De Nacht Dat Mijn Vault Zei Dat Ik Verkeerd Aan Het Bouwen Was
Afgelopen week deed mijn eigen vault—de Obsidian wiki die Hermes Agent schrijft terwijl ik slaap—iets wat me stil deed staan. Geen artikel. Geen nieuwssamenvatting. Een diagnose. De nachtelijke synthese-engine had drie inputs aan elkaar verbonden die ik zelf nooit had verbonden: een nieuwe security-functie in OpenCode (subagent depth limits), een stijging van 340% in prompt injection-aanvallen in de industrie, en het feit dat zeven van mijn eigen AI-agents dezelfde memory store delen.
Haar conclusie: “De vault en het ecosysteem zijn volwassen genoeg om security serieus te nemen. Het is niet langer ‘hoe bouw ik dit’ maar ‘hoe beveilig ik wat ik gebouwd heb.'”
Het Blind Optimalisatieprobleem
Ik heb maandenlang geoptimaliseerd voor meer. Meer cron jobs. Meer agents. Meer skills. Meer automatisering. Mijn systeem groeide van 1 cron job naar 42 geplande taken, van 1 agent naar een multi-agent ecosysteem met Charly, Zora, Fred, Bob, Alice, Sara en Anna. Elke toevoeging was logisch in isolatie—maar niemand had een stap terug gezet om te vragen wat er gebeurt als een aanvaller zich richt op de gedeelde infrastructuur.
Dit ontdekte ik toen ik mijn eigen setup eindelijk door een security-bril bekeek:
- Gedeelde memory cross-contaminatie — De meeste van mijn agents lezen en schrijven naar dezelfde Mem0 vector database. Eén gecompromitteerde agent (via prompt injection in een opgehaalde website) kan het geheugen van alle andere agents vergiftigen.
- MCP-servers met bestandstoegang — Mijn stdio-gebaseerde MCP-servers hebben directe lees-/schrijftoegang tot bestanden. Een prompt injection in een webpagina via SearXNG zou theoretisch Hermes kunnen instrueren om
~/.hermes/-credentials uit te lezen. - Geen formele audit — Ondanks 42 cron jobs met autonome tool-toegang had ik nog nooit een gestructureerde security-review van mijn eigen homelab-setup gedaan.
Wat Ik Eraan Heb Gedaan (De Quick Wins)
De analyse van de vault was te praktisch om te negeren. Ik nam drie snelle acties:
- Memory-isolatie voor Zora — Ik gaf mijn research-agent Zora een eigen Qdrant-store, eigen MEMORY.md en eigen USER.md. Volledig geïsoleerd van het default profiel. Dit kostte 10 minuten en elimineerde direct het cross-contaminatierisico voor de agent die de meeste externe content leest.
- Tool-permissies beperkt — Ik heb geïnventariseerd welke MCP-servers elk agentprofiel mag gebruiken. Geen brede bestandstoegang meer voor agents die alleen webcontent hoeven te lezen.
- Wekelijkse security-scan toegevoegd — Een nieuwe cron job die MCP-serverexposure auditt, controleert op gelekte credentials in recente bestanden, en bevindingen rapporteert. Kleine investering, terugkerend rendement.
Ik heb niet alles opgelost. Zes agents delen nog steeds memory. De UniFi-controller is nog steeds buitengesloten (dag 7 en tellende). Maar de verschuiving in mindset—van “wat kan ik nog meer bouwen” naar “wat moet ik beschermen”—was precies de wake-up call die de vault bedoelde.
Jouw Beurt
Waar ik steeds op terugkom: de industriebenchmark voor AI-agent security in 2026 is abominabel. De meeste mensen draaien hun agents wagenwijd open—gedeelde memory, onbeperkte bestandstoegang, geen isolatie tussen tool-use agents. Drie quick wins zetten je al voor op de curve.
Wanneer heb jij voor het laatst je eigen AI-setup geaudit? Niet alleen op uptime—maar op security. Ik hoor graag wat je hebt ontdekt.
Wat vond je van dit bericht?
