Uber deelt zijn beveiligingssysteem voor AI-agents als open source

TL;DR

• Wat: Uber heeft ADR (Agentic AI Detection and Response) open source gemaakt — het systeem waarmee het bedrijf intern AI-agents zoals Claude Code en Cursor beveiligt.
• Waarom relevant: Steeds meer bedrijven laten medewerkers met AI-agents werken, maar slechts 9% van het Nederlandse MKB heeft daar formeel beleid voor.
• Wat je ermee kunt: Gebruik ADR als referentiekader om te inventariseren welke AI-tools je medewerkers gebruiken en welke risico's daarbij horen.

Ik stuitte op een bericht van @RoundtableSpace over een beveiligingssysteem dat Uber als open source heeft vrijgegeven. Het heet ADR — Agentic AI Detection and Response — en het is gebouwd om grip te houden op de AI-agents die Uber-medewerkers dagelijks gebruiken. Wat mij hier opvalt: dit is geen theoretisch framework, maar software die tien maanden in productie heeft gedraaid bij een bedrijf met meer dan 50.000 agent-sessies per dag.

Waarom Uber dit heeft gebouwd

Het probleem dat Uber tegenkwam is herkenbaar voor ieder bedrijf waar medewerkers met AI-tools werken. Bestaande beveiligingssoftware kon wel zien wat een AI-agent deed — een bestand openen, een commando uitvoeren — maar niet waarom. En dat 'waarom' is precies het verschil tussen een onschuldige actie en een beveiligingsrisico.

Uber-CTO Praveen Neppalli Naga verwoordde het zo: "Intent is what separates a malicious session from a benign one, and intent is the part the existing stack cannot see." Vrij vertaald: de intentie achter een actie is precies het stuk dat traditionele beveiliging mist.

Dat klinkt misschien abstract, dus laat me het concreter maken. Stel dat je als ondernemer een AI-agent gebruikt om code te schrijven. Die agent vraagt toegang tot een configuratiebestand. Is dat omdat hij een bug oplost, of omdat hij — per ongeluk of door een kwaadaardige prompt — gevoelige wachtwoorden probeert te lezen? Zonder de context van de hele conversatie en het doel van de sessie kun je dat niet weten. ADR probeert precies die context te vangen.

Wat ADR doet — in begrijpelijke termen

ADR bestaat uit een paar onderdelen. Niet alles is open source gemaakt — sommige componenten houdt Uber intern — maar de kern is publiek beschikbaar op GitHub onder een Apache 2.0-licentie.

Discovery: weten wat er draait

Het eerste onderdeel inventariseert welke AI-tools er daadwerkelijk op de laptops en systemen van medewerkers draaien. Niet alleen wat er geïnstalleerd is volgens een configuratiebestand, maar wat er op dit moment actief is. Denk aan AI-extensies in code-editors, chatbots, CLI-tools en MCP-servers.

Ik vind dit eerlijk gezegd een van de meest praktische onderdelen. Want hoe kun je iets beveiligen als je niet eens weet dat het er is? Bij Uber bleken er ruim 30.000 mogelijke endpoints te zijn — voornamelijk laptops van ontwikkelaars.

Detectie: een tweetraps-systeem

ADR werkt met twee lagen. De eerste laag is een snelle scan die routinesessies doorlaat. Alleen verdachte sessies gaan door naar de tweede laag, waar een diepere analyse plaatsvindt met behulp van broncode en dreigingsinformatie.

Dit is slim ontworpen voor schaal. Als je 50.000 sessies per dag hebt, kun je niet iedere sessie met een zwaar analysemodel doorlichten. Vergelijk het met een portier bij een evenement: de meeste bezoekers worden snel doorgewuifd, maar wie er verdacht uitziet wordt apart genomen voor een grondiger check.

Benchmark: meten in plaats van vertrouwen

Uber heeft ook ADR-Bench uitgebracht: een benchmark met 302 taken, 133 MCP-servers en dekking van 17 bekende aanvalstechnieken. Wat mij hier opvalt is dat dit de industrie voor het eerst een gedeelde meetlat geeft. Tot nu toe moest je afgaan op de claims van beveiligingsleveranciers. Nu kun je zelf testen.

De cijfers uit de praktijk

Een paar bevindingen uit tien maanden productiegebruik bij Uber die ik noemenswaardig vind:

• ADR blokkeerde 97,2% van de pogingen tot onbedoelde credential-blootstelling — situaties waarbij AI-agents per ongeluk wachtwoorden of toegangssleutels lekten.
• Het systeem vond honderden gevallen van gelekte inloggegevens verspreid over 26 categorieën.
• De voornaamste dreiging bleek niet de spectaculaire hack, maar het per ongeluk lekken van gevoelige gegevens door agents die gewoon hun werk doen.

Dat laatste punt vind ik interessant. We denken bij AI-beveiliging al snel aan aanvallen van buitenaf, maar het grootste risico bij Uber bleek onbedoeld datalekken te zijn.

Nog een opvallend inzicht: bij meer dan 50 goedkeuringsverzoeken per sessie wordt menselijk toezicht ineffectief. Medewerkers klikken dan op 'ja' zonder echt te lezen — een fenomeen dat je kunt vergelijken met het blindelings accepteren van cookiemeldingen.

Wat betekent dit voor Nederlandse ondernemers?

Je denkt misschien: Uber is een techgigant met duizenden ontwikkelaars, dit is niet relevant voor mijn bedrijf. Ik denk dat het juist wel relevant is, en wel hierom.

Volgens recent onderzoek van ABN AMRO is het Nederlandse MKB onvoldoende voorbereid op digitale risico's rondom AI. Slechts 9% van het MKB heeft formeel beleid voor het gebruik van externe AI-oplossingen. Ondertussen verwacht 86% van de Nederlandse IT-securitybeslissers dat AI-agents sneller groeien dan de interne beveiligingsrichtlijnen kunnen bijhouden.

De kans is groot dat medewerkers in jouw bedrijf al AI-tools gebruiken — ChatGPT, Copilot, Claude, of een van de tientallen andere opties. De vraag is: weet je welke? En weet je wat die tools kunnen zien en doen?

Je hoeft ADR niet zelf te installeren. Maar de aanpak die erachter zit — inventariseren, monitoren, beleid formuleren — is voor iedere ondernemer toepasbaar. Begin met drie vragen:

1. Welke AI-tools gebruiken mijn medewerkers op dit moment?
2. Tot welke bedrijfsdata hebben die tools toegang?
3. Hebben we afspraken over wat wel en niet mag?

Kun je je voorstellen wat het betekent als een AI-agent onbedoeld klantgegevens of financiële informatie meeneemt in een prompt die naar een extern model wordt gestuurd? Dat is geen sciencefiction — dat is precies het type incident dat ADR bij Uber in de praktijk heeft aangetroffen.

Een reflectie

Wat ik het meest waardevolle vind aan deze release is niet de software zelf, maar het signaal. Een bedrijf als Uber — dat AI-agents op grote schaal inzet — zegt eigenlijk: de bestaande beveiligingstools zijn niet toereikend voor deze nieuwe manier van werken. En in plaats van dat als bedrijfsgeheim te houden, delen ze hun aanpak.

Ik denk dat we over een jaar terugkijken op 2026 als het moment waarop 'agent governance' van een niche-onderwerp naar een standaard bedrijfsproces is verschoven. Voor mij is dit vooral een signaal dat het niet te vroeg is om hier als ondernemer over na te denken — ook als je geen techbedrijf runt.