Elke AI-agent hoort alleen toegang te hebben tot de tools, handelingen en gegevens die zijn rol nodig heeft. Een onderzoeksrol heeft misschien openbare zoekopdrachten nodig en een plek om bevindingen op te slaan. Dat geeft die rol nog geen reden om een klantdossier te wijzigen of iemand voor een afspraak uit te nodigen.
Toolwildgroei (in het boek: toolversnippering) begint wanneer je tools aan het platform of de sessie als geheel koppelt in plaats van aan een rol. Toegang stapelt zich dan op over uiteenlopende taken, zonder bijpassende rechtengrens. Elke koppeling had een begrijpelijke aanleiding. Samen laten ze één rol ver buiten zijn opdracht handelen. Geef je drie agents elk een eigen naam maar dezelfde koppelingen, dan heb je rolscheiding op papier, maar geen scheiding van rechten.
Een toolmatrix legt die grens vast: welke rol welke handeling mag uitvoeren, op welke bronnen en met wiens goedkeuring. Hoofdstuk 5 van Het agent-droomteam behandelt de matrix in de S-stap van ROSTER: vaardigheden en tools. Het verschil zit tussen toegang die toevallig aanstaat en toegang die je kunt verantwoorden met een afgesproken output.
Tot welke tools moet elke AI-agent toegang hebben?
Begin bij de outputs in het agent-charter van de rol. Stel bij elke voorgestelde toegang één vraag: welke afgesproken output kan deze rol zonder die toegang niet leveren?
Voor een openbare concurrentieverkenning heb je openbare bronnen nodig en een plek voor de samenvatting. Wie een aangeleverd concept redigeert, heeft dat concept en schrijfrechten nodig. Een goedgekeurde afspraak inplannen kan niet zonder agendatoegang. Het werk van de rol bepaalt het gereedschap, ook als hetzelfde model alle drie de rollen aandrijft.
Pas die toets toe op handelingen, niet alleen op diensten. “Documentopslag” is te grof. Bronnotities lezen, een samenvatting aanmaken in research/, een contract overschrijven en een map verwijderen zijn vier aparte rechten. Benoem welke bronnen de rol mag raken en of hij daar mag lezen, aanmaken of wijzigen.
Laat elke rol beginnen met een lege toolset. Voeg toe wat de outputs vragen. Valt een taak buiten het charter, dan gaat die terug naar jou of naar de rol waar die taak bij hoort. Breid toegang pas uit als je hebt besloten dat het werk zelf is veranderd.
Wat hoort er in een toolmatrix?
Zet de rollen in de kolommen en de tools of handelingen in de rijen. Vul elke cel met een eenduidige waarde: geen toegang, lezen, schrijven binnen een benoemde grens, alleen concept (oprichter verstuurt) of uitvoeren na menselijke bevestiging. Houd opstellen en versturen gescheiden.
Leg bij elke toekenning vast:
- De output die de toegang nodig maakt.
- De toegestane handeling en de bron waarop die werkt.
- De maatregel die de grens afdwingt.
- Wie goedkeurt en via welk mechanisme, als er een poort geldt.
- De datum van toekenning en de volgende herzieningsdatum.
Zet het huidige vertrouwensniveau van de rol in dezelfde tabel. Een lijst gekoppelde diensten vertelt je niet of de redacteur bronnotities mag wijzigen, of dat een agendawijziging op jouw akkoord moet wachten. De matrix maakt die keuzes leesbaar, zonder dat je hoeft te reconstrueren hoe alles ooit is ingesteld.
Een menselijke poort is geen reden om een overbodige tool toch aan een rol te hangen. Stel eerst vast of de rol de handeling nodig heeft. Pas daarna bepaal je hoe je de uitvoering bewaakt.
Uitgewerkt voorbeeld: van gedeelde koppelingen naar afgebakende rollen
Dit voorbeeld is hypothetisch en gebaseerd op het startrooster uit hoofdstuk 5. Een solo-oprichter wil een concurrentieoverzicht, een nieuwsbriefconcept en hulp bij het plannen van afspraken. De Onderzoeksspecialist, de Conceptredacteur en de Ops-coördinator erven aanvankelijk allemaal dezelfde koppelingen voor zoeken, documenten, agenda, inbox en CRM.
De eerste audit vraagt wat elke rol werkelijk oplevert. Het concurrentieoverzicht vraagt om openbare bronnen en opslag voor samenvattingen. De nieuwsbriefrol heeft nagekeken samenvattingen en een conceptmap nodig. Afspraken voorbereiden hoort bij de Ops-coördinator. Noch het concurrentieoverzicht, noch het nieuwsbriefconcept heeft het CRM nodig.
Dit is de voorgestelde vervanging:
| Tool of bron | Onderzoeksspecialist | Conceptredacteur | Ops-coördinator |
|---|---|---|---|
| Openbaar webzoeken en pagina’s ophalen | Alleen openbaar onderzoek | Geen toegang | Geen toegang |
research/: alleen samenvattingen van openbare bronnen | Samenvattingen lezen en schrijven | Lezen | Geen toegang |
concepten/: interne nieuwsbriefconcepten | Geen toegang | Concepten lezen en schrijven | Geen toegang |
| Agenda | Geen toegang | Geen toegang | Lezen; oprichter bevestigt elke schrijfactie |
| Privétakenlijst | Geen toegang | Geen toegang | Lezen en schrijven |
Interne map wacht-op-verzending/ | Geen toegang | Geen toegang | Conceptberichten aanmaken |
| Inbox en e-mail versturen | Geen toegang | Geen toegang | Geen toegang |
| CRM, betalingen en publiceren | Geen toegang | Geen toegang | Geen toegang |
| Huidig vertrouwensniveau | L2 | L2 | L2 |
Voor dit voorbeeld nemen we aan dat elke rol het agent-inwerkprotocol uit het boek heeft doorlopen en op L2 staat. Een output gaat alleen door als hij voldoet aan vooraf opgeschreven voorwaarden die je buiten het model om kunt controleren; de rest wordt gemarkeerd voor jouw beoordeling. Ingrijpende handelingen vragen nog altijd bevestiging.
Volg nu één opdracht door het ontwerp. De oprichter wil weten wat drie concurrenten in hun instappakket opnemen en wat dat pakket kost. De Onderzoeksspecialist gebruikt openbare webpagina’s en schrijft research/concurrentieoverzicht.md. Nadat de oprichter dat bestand heeft nagekeken, leest de Conceptredacteur het en schrijft concepten/nieuwsbrief.md. Ontbreekt er een prijs, dan stuurt de Conceptredacteur een onderzoeksvraag terug naar de Onderzoeksspecialist. De redacteur krijgt geen eigen zoekkoppeling om de deadline te halen.
De Ops-coördinator werkt vanuit een aparte opdracht van de oprichter. De coördinator stelt een afspraak voor en wacht tot de oprichter het onderwerp, het tijdstip en de deelnemers heeft bevestigd voordat er iets in de agenda verandert. Een begeleidend bericht komt als concept in wacht-op-verzending/; de oprichter leest het na en verstuurt het zelf. Geen enkele map in dit voorbeeld verstuurt of publiceert iets.
Houd klantopdrachten en vertrouwelijke dossiers buiten research/. Zet versiegeschiedenis aan voor de concepten en de privétakenlijst. Dwing de maprechten af: de onderzoeker mag de nieuwsbrief niet overschrijven en de redacteur mag het aangeleverde bronmateriaal niet herschrijven.
Het overzicht, het nieuwsbriefconcept en het afspraakvoorstel blijven mogelijk. Alleen de toegang die niets met het werk te maken heeft, verdwijnt.
Waar dwing je de rechtengrens af?
Hoofdstuk 5 onderscheidt drie niveaus van handhaving. Noteer bij elke regel in je matrix welk niveau de grens draagt.
Technische handhaving: het platform of de agent-runtime blokkeert aanroepen buiten de toegestane set. De beperking werkt, of het model nu wil meewerken of niet.
Handhaving in de workflow: de rol stelt een actie voor, maar de uitvoering zit achter een aparte goedkeuringsstap. Een conceptbericht dat alleen de oprichter kan versturen, is daar een voorbeeld van.
Procedurele handhaving: het charter verbiedt een handeling die de gekoppelde tools nog steeds toelaten. Dan hangt alles af van een model dat instructies volgt. Het boek noemt dat een tijdelijke maatregel: jij kijkt alles na voordat er iets van de rol naar buiten gaat.
Heb je alleen procedurele handhaving, koppel gevaarlijke tools dan los of verplaats de uitvoering naar een aparte workflow met een poort. Een mapnaam of voorvoegsel in een bestandsnaam helpt je een overtreding op te merken, maar voorkomt er geen.
Leg de werkelijke configuratie naast de matrix. Een geslaagde verbindingstest bewijst niet dat een verboden handeling wordt geweigerd. Voor MCP-servers op afstand legt MCP-OAuth is geen toolautorisatie uit waarom een geldig token nog niet bepaalt wat een toolaanroep mag.
Een goedkeuring hoort bij de precieze actie die wordt uitgevoerd, met bestemming, inhoud en de records die erdoor veranderen. Een bestandsnaam goedkeuren is niet genoeg als de inhoud daarna nog kan veranderen. Verandert de actie, dan is een nieuwe goedkeuring nodig. Zonder bevestiging blijft de uitvoering geblokkeerd.
Welke handelingen vragen om een menselijke poort?
Hoofdstuk 5 vraagt standaard om menselijke bevestiging vóór zes soorten acties: e-mail versturen, agenda-afspraken met externe deelnemers maken of wijzigen, bestanden overschrijven, CRM-gegevens aanpassen, betalingen of facturen afhandelen, en publiceren. De praktische vraag is wat het kost om de actie terug te draaien, inclusief gevolgen die iemand anders al heeft gezien.
De actietabel in het boek onderscheidt vijf klassen langs de agent-vertrouwensladder: intern lezen (plafond L5, alleen loggen), lezen uit onbetrouwbare bronnen (plafond L4, bron vastgelegd in de output), privé en omkeerbaar schrijven (plafond L4, versiegeschiedenis aan en een wekelijks rapport), gedeeld schrijven of wijzigingen die duur zijn om terug te draaien (plafond L3, de oprichter bevestigt vóór uitvoering) en externe, publieke, financiële of juridisch bindende handelingen (plafond L3, elke keer bevestigd). Een eigen concept bijwerken met versiegeschiedenis valt in de derde klasse; een gedeeld document overschrijven in de vierde. Trek die grens voordat je schrijfrechten toekent.
Een hoger niveau voor routinewerk heft de L3-bevestiging voor ingrijpende acties nooit op.
Vertrouwen hoort bij de rol, niet bij het model. Het bepaalt hoe zelfstandig een rol binnen zijn mandaat werkt; het voegt geen tools toe. Volgens de regels van het boek is een tool toevoegen een charterwijziging, en die zet de rol terug naar L2 of lager. Scores uit de oude opdracht zeggen niets over hoe de rol met de nieuwe toegang omgaat.
Deze niveaus en plafonds zijn de werkregels van de auteur, geen geteste betrouwbaarheidsdrempels.
Kan een tool die alleen leest toch gegevens naar buiten brengen?
Ja. Hoofdstuk 5 wijst op een route die je makkelijk over het hoofd ziet: een externe zoekopdracht of een opgehaalde URL verlaat je systeem. Een rol met een vertrouwelijke klantbriefing kan de inhoud daarvan in een zoekopdracht verwerken, ook al mag hij geen e-mail versturen.
Controleer per rol de combinatie van privégegevens, onbetrouwbare invoer en een kanaal naar buiten. Volg daarna de overdrachten. Twee agents met gescheiden tools sluiten de route niet af als de eerste agent onbetrouwbare instructies via een overdracht-pakket doorgeeft en de tweede die als opdracht behandelt.
In het hypothetische rooster geeft de oprichter een openbare onderzoeksvraag mee, zonder klantnamen of vertrouwelijke details. Houd die zoekstap gescheiden van privécontext, ook van opgeslagen bestanden die de onderzoeker zou kunnen lezen. Biedt je platform beperkingen op zoekopdrachten en bestemmingen, stel die dan in. Een verzoek om “voorzichtig te zijn” blijft procedureel.
Behandel opgehaalde tekst en de inhoud van overdrachten als materiaal om te beoordelen. Geen van beide verandert de rechten van de rol die ze ontvangt.
Hoe vaak controleer je de toolmatrix?
Hoofdstuk 5 vraagt om een wekelijkse controle op onverwacht toolgebruik en een maandelijkse audit. Die beantwoorden verschillende vragen. Wekelijks kijk je of een rol een tool heeft gebruikt op een manier die je verraste. Zo’n verrassing is een signaal: óf de rol werkte goed en de matrix moet worden bijgewerkt, óf de rol ging buiten zijn charter en de tool gaat eruit.
Bij de maandelijkse audit leg je de matrix naast de configuratie. Dient elke toegang nog een afgesproken output? Zijn gedeelde bronnen nog afgebakend? Heeft een koppeling sinds jouw akkoord nieuwe tools, rechten of beschrijvingen gekregen? Weet je het niet, ga er dan van uit dat er iets is veranderd.
Het boek vraagt ook om een korte herziening van elke toegang die ouder is dan negentig dagen; daarom krijgt elke toekenning een datum. Dat is een herzieningsmoment, geen automatische vervaldatum. Toegang die de toets doorstaat, blijft. Toegang die de toets niet doorstaat, gaat eruit of komt achter een poort. Zet een datum bij je besluit.
Die intervallen zijn onderhoudsregels, geen bewijs voor de beste controlefrequentie. Krijgt een rol een nieuwe tool of verandert zijn mandaat, werk de matrix dan meteen bij en wacht niet op de volgende maandcontrole.
Probeer dit vandaag
Maak een lijst van elke tool of koppeling waar je agents bij kunnen. Schrijf naast elke regel welke rol die tool nodig heeft en welke output hij ermee levert. Neem geërfde toegang mee. Elke tool zonder rol verwijder je deze week.
Test daarna één rol:
- Schrijf de minimale rechten uit. Splits elke koppeling op in handelingen en bronnen. Leg naast elkaar wat de rol nu kan en wat zijn outputs vragen. Haal het overschot weg.
- Isoleer de test. Gebruik testbestanden en een testomgeving met dezelfde relevante rechtenregels. Houd klantgegevens en echte bestemmingen buiten bereik.
- Bewijs dat een toegestane handeling werkt. Laat de rol met zijn eigen toegang een testsamenvatting opslaan in de toegestane map. Bekijk het opgeslagen bestand en het uitvoeringslogboek.
- Test een verboden handeling. Laat de rol met diezelfde toegang een onschuldige schrijfactie proberen naar een testbestand buiten de toegestane map. Eis bewijs dat de rechtencontrole de schrijfactie heeft geweigerd en dat het doelbestand ongewijzigd is gebleven. Een model dat besluit het niet te proberen, bewijst geen handhaving.
- Test één goedkeuringspoort. Vervang de ingrijpende actie door een onschuldige, gelogde actie en laat de goedkeuringscontroles staan. Keur eerst een verzoek goed en controleer of het wordt uitgevoerd. Dien daarna een nieuw verzoek in, geef geen goedkeuring en bekijk de status en het uitvoeringslogboek. Het verzoek moet geblokkeerd blijven of verlopen zonder dat er iets wordt uitgevoerd.
Kun je een controle niet uitvoeren, noteer dan niet uitgevoerd. Kunnen de logboeken het resultaat niet aantonen, noteer dan niet geverifieerd. Houd ingrijpende uitvoering losgekoppeld tot de grens is aangetoond. Of je de run kunt onderbreken en de toegang kunt intrekken, test je met de aparte stopoefening.
Bewaar de gedateerde matrix bij het charter, samen met de testresultaten, openstaande rechtenvragen en de volgende auditdatum. Een geslaagde test geldt voor de handeling en configuratie die je hebt getest. Het is geen keurmerk voor je hele rooster.
Citeer deze pagina:Toolwildgroei versus een toolmatrix: geef elke agentrol alleen de tools die het werk vraagt.Len P. van der Hof. https://lenvanderhof.com/nl/blog/toolwildgroei-versus-toolmatrix/ ·