Waarom kan elk instrument dat mijn agent oproept wel worden geautoriseerd, terwijl de reeks waarin ze voorkomen dat niet kan?

AI-agenten voeren toolaanroepen uit die afzonderlijk allemaal de normale machtigingscontroles doorstaan. Maar een reeks afzonderlijk toegestane aanroepen op sessieniveau kan samen een mogelijkheid vormen die niemand heeft goedgekeurd: een omgevingsbestand lezen, daarin zoeken naar patronen van inloggegevens en vervolgens het resultaat via een POST-verzoek naar een extern eindpunt verzenden. Traditionele autorisatie werkt op het niveau van de afzonderlijke aanroep en kent geen model voor wat een reeks aanroepen mogelijk maakt. Het Cline-incident in februari 2026 illustreerde dit concreet: een kwaadaardige GitHub-issue koppelde afzonderlijk geldige lees- en schrijfbewerkingen aan elkaar tot een pakketinstallatie die 4.000 ontwikkelaarscomputers bereikte. Op intentie gebaseerde autorisatie op sequentieniveau bestaat momenteel nog niet als productiefunctie.