Wat is agent-authenticatie?

Agent-authenticatie is het proces van het verifiëren van de identiteit van een AI-agent voordat deze mag handelen. De agent presenteert een credential — meestal een kortstondig, ondertekend token — en een verificateur valideert de uitgever, de doelgroep (audience) en de handtekening van dat credential om te bevestigen dat de agent is wie hij beweert te zijn, en geen gespoofde of onbevoegde aanroeper is.

Kort gezegd: agent-authenticatie beantwoordt de vraag "is dit echt die agent?" — de identiteitscontrole die moet slagen voordat er een autorisatiebesluit wordt genomen.

Waarom is agent-authenticatie belangrijk?

Autonome agenten roepen tools, databronnen en andere agenten aan zonder tussenkomst van een mens. Als u niet kunt verifiëren welke agent een verzoek doet, kunt u geen acties toewijzen, geen beleid per agent toepassen en geen bedrieger stoppen. De mogelijke foutsituaties zijn concreet:

• Spoofing. Zonder sterke authenticatie kan alles wat uw tools kan bereiken beweren een vertrouwde agent te zijn.
• Gedeelde geheimen. Wanneer veel agenten één API-sleutel delen, vertelt authenticatie u alleen dat "iemand met de sleutel" heeft gebeld — niet welke agent, en u kunt er niet één intrekken zonder ze allemaal te breken.
• Permanente credentials. Langdurige sleutels die nooit verlopen vormen een permanent aanvalsoppervlak; kortstondige, verifieerbare credentials verkleinen de impactzone.

Sterke agent-authenticatie is het fundament waarop de rest van agentic IAM is gebouwd — u kunt een agent die u niet eerst kunt identificeren niet autoriseren of auditen.

Wilt u zien hoe agent-authenticatie bij elk verzoek wordt afgedwongen?

Boek een demo

Hoe werkt agent-authenticatie?

1. Uitgifte van credentials. De agent wordt geregistreerd als een non-human identity en krijgt een credential toegewezen — vaak een OAuth 2.0-client, een OIDC-token of een geattesteerd workloadcertificaat.
2. Presentatie. Bij elk verzoek presenteert de agent zijn credential aan de verificateur (meestal een gateway die zich voor modellen, tools en MCP-servers bevindt).
3. Validatie. De verificateur controleert de handtekening, de uitgever, de doelgroep en de vervaldatum — om te bevestigen dat het token is aangemaakt door een vertrouwde autoriteit, voor deze ontvanger, en nog steeds geldig is.
4. Korte levensduur & rotatie. Credentials worden kortstondig gehouden en geroteerd, zodat een gelekt token slechts kortstondig bruikbaar is.

Het afdwingen hiervan op één enkel controlepunt — in plaats van in elke agent en server afzonderlijk — is wat het MCP gateway-authenticatiemodel biedt.

Agent-authenticatie vs. agent-autorisatie

De twee worden vaak verward. Authenticatie gaat over identiteit; autorisatie gaat over permissies. Authenticatie komt altijd eerst.

Authenticeer uw agenten met kortstondige, verifieerbare credentials — bekijk het live.

Boek een demo

Voorbeelden van agent-authenticatie

• OAuth 2.0 / OIDC: de agent bezit een client credential of token; de verificateur valideert dit bij de uitgever. Wordt bijvoorbeeld gebruikt bij het toevoegen van Okta OAuth aan een MCP-server.
• Mutual TLS (mTLS): de agent presenteert een clientcertificaat dat zijn identiteit bewijst op de transportlaag.
• SPIFFE/SPIRE SVID's: geattesteerde, kortstondige workload-identiteiten die aan agenten worden uitgegeven op basis van waar ze draaien — zie AI-agenten beveiligen met SPIFFE en SPIRE.
• Door de gateway uitgegeven agent-credentials: het control plane registreert elke agent en geeft deze een scoped, kortstondig credential dat bij elke aanroep wordt gecontroleerd.

Hoe TrueFoundry agenten authenticeert

Wanneer u een agent registreert in TrueFoundry, kiest u hoe deze bewijst wie hij is: een door TrueFoundry ondersteund credential (TrueFoundry geeft het token uit en ondertekent het — de eenvoudigste optie) of een door een identity provider ondersteund credential (de agent authenticeert via Okta, Entra of een andere IdP). In beide gevallen presenteert de agent dat credential bij elke aanroep aan de Agent Gateway of MCP Gateway, en de gateway herleidt dit naar de geregistreerde agent en de daaraan verleende permissies.

Elk verzoek bevat twee credentials — het token van de gebruiker en het token van de agent — zodat de gateway beide authenticeert:

Voor agenten die worden ondersteund door een identity provider, valideert de gateway de handtekening van het token tegen de geconfigureerde jwks_uri, controleert de uitgever (iss) en doelgroep (aud), en vergelijkt de agent-identiteit uit de claim van het token (standaard act.sub) met het agentregister — waarbij 403 wordt geretourneerd als er geen overeenkomst is. TrueFoundry ondersteunt drie identiteitsmodi: managed credentials (TrueFoundry voert de RFC 8693 token exchange uit voor de agent), federated token (de agent voert de uitwisseling zelf uit en presenteert het resultaat), en virtual account (de agent presenteert een virtual-account-token plus een X-TFY-User-Token, zonder IdP-uitwisseling).

Voor op workloads gebaseerde authenticatie ondersteunt TrueFoundry SPIFFE/SPIRE, waarbij het credential van de agent wordt afgeleid van runtime-attestatie — zodat de agent helemaal geen langdurig geheim bezit.

Authenticeer elke agent met kortstondige, verifieerbare credentials via één beheerde gateway.

Boek een demo