Governance Decay Uitgelegd: Hoe Context Compaction Agent-beleid Aantast — en Waar Handhaving Thuishoort

Een nieuwe term heeft de stilste failure mode van enterprise AI zojuist een naam gegeven: governance decay — de stille erosie van de in-context regels van een agent wanneer de historie wordt gecomprimeerd. De term is afkomstig uit een onderzoekspaper uit juni 2026, "Governance Decay: How Context Compaction Silently Erases Safety Constraints in Long-Horizon LLM Agents" (arXiv:2606.22528), en het openingsscenario verdient het om beroemd te worden. Een agent krijgt de instructie om een contract nooit buiten de organisatie te e-mailen; tientallen turns lang leeft de agent dit na en weigert het verzoek correct. Dan groeit de historie voorbij het context window en wordt compaction uitgevoerd — de routinematige, op LLM gebaseerde samenvattingsstap die elke harness voor langetermijn-taken nu uitvoert, ontworpen om de continuïteit van de taak te behouden. De samenvatting legt de status van de taak getrouw vast en laat, met het oog op continuïteit, stilzwijgend de "oude" compliance-preambule vallen. Bij een nieuw verzoek e-mailt de agent het contract. Geen jailbreak, geen modelwijziging, geen nieuw verzoek: de regel waaraan de agent gehoorzaamde bevindt zich simpelweg niet langer voor zijn neus. De bevindingen van de paper versterken de alarmerende boodschap: de decay is een eigenschap van de harness, niet van het model — ook sterkere modellen gaan voorgaas; het kan als wapen worden ingezet, aangezien een kwaadwillende die inhoud in de context kan plaatsen het vergeten kan versnellen; de voorgestelde verdediging, constraint pinning, helpt wel maar wordt omzeild door operator impersonation, waarvan de auteurs opmerken dat er "een vertrouwd out-of-band operatorkanaal" nodig is om dit te dichten. En de conclusie volgt in acht woorden die we eenmalig citeren: "Governing agents requires governing how they forget." Deze gids is de enterprise-referentie die de paper suggereert maar niet uitschrijft: wat governance decay is, waarom compaction het onvermijdelijk maakte, hoe het verschilt van de failure modes waar het op lijkt — en het architecturale antwoord, namelijk dat het beleid dat er toe doet op een plek moet leven waar compaction er niet bij kan: buiten het context window, gehandhaafd op de laag die elke call toch al passeert. Zoals met al onze referenties voor opkomende begrippen, zullen we deze pagina bijwerken naarmate het onderzoek en het vakjargon zich verder ontwikkelen.

Wat Is Governance Decay? Een Definitie

Governance decay is het progressieve, stille verlies van de in-context governance van een agent — het organisatiebeleid, de staande instructies en de in het geheugen geladen beperkingen die specificeren wat een uitgerolde agent wel en niet mag doen — naarmate de gespreksgeschiedenis van de agent wordt gecomprimeerd om in het context window te passen. Het mechanisme is alledaags, en dat maakt het juist gevaarlijk. Langetermijn-agents verzamelen sneller historie dan dat windows groeien; de dominante reactie vanuit engineering is context compaction — een op LLM gebaseerde samenvattings- of verwijderingsstap die de transcriptie periodiek comprimeert — en compaction is ontworpen voor precies één doel: het behouden van taaknauwkeurigheid. Een staand beleid is, vanuit het perspectief van de samenvatter, oude tekst die niet het huidige subdoel is en strijdt om een krimpend tokenbudget tegen de actieve status van de taak. Het wordt dus weggesamenvat, verzacht of verwijderd — en de agent, wiens gedrag alleen maar zo goed was als wat er voor hem stond, valt terug op ongegovernde standaardinstellingen zonder enig signaal dat er iets is veranderd. Het onderzoek voegt twee eigenschappen toe die dit verheffen van een bug naar een categorie. Ten eerste, een soft/hard gradiënt: de in het model getrainde harde normen (de zaken die safety benchmarks testen) overleven, terwijl de zachte, uitrolspecifieke regels — jouw regels, de door de operator gespecificeerde — precies de regels zijn die aantasten, wat verklaart waarom de fout onopgemerkt bleef bij standaard evaluaties. Ten tweede, kwaadwillige beschikbaarheid: een aanvaller die inhoud in de context van de agent kan plaatsen (de standaard aanname bij indirect-injection) kan de historie opzettelijk opblazen en sturen, zodat compaction de beperking wist die in de weg staat. Een verduidelijking: governance decay is geen model drift (de weights zijn ongewijzigd), geen context rot (de kwaliteitsvermindering van retrieval naarmate de lengte toeneemt) en geen vergeten in ML-zin — het is een informatieverlies op harness-niveau met gevolgen voor de governance, en het gebeurt bewust door het ontwerp, elke keer dat compaction draait.

Een Korte Geschiedenis: Hoe Compaction een Governance-Oppervlak Werd

De term is nieuw; de botsing die het beschrijft was al twee jaar in opkomst. 2024–2025: agents gaan over op lange termijnen — toolgebruik uit meerdere stappen, runs die een hele dag duren, permanente sessies — en historie groeit zelfs voorbij de ramen van frontier-modellen, waardoor compressie een standaard harness-functie wordt in plaats van een optimalisatie; het ecosysteem van engineers convergeert naar drempelgestuurde samenvatting, waarbij compaction wordt geactiveerd bij 70–90% van het window in gangbare frameworks en, in agressieve configuraties, al bij een paar duizend tokens. Parallel daaraan beweegt governance naar de context: het uitrolbare controleoppervlak van dit tijdperk bevindt zich in-context — system preambles, staande instructies, AGENTS.md-achtige operationele regels, geladen geheugen — omdat het de laag is die operators daadwerkelijk kunnen specificeren zonder opnieuw te trainen. 2025–2026: de onderzoeksgemeenschap begint contextbeheer te behandelen als een volwaardig agent-subsysteem — gestructureerde verwijderingsschema's, context-folding met branch-and-return, KV-cache-bewuste compressie — allemaal nog steeds geoptimaliseerd voor taaknauwkeurigheid. Juni 2026: arXiv 2606.22528 benoemt de botsing — het governance-kanaal en de compressiestap waren al die tijd al op elkaar gericht — toont de decay empirisch aan over verschillende modellen, laat de kwaadwillige variant zien, stelt constraint pinning voor (isoleer de extraheerbare regels zodat de samenvatter ze moet meenemen), en vermeldt openhartig de grenzen van pinning: impliciete beperkingen kunnen niet worden vastgepind, en pinning wordt omzeild door operator impersonation in recente context, wat dichten "een vertrouwd out-of-band operatorkanaal vereist." De term is minder nuttig als naam dan als een diagnose waar de enterprise op kan reageren bij incidenten die zich al hebben voorgedaan en niet konden worden verklaard, zoals de agent die "zomaar stopte met het volgen van de regel" met niets in de logs behalve een routinematige compaction.

Governance Decay vs Prompt Injection, Context Rot en Model Drift

Drie verschillen houden de term precies, en het eerste verschil is het verschil dat er operationeel toe doet. Tegenover prompt injection: injection is een toevoegingsaanval — vijandige instructies die de context worden binnengengestroomd, de dreiging die onze injection-defense analyse behandelt; decay is een fout door verwijdering — beschermende instructies die stilzwijgend worden verwijderd door het eigen onderhoud van het systeem. Ze versterken elkaar op een kwalijke manier: de kwaadwillige resultaten in de paper tonen aan dat geüploade inhoud de compaction zo kan sturen dat verdedigingen worden gewist, wat betekent dat een geharde prompt geen duurzame verdediging is als de harding zelf kan worden gecomprimeerd. Tegenover context rot: rot duidt op kwaliteitsvermindering naarmate de context groeit — mislukte retrievals, verwatering van de aandacht, het model dat slechter wordt in het gebruiken van wat er staat; decay duidt op het specifieke governance-geval waarin de inhoud er helemaal niet meer staat, en het verschil is van belang omdat de oplossingen voor rot (beter zoeken, langere windows) niet raken aan decay, terwijl de oplossing voor decay (verplaats de regel uit de context) niet beschikbaar is voor rot. Tegenover model drift: drift is gedragsverandering door gewijzigde weights of versies; decay treedt op terwijl het model bevroren is — wat precies is waarom het ontkomt aan de monitoring die is gebouwd voor drift, en waarom de bevinding in de paper dat het aan de harness ligt en niet aan het model het praktische nieuws is: je kunt je er niet uit upgraden, en je kunt je er niet in testen via benchmarks, omdat de aantastende regels de uitrolspecifieke regels zijn die benchmarks nooit bevatten. De rode draad in alle drie de vergelijkingen: governance decay is onzichtbaar voor elke wachttoren die op het model is gericht, omdat het geen modelgedrag is — het is gedrag in de levenscyclus van informatie, en die levenscyclus hoort bij de harness.

Governance Decay in de Enterprise: Beleid dat Niet Kan Worden Gecomprimeerd

Dit is waar TrueFoundry in beeld komt, en voor één keer is de visie van de leverancier simpelweg de conclusie van de paper gecombineerd met een architectuur. Als het beheren van agents vereist dat we beheren hoe ze vergeten, heeft de enterprise twee opties: het vergeten veilig maken (beperkingen vastpinnen, samenvattingen auditen, de samenvatter harden — noodzakelijk, kwetsbaar, en volgens de eigen beperkingen van de auteurs onvolledig), of de beperkingen onvergetelijk maken — ze op een plek onderbrengen waar het vergetingsmechanisme er niet bij kan. De tweede optie heeft een naam: infrastructuur. Een guardrail op de geconfigureerde hooks — LLM input/output, en MCP pre/post-tool voor overeenkomend verkeer — evalueert de regel voor datagrenzen ("geen contracten naar externe adressen") op de daadwerkelijke uitgaande actie, bij turn 3 en bij turn 3.000, op exacte dezelfde wijze, omdat de regel gekoppeld is aan het verzoekpad, niet aan de prompt; er staat niets in de transcriptie dat compaction kan laten vallen. Dezelfde verplaatsing geldt voor de rest van de controlelijst: het bereik van tools wordt afgebakend op basis van identiteit en taak op de MCP-laag in plaats van via in-context verzoeken (TBAC); uitgaven worden begrensd door budgetten die de agent niet kan wegsamenvatten; en het "vertrouwde out-of-band operatorkanaal" waar de onderzoekers om vragen is precies wat een gateway is — operators wijzigen het beleid op de control plane, de wijziging geldt vanaf dat moment voor elk verzoek, en er is geen context van een agent bij betrokken, dus operator impersonation binnen een transcriptie verandert niets. Twee ondersteunende praktijken maken de aanpak compleet. Compaction zelf wordt een geobserveerd event: step-traces van de harness leggen vast wanneer de historie is gecomprimeerd, wat het verschil maakt tussen "de agent veranderde onverklaarbaar van gedrag" en "gedrag veranderde rondom een compaction" — een diagnose die instrumentation op applicatieniveau of het vergelijken van transcripties kan vereisen, aangezien de huidige documentatie de groei van de context wel laat zien in traces, maar geen specifieke markering voor een compaction-event heeft. En in-context governance wordt gedegradeerd, niet afgeschaft: het blijft het juiste kanaal voor sturing — toon, voorkeuren, taakformulering, de zaken die mee moeten bewegen met het gesprek — terwijl alles wat te maken heeft met compliance of impact migreert naar de control plane, de taakverdeling die ons werk rond context-engineering en just-in-time context verder ontwikkelt vanuit de opbouwkant. De enterprise-vertaling van het onderzoek in één zin: het geheugen van je agent is een kanaal met kwaliteitsverlies, dus stop met het versturen van je compliance-regels via dat kanaal.

Enterprise Governance-Decay Checklists

Zes vragen voor elke omgeving met langetermijn-agents: Comprimeren je agents hun context — en ken je de activeringsdrempel en samenvatter van elke harness? Wordt elke regel op compliance-niveau (datagrenzen, tool scope, uitgaven, goedkeuringen) gehandhaafd op de infrastructuurlaag in plaats van meegegeven in de context? Worden compaction-events vastgelegd in de trace van de run, zodat gedragsveranderingen gecorreleerd kunnen worden met de compressie van de historie? Evalueren guardrails uitgaande acties — vooral tool calls — onafhankelijk van wat de transcriptie op dat moment zegt? Kunnen operators beleid wijzigen via de control plane, out-of-band, zonder dat de context van een agent wordt aangeraakt of vertrouwd? En heeft iemand het pad van verwijdering getest via red-teaming — niet "kan een aanvaller een instructie injecteren", maar "kan een aanvaller zorgen dat het systeem er een vergeet"? Zes keer ja en decay is een beheerde eigenschap; de nee's zijn regels met een vervaldatum die niemand heeft ingesteld.

De Toekomst van Governance Decay: Waar We op Gaan Letten

Voorspellingen, onder voorbehoud. Verwacht dat de term binnen enkele kwartalen oversteekt van onderzoek naar de praktijk, op basis van de verklarende kracht: het benoemt incidenten die teams al hebben meegemaakt — de agent die halverwege een sessie een regel liet vallen met schone logs — en termen die bestaande problemen verklaren verspreiden zich het snelst, het patroon dat context rot en tool poisoning eerder ook volgden. Verwacht dat compaction als reactie hierop zal professionaliseren: governance-bewuste samenvatters, opties voor constraint-pinning in gangbare harnesses, compaction-events als primaire telemetrie — allemaal het overwegen waard, maar geen van alle op zichzelf voldoende, volgens de eigen beperkingen uit de oorspronkelijke paper. Verwacht dat de kwaadwillige variant de term op de harde manier bekend zal maken: aanvallen via verwijdering zijn een logische vervolgstap voor het injection-ecosysteem, en het eerste openbare incident waarbij een aanvaller een control wegcomprimeerde zal voor governance decay doen wat het openbaar maken van poisoning deed voor MCP-beveiliging. Verwacht dat regelgevers en auditors de implicaties met hun gebruikelijke vertraging zullen oppakken — "laat me de controls zien die contextcompressie overleven" is een vraag waarvan we durven wedden dat deze binnen een jaar in AI-audits verschijnt, en die alleen met architectuur te beantwoorden is. En verwacht dat het diepste effect een hertekende kaart zal zijn: de standaard van dit tijdperk — stuur de agent aan door regels in zijn hoofd te schrijven — wordt vervangen door een doctrine met twee lagen: sturing in de context en overleving op de control plane. Dit is het constante argument van deze blog geweest en heeft nu een failure mode, een paper en een naam om het af te dwingen. We zullen deze gids bijwerken naarmate het onderzoek en de terminologie zich verder ontwikkelen; de duurzame bewering is die van de paper, en deze verdient het laatste woord dat het heeft verdiend: governing agents requires governing how they forget — en de sterkste manier om het vergeten te beheren, is door de zaken die niet vergeten mogen worden op een plek te houden waar het vergeten er niet bij kan.

Governance Decay FAQ

Wat is governance decay bij AI agents?

Governance decay is de stille erosie van de in-context regels van een agent — organisatiebeleid, staande instructies, in het geheugen geladen beperkingen — wanneer context compaction de historie van de agent comprimeert. Samenvattingen geoptimaliseerd voor taakcontinuïteit laten "oude" regels vallen die niet het huidige subdoel zijn, en de agent valt terug op ongegovernd gedrag zonder dat er sprake is van een jailbreak, modelwijziging of duidelijk signaal. De term is afkomstig uit een onderzoekspaper uit juni 2026 (arXiv:2606.22528).

Hoe verschilt governance decay van prompt injection?

Prompt injection voegt vijandige instructies toe aan de context van een agent; governance decay verwijdert beschermende instructies door het eigen onderhoud van het systeem. Ze kunnen worden gecombineerd: een kwaadwillende die inhoud in de context kan plaatsen, kan de compaction zo sturen dat de beperkingen worden gewist die hen anders zouden stoppen — wat betekent dat geharde prompts geen duurzame verdediging bieden als de harding zelf weggecomprimeerd kan worden.

Kunnen betere modellen of langere context windows governance decay oplossen?

Nee. Het onderzoek toont aan dat decay een eigenschap is van de harness, niet van het model — ook sterkere modellen gaan voorgaas, omdat het probleem zit in wat de samenvatter behoudt, niet in wat het model kan. Langere windows stellen compaction uit, en agents waarvan de harnesses gebruikmaken van samenvattingen met kwaliteitsverlies of verwijdering kunnen aantasten wanneer de regels van de deployer alleen in comprimeerbare inhoud staan — waarbij uitrolspecifieke regels precies zijn wat standaard benchmarks nooit testen.

Hoe voorkomen enterprises governance decay?

Verplaats regels die cruciaal zijn voor overleving uit het context window: handhaaf datagrenzen, tool scope, uitgaven en goedkeuringen als infrastructuur — guardrails op elke model- en tool call, taakgebaseerde toegangscontrole, budgetten op de control plane — waar compaction er niet bij kan; monitor de groei van de context in traces (het consolideren van gedragsveranderingen met compaction kan instrumentation op applicatieniveau vereisen); en behoud in-context governance voor sturing (toon, voorkeuren, formulering) die veilig verloren mag gaan.

Referenties

• Anker — "Governance Decay: How Context Compaction Silently Erases Safety Constraints in Long-Horizon LLM Agents" (arXiv:2606.22528, juni 2026: de term; het contract-email scenario; de bevinding over harness-versus-model; de soft/hard gradiënt; de kwaadwillige variant; constraint pinning en de genoemde beperkingen, inclusief het out-of-band operatorkanaal; de geciteerde conclusie). Context-management achtergrond: "Beyond Compaction: Structured Context Eviction for Long-Horizon Agents" (compaction drempelwaarden; context-folding en verwijderingsmethoden).
• TrueFoundry documentatie — guardrails (vier hooks; officieel stroomdiagram); budgetten; analytics (officiële afbeelding).
• Deze blog — prompt-injection verdediging op de gateway; TBAC: taakgebaseerde toegangscontrole; context engineering en sessiebeheer; just-in-time context; loop engineering op enterprise-niveau.

Er is één direct citaat van minder dan vijftien woorden gebruikt uit de conclusie van de geciteerde paper, met bronvermelding in de tekst; het scenario, de bevindingen, de verdediging en de beperkingen uit de paper zijn overigens geparafraseerd, en lezers wordt geraden het origineel te raadplegen voor de volledige experimentele onderbouwing. De verplaatsingsthese — overlevingsregels als infrastructuur, sturingsregels in-context — is een redactionele doorvertaling van TrueFoundry die de conclusie van de paper vertaalt naar een architectuur; de auteurs van de paper noemen noch ondersteunen TrueFoundry. Productmogelijkheden zijn geparafraseerd op basis van openbare documentatie die actueel was op het moment van schrijven; de productafbeeldingen zijn eigen documentatie-assets van TrueFoundry, overgenomen met bronvermelding. Dit is een dynamische referentie die zal worden herzien naarmate het onderzoek en het vakjargon zich verder ontwikkelen.

‍