Agent is een opensource-harness van Nous Research die met veel modellen werkt.
Bedrijfsimpact: het model bepaalt wat het probeert; de harness bepaalt wat mag. De meeste beveiliging zit in de harness en de instellingen ervan: welke mappen, welke opdrachten, welk netwerk. Claude, en de GPT-modellen achter Codex, draaien als onlinedienst bij hun leverancier. Hermes-modellen kunt u downloaden en op uw eigen servers draaien: u bepaalt dan waar de gegevens heen gaan, maar houdt ze ook zelf bij. Hetzelfde model kan in de ene opzet veilig zijn en in de andere gevaarlijk. Het loont dus om twee vragen te stellen: welk model, van welke aanbieder, en waar gaan onze gegevens heen? En welke harness, met welke rechten?
Attackers use the same agents to read code and probe systems faster than a person could.Aanvallers gebruiken dezelfde agents om code te lezen en systemen sneller af te tasten dan een mens kan.
A harness set to full access lets the model run any command the user could run.Een harness op volledige toegang laat het model elke opdracht uitvoeren die de gebruiker zelf kan uitvoeren.
Claude Code and Codex both support settings that the organisation fixes for every user.Claude Code en Codex ondersteunen allebei instellingen die de organisatie voor elke gebruiker vastlegt.
An agent is a model and a harness in a loop: it plans, acts, looks at the result and tries again until the task is done. A skill is a folder with instructions, and often scripts, that teaches the agent one task. An MCP server connects the agent to another system, such as a calendar, a ticket system or a database. The MCP project compares it to a USB-C port for AI.
Business impact: Anthropic's documentation describes a skill in levels. Level 1, its name and description, is always loaded. Level 2, the instructions, loads when a task matches. Level 3, the scripts, is run, and only the output reaches the model. Every skill and server widens what the agent can do, and what it can be tricked into doing. They are software your teams install, and worth treating that way.
Een agent is een model en een harness in een lus: hij plant, handelt, bekijkt het resultaat en probeert opnieuw tot de taak klaar is. Een skill is een map met instructies, en vaak scripts, die de agent één taak leert. Een MCP-server koppelt de agent aan een ander systeem, zoals een agenda, een ticketsysteem of een database. Het MCP-project vergelijkt het met een USB-C-poort voor AI.
Bedrijfsimpact: de documentatie van Anthropic beschrijft een skill in niveaus. Niveau 1, de naam en beschrijving, is altijd geladen. Niveau 2, de instructies, laadt als een taak past. Niveau 3, de scripts, wordt uitgevoerd, en alleen de uitkomst bereikt het model. Elke skill en server verbreedt wat de agent kan, en waartoe hij kan worden misleid. Het is software die uw teams installeren, en het loont om het zo te behandelen.
Public skill and server collections grow fast, and AI makes it cheap to publish a convincing fake.Openbare verzamelingen van skills en servers groeien snel, en AI maakt een overtuigende nep goedkoop.
Some agents write and refine their own skills. Hermes Agent does this by design, so the list changes without a person adding to it.Sommige agents schrijven en verbeteren hun eigen skills. Hermes Agent doet dat bewust, dus de lijst verandert zonder dat een mens iets toevoegt.
AI can scan laptops and repositories for skill folders and server settings, and compare them with the approved list.AI kan laptops en repositories doorzoeken op skillmappen en serverinstellingen, en die vergelijken met de goedgekeurde lijst.
Anthropic advises using skills only from trusted sources, and auditing every file in one you did not write. There are two reasons. First, text can hide in plain sight. Unicode tag characters show nothing on screen, yet the AWS Security Blog reports that models can read and act on them (2025). A skill that looks harmless can carry an instruction nobody saw. This is a form of prompt injection. Second, scripts in the scripts/ folder are run, not read. Unless a person opens them, nobody knows what they do.
Business impact: an installed skill works with the agent's rights: your files, your code, often your credentials. A malicious one can send data out or change code, and it looks like normal work. A skill you trust can also change with its next update. OWASP ranks prompt injection first in its Top 10 for AI applications (2025).
Anthropic raadt aan om skills alleen uit vertrouwde bronnen te gebruiken, en elk bestand te controleren in een skill die u niet zelf schreef. Daar zijn twee redenen voor. Ten eerste kan tekst zich in het zicht verbergen. Unicode-tagtekens tonen niets op het scherm, maar volgens de AWS Security Blog kunnen modellen ze lezen en ernaar handelen (2025). Een skill die onschuldig oogt, kan een instructie bevatten die niemand zag. Dit is een vorm van promptinjectie. Ten tweede worden scripts in de map scripts/ uitgevoerd, niet gelezen. Tenzij iemand ze opent, weet niemand wat ze doen.
Bedrijfsimpact: een geïnstalleerde skill werkt met de rechten van de agent: uw bestanden, uw code, vaak uw inloggegevens. Een kwaadaardige skill kan gegevens naar buiten sturen of code wijzigen, en het lijkt op gewoon werk. Een skill die u vertrouwt, kan bij de volgende update ook veranderen. OWASP zet promptinjectie op één in zijn Top 10 voor AI-toepassingen (2025).
Hiding an instruction in invisible characters takes a few lines of code. No expertise is needed to do it.Een instructie verbergen in onzichtbare tekens kost een paar regels code. Daar is geen vakkennis voor nodig.
The agent follows the hidden instruction with your rights, and its log shows a normal task.De agent volgt de verborgen instructie met uw rechten, en zijn logboek toont een gewone taak.
AI can read every script and flag network calls or file access. A simple filter can strip invisible characters first.AI kan elk script lezen en netwerkverkeer of bestandstoegang aanwijzen. Een eenvoudig filter kan eerst onzichtbare tekens verwijderen.
Many MCP servers run on the user's own laptop. The MCP specification warns that they run with the same rights as the AI application that starts them. A malicious startup command or package can then run any command, for example to send private keys out. Other servers run online and hold tokens to your systems. A broad token stolen there opens everything it covers.
Business impact: a connector to the finance system or a mailbox is a new door into it, and the agent decides when to open it. What a server returns can also carry instructions: a poisoned ticket or web page can steer the agent. Before approving one, it is worth asking four things. What starts it? What code and scripts does it bring? What may it reach? And who maintains it?
Veel MCP-servers draaien op de eigen laptop van de gebruiker. De MCP-specificatie waarschuwt dat ze dezelfde rechten hebben als de AI-toepassing die ze start. Een kwaadaardige opstartopdracht of een kwaadaardig pakket kan dan elke opdracht uitvoeren, bijvoorbeeld om privésleutels naar buiten te sturen. Andere servers draaien online en bewaren tokens voor uw systemen. Een ruim token dat daar gestolen wordt, opent alles wat het dekt.
Bedrijfsimpact: een koppeling met het financiële systeem of een mailbox is een nieuwe deur naar binnen, en de agent bepaalt wanneer die opengaat. Wat een server teruggeeft, kan ook instructies bevatten: een vergiftigd ticket of een vergiftigde webpagina kan de agent sturen. Voordat u er een goedkeurt, loont het om vier dingen te vragen. Wat start hem? Welke code en scripts brengt hij mee? Waar mag hij bij? En wie onderhoudt hem?
Attackers plant instructions in tickets, mails and web pages that an agent will read through a server.Aanvallers planten instructies in tickets, mails en webpagina's die een agent via een server leest.
An agent with servers for both mail and files can be steered to read one and send it through the other.Een agent met servers voor zowel mail als bestanden kan worden gestuurd om het ene te lezen en via het andere te versturen.
A central gateway can allow only approved servers and log every tool call for review.Een centrale gateway kan alleen goedgekeurde servers toelaten en elke toolaanroep vastleggen voor controle.
A model can be talked into things; that is what prompt injection means. So protection does not rely on the model saying no. It comes from limits around it. The harness runs in a sandbox that reaches only the project folder. Network access is off or limited to a list. Risky actions wait for a person, and tokens give only what the task needs. OpenAI's documentation, for example, says Codex works inside its workspace by default and asks before going beyond it.
Business impact: with those limits, a tricked agent can do little harm. Without them, it can do anything the user can. Our AI sandbox briefing describes the layers one by one.
Een model kan worden overgehaald; dat is wat promptinjectie betekent. Bescherming hangt dus niet af van een model dat nee zegt. Ze komt van grenzen eromheen. De harness draait in een sandbox die alleen bij de projectmap kan. Netwerktoegang staat uit of is beperkt tot een lijst. Riskante acties wachten op een mens, en tokens geven alleen wat de taak nodig heeft. Volgens de documentatie van OpenAI werkt Codex bijvoorbeeld standaard binnen zijn werkruimte en vraagt het toestemming om daarbuiten te gaan.
Bedrijfsimpact: met die grenzen kan een misleide agent weinig schade doen. Zonder die grenzen kan hij alles wat de gebruiker kan. Onze briefing over de AI-sandbox beschrijft de lagen een voor een.
Agents try many routes to finish a task, so a gap in the sandbox tends to be found.Agents proberen veel routes om een taak af te maken, dus een gat in de sandbox wordt meestal gevonden.
Users who approve every prompt out of habit turn the approval step into a formality.Gebruikers die uit gewoonte elke vraag goedkeuren, maken van de goedkeuring een formaliteit.
Current harnesses ship with sandboxes and approval modes. The work is choosing safe defaults and fixing them centrally.Huidige harnesses hebben sandboxes en goedkeuringsmodi ingebouwd. Het werk zit in veilige standaarden kiezen en die centraal vastleggen.
| Control | Addresses | In one line |
|---|---|---|
| Approved harnesses, managed settings | Model & harness (01) | Teams use agents the organisation chose, with settings fixed centrally. Full access is the exception, not the default. |
| Know the model and the data route | Model & harness (01) | For each agent, record which model it uses, which provider runs it, and where prompts and code go. |
| One approved list | The parts (02) | Agents, skills and MCP servers in use are on one list with an owner. Anything else is removed. |
| Review before install | Skills (03), MCP servers (04) | A person reads every file, including the scripts, and a scan strips or flags invisible characters. |
| Pinned versions | Skills (03), MCP servers (04) | Updates are reviewed like the first install, because a trusted skill or server can change. |
| Narrow tokens per server | MCP servers (04) | Each server gets its own token, read-only where possible, never one key for everything. |
| Sandbox, approvals and logging | What keeps it safe (05) | Agents run sandboxed, risky actions wait for a person, and every action is logged. |
| Maatregel | Pakt aan | In één zin |
|---|---|---|
| Goedgekeurde harnesses, centrale instellingen | Model & harness (01) | Teams gebruiken agents die de organisatie koos, met centraal vastgelegde instellingen. Volledige toegang is de uitzondering, niet de standaard. |
| Ken het model en de route van de data | Model & harness (01) | Leg per agent vast welk model het gebruikt, welke aanbieder het draait, en waar prompts en code heen gaan. |
| Eén goedgekeurde lijst | De onderdelen (02) | Agents, skills en MCP-servers in gebruik staan op één lijst met een eigenaar. Al het andere wordt verwijderd. |
| Controle voor installatie | Skills (03), MCP-servers (04) | Een mens leest elk bestand, ook de scripts, en een scan verwijdert of markeert onzichtbare tekens. |
| Vaste versies | Skills (03), MCP-servers (04) | Updates worden getoetst zoals de eerste installatie, want een vertrouwde skill of server kan veranderen. |
| Smalle tokens per server | MCP-servers (04) | Elke server krijgt een eigen token, waar mogelijk alleen-lezen, nooit één sleutel voor alles. |
| Sandbox, goedkeuring en logging | Wat het veilig houdt (05) | Agents draaien in een sandbox, riskante acties wachten op een mens, en elke actie wordt vastgelegd. |
Teams adopt agents, skills and servers faster than anyone reviews them, and prompt injection has no complete fix yet.Teams nemen agents, skills en servers sneller in gebruik dan iemand ze toetst, en voor promptinjectie bestaat nog geen volledige oplossing.
An agent acts with the user's rights. A tricked one can leak code, data or credentials, or change systems, at machine speed.Een agent handelt met de rechten van de gebruiker. Een misleide agent kan code, gegevens of inloggegevens lekken, of systemen wijzigen, op machinesnelheid.
With an approved list, reviews, narrow tokens and a sandbox, a tricked agent reaches little. Injection itself remains possible.Met een goedgekeurde lijst, controles, smalle tokens en een sandbox bereikt een misleide agent weinig. Injectie zelf blijft mogelijk.
Engineering owns the approved list and the harness settings. The CISO reviews skills and servers before they are approved.Engineering is eigenaar van de goedgekeurde lijst en de instellingen van de harness. De CISO toetst skills en servers voordat ze worden goedgekeurd.
Agents running with full access · skills and MCP servers in use that are not on the approved list · server tokens with write or admin rights · months since the last review of the list.Agents die met volledige toegang draaien · skills en MCP-servers in gebruik die niet op de goedgekeurde lijst staan · servertokens met schrijf- of beheerrechten · maanden sinds de laatste toetsing van de lijst.
“AI agents, skills or MCP servers are used without review, sandbox or narrow rights, so that hidden instructions or malicious code act with our staff's access, which can lead to data leaks, unwanted changes and a notifiable incident.”“AI-agents, skills of MCP-servers worden gebruikt zonder controle, sandbox of smalle rechten, zodat verborgen instructies of kwaadaardige code handelen met de toegang van onze medewerkers, wat kan leiden tot datalekken, ongewenste wijzigingen en een meldplichtig incident.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | NIS2 Art. 21(2) requires measures including supply chain security (d), security in acquisition and development (e), and access control (i). Skills and MCP servers from outside your organisation can fall under all three. The Cyberbeveiligingswet has been in force since 15 August 2026. | If a supplier uses agents on your code or data, ask which ones, with which skills and servers, and what limits they run under. | A leak through a tricked agent can count as a significant incident if it meets the thresholds. Early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. |
| DORA | Art. 9(4)(c) requires access limited to what legitimate, approved functions need, which can cover agents. AI providers can fall under Art. 28 like any other ICT third party. DORA has applied since 17 January 2025. | For ICT providers behind critical functions, ask how they govern agents on your systems, and agree a right to see it in the contract. | Classify promptly. Initial notification within 4 hours of classifying it as major (at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. |
| SOC 2 | Criterion CC6.1 covers logical access, which includes what agents and their tokens can reach. CC8.1 covers change management, which includes changes an agent makes. | Check whether AI agents are in the system description. If they are not, the report says nothing about them. | A leak through an over-privileged agent will likely appear as an exception in the next report. |
| ISAE 3402 | The focus is financial reporting. Agents appear only through general IT controls on access and change, where they touch the financial process. | The report rarely mentions AI agents. Ask in the contract whether agents can change systems under your service, and how that is controlled. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | NIS2 art. 21 lid 2 vereist maatregelen waaronder beveiliging van de toeleveringsketen (d), beveiliging bij aanschaf en ontwikkeling (e), en toegangsbeleid (i). Skills en MCP-servers van buiten uw organisatie kunnen onder alle drie vallen. De Cyberbeveiligingswet is van kracht sinds 15 augustus 2026. | Gebruikt een leverancier agents op uw code of gegevens, vraag dan welke, met welke skills en servers, en binnen welke grenzen. | Een lek via een misleide agent kan als significant incident gelden als het de drempels haalt. Vroegtijdige waarschuwing binnen 24 uur na ontdekking, incidentmelding binnen 72 uur, eindverslag binnen een maand. |
| DORA | Art. 9 lid 4 onder c vereist toegang die beperkt is tot wat legitieme, goedgekeurde functies nodig hebben, wat ook agents kan omvatten. AI-aanbieders kunnen onder art. 28 vallen zoals elke andere ICT-derde partij. DORA geldt sinds 17 januari 2025. | Vraag ICT-leveranciers achter kritieke functies hoe ze agents op uw systemen beheersen, en leg een inzagerecht vast in het contract. | Classificeer snel. Eerste melding binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na ontdekking), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. |
| SOC 2 | Criterium CC6.1 gaat over logische toegang, inclusief waar agents en hun tokens bij kunnen. CC8.1 gaat over wijzigingsbeheer, inclusief wijzigingen die een agent doet. | Controleer of AI-agents in de systeembeschrijving staan. Staan ze er niet in, dan zegt het rapport er niets over. | Een lek via een agent met te veel rechten komt waarschijnlijk als afwijking in het volgende rapport. |
| ISAE 3402 | De focus ligt op de financiële verslaggeving. Agents komen alleen in beeld via algemene IT-beheersmaatregelen voor toegang en wijzigingen, waar ze het financiële proces raken. | Het rapport noemt AI-agents zelden. Vraag in het contract of agents systemen onder uw dienst kunnen wijzigen, en hoe dat wordt beheerst. | ISAE 3402 schept geen meldplicht aan de auditors van gebruikers. Verwacht een afwijking in het volgende rapport en vraag in het contract om tussentijdse melding. |
Checked against: Anthropic Agent Skills and Claude Code documentation, including managed settings (Oct 2026), OpenAI Codex documentation on sandboxing and managed configuration (Oct 2026), Nous Research Hermes Agent (Oct 2026), Model Context Protocol and its security best practices (Oct 2026), OWASP LLM01:2025, Unicode FAQ on tag characters (Oct 2026), Nous Research Hermes 4 model card (Oct 2026), AWS Security Blog (Sep 2025), NIS2 Art. 21 and 23, DORA Art. 9, 28 and 64, RTS (EU) 2025/301 (Feb 2025), NCSC-NL (Aug 2026), AICPA Trust Services Criteria CC6.1 and CC8.1 (2017, points of focus 2022) · October 2026.
Gecontroleerd tegen: documentatie van Anthropic over Agent Skills en Claude Code, inclusief centrale instellingen (okt 2026), documentatie van OpenAI Codex over sandboxing en centrale configuratie (okt 2026), Nous Research Hermes Agent (okt 2026), Model Context Protocol en de beveiligingsrichtlijnen (okt 2026), OWASP LLM01:2025, Unicode-FAQ over tagtekens (okt 2026), Nous Research Hermes 4-modelkaart (okt 2026), AWS Security Blog (sep 2025), NIS2 art. 21 en 23, DORA art. 9, 28 en 64, RTS (EU) 2025/301 (feb 2025), NCSC (aug 2026), AICPA Trust Services Criteria CC6.1 en CC8.1 (2017, aandachtspunten 2022) · oktober 2026.