AI-agenten kunnen aanvallen uitvoeren door ogenschijnlijk onschuldige acties in stukjes te knippen. Daardoor lijken ze op zichzelf vaak niet verdacht, maar pas wanneer je de volledige reeks bekijkt, ontstaat het echte intentiebeeld. Die uitdaging vraagt om een nieuwe aanpak van neurosymbolische agentbeveiliging: niet alleen kijken naar losse handelingen, maar naar patronen, volgorde en onderlinge relaties tussen stappen.
Cisco kondigde daarom de open-source release van Project Quarry aan. Het project is bedoeld als een gedeelde beleid- en detectielaag om risicovolle agentactiviteit te herkennen tijdens de uitvoering of achteraf tijdens incidentanalyse.
Waarom traditionele beveiliging tekortschiet bij agenten
Veel securitycontroles beoordelen acties afzonderlijk: is een specifieke gebeurtenis ‘slecht’ of ‘goed’? Dat werkt redelijk bij klassieke aanvallen, maar het verandert als kwaadwillenden agenten inzetten om hun intentie te verbergen.
Bij agentaanvallen verschijnt de slechte bedoeling pas nadat meerdere ogenschijnlijk normale stappen samenkomen. Dan is het niet genoeg om elke stap apart te labelen; je moet kunnen vaststellen waarom en in welke samenhang de stappen zijn uitgevoerd. In andere woorden: je zoekt niet één naald in één hoop stro, maar een patroon van naalden dat pas betekenis krijgt als je het geheel ziet.
Project Quarry in het kort
Project Quarry wordt door Cisco beschreven als een neurosymbolische regeltaal. Die term betekent dat het project twee kanten combineert:
- Neurale signalen uit machine learning-classifiers en LLM-judges (voor beoordeling op basis van waarschijnlijkheid en interpretatie).
- Symbolische regels die precies checken op voorwaarden, sequenties, stringmatches en relaties tussen tools.
Quarry is daarmee geen vervanging van elke bestaande detector of handhavingsmaatregel. Cisco positioneert het juist als een gemeenschappelijke policy-laag waarmee organisaties agentactiviteit kunnen evalueren op basis van vooraf gedefinieerde detectieregels.
Waar Quarry op inzet: gesprekken, tools en context
Quarry richt zich op meer dan alleen tekst. Cisco noemt expliciet dat het project regels kan definiëren rond:
- Single-turn en multi-turn LLM-conversaties
- Agenten en het gebruik van tools
- Model Context Protocol (MCP)-interacties
- Multimodale inputs
Een belangrijk idee hier is dat detectie zich niet beperkt tot wat er wordt gevraagd, maar ook naar de manier waarop het model of de agent te werk gaat: welke tools worden aangeroepen, in welke volgorde en met welke onderlinge samenhang.
Detectie die pas later ‘verdacht’ wordt
Cisco licht toe dat Quarry bedoeld is om verdachte patronen te vinden die doorwerken over individuele toegestane acties. Sommige combinaties worden pas verdacht na een tijdspanne of wanneer de reeks compleet is.
Als voorbeeld verwijst Cisco naar campagnes in 2025 waarbij Claude Code werd ingezet. De aanval bestond uit kleine, routineachtige taken die bestaande defensies konden misleiden: ze zagen eruit als geautoriseerd testen wanneer je ze los bekijkt, maar de echte intentie werd duidelijk toen de verzoeken in de juiste volgorde samenkwamen. In de bron wordt genoemd dat één campagne gericht was op ongeveer 30 organisaties, en een tweede op Mexicaanse overheidsinstellingen.
Dat illustreert precies waarom neurosymbolische agentbeveiliging nodig is: je wilt evidence behouden en verbanden leggen tussen stappen, zodat de intentie zichtbaar wordt voordat het te laat is.
Open source als ‘asymmetrie’-correctie
Een terugkerend probleem in cybersecurity is het verschil in schaal tussen aanvallers en verdedigers. Open source kan die asymmetrie verkleinen: meerdere globale partijen kunnen samen werken aan detectieregels, terwijl ook aanvallen voortdurend evolueren.
Cisco stelt dat de open-source release een werkbare basis biedt voor detection engineering. Quarry is bedoeld om te komen tot een gemeenschappelijke standaard voor het uitdrukken en delen van detecties voor AI-agentaanvallen, vergelijkbaar met hoe Snort, YARA en Sigma elk in een andere context standaarden werden.
In dezelfde lijn wil Quarry niet alleen achteraf rapporteren, maar ook helpen herkennen terwijl een verdacht patroon nog in uitvoering is, zodat organisaties sneller kunnen ingrijpen.
Hoe Quarry regels opschaalt: van handwerk naar rule engineering
Definitie van regels is cruciaal, maar kan niet onbeperkt handmatig. Cisco wijst erop dat aanvallers AI kunnen gebruiken om snel nieuwe varianten van hun methoden te ontwikkelen. Dat betekent dat verdedigers ook sneller moeten reageren met nieuwe detectieregels.
Daarom wil Cisco dat niet alleen securityspecialisten, maar ook AI- en security engineers Quarry-regels kunnen schrijven. In de kern komt er een manier om regels te laten maken door een coding agent die:
- Quarry-regels samenstelt op basis van een beschrijving van het risicoprofiel in gewone taal
- Regels compilet en verfijnt
- Test tegen echte gesprekken
Als een rule goed werkt in de context van zo’n coding agent, moet hetzelfde gedrag ook gelden tijdens runtime. Dat is belangrijk om te voorkomen dat “gesimuleerde” detectie alsnog anders uitpakt in productie.
Wat zit er in de starter pack?
Cisco noemt meerdere onderdelen die helpen om met Quarry te werken, waaronder:
- Een leesbare DSL voor gesprekken, tool use en event-relaties
- Een evaluatieruntime met configureerbare veiligheids- en resource-limits die regels compileert bij het laden
- Een command-line scanner voor traces, mappen en datasets
- Een Python SDK voor integratie in applicaties
- Optionele modeloperaties voor semantische signalen
- De Quarry plugin voor Claude Code, Codex en andere MCP-compatibele agenten
- Rule metadata, voorbeelden, documentatie en richtlijnen voor message-formatting
- Een workflow om regels te valideren tegen zowel positieve als goedaardige datasets
Met name die combinatie van DSL + runtime + scanner maakt het mogelijk om zowel ontwikkeling als evaluatie gestructureerd aan te pakken.
Praktische toepassing: runtime guardrails en forensische analyse
Cisco noemt drie gebruiksrichtingen. Ten eerste kunnen organisaties runtime guardrails inzetten: detectie en/of waarschuwingen tijdens de uitvoering van agenten. Ten tweede is er post-hoc rule set security analytics: analyse achteraf op basis van vastgelegde traces. Ten derde ondersteunt Quarry incident response, omdat het evidence en context rond de detectie helpt structureren.
Omdat Quarry onderdeel is van Cisco’s Integrated AI Security & Safety Framework, vormt het een verdere invulling van het idee dat risico’s niet alleen beschreven worden, maar ook zichtbaar worden in daadwerkelijke agentactiviteit.
Sneller leren van nieuwe technieken
Quarry is niet bedoeld als “eenmalig instellen en klaar”. Cisco benadrukt dat zodra een nieuwe aanvalstechniek wordt herkend, defenders een nieuwe Quarry-rule moeten schrijven die overal bruikbaar is. Dat vraagt om een werkproces dat bij kan benen als aanvallers hun methoden steeds aanpassen.
Voor organisaties die al bezig zijn met het verbeteren van detectie in de software supply chain of het weren van kwaadaardige componenten, kan dit idee van herbruikbare detecties goed aansluiten. Zo zijn er op de site ook voorbeelden van patch- en beveiligingsupdates rond kritieke kwetsbaarheden—zoals wanneer vendors snelle actie adviseren bij serieus risico. Een relevant voorbeeld is Adobe, Veeam en Juniper: patch nu voor kritieke bugs, waarin de nadruk ligt op tempo en afstemming rond bekende risico’s.
Daarnaast is het nuttig om te kijken naar hoe AI-agenten in de praktijk reageren op signalen en beveiligingscontext. In dat domein wordt ook veel gepubliceerd over de rol van AI in SOC-workflows, bijvoorbeeld in Wazuh AI voor SOC-workflows: sneller en slimmer.
Wat betekent dit voor jouw organisatie?
Als je AI-agenten inzet (bijvoorbeeld voor taken die tools aanroepen of externe systemen bedienen), dan is het verstandig om je detectieaanpak te verbreden. Dat betekent:
- Laat je securitybeleid niet alleen leunen op individuele acties, maar ook op sequencing en context
- Werk met regels die tools, event-relaties en gesprekspatronen kunnen beschrijven
- Test detectieregels tegen zowel goedaardige als risicovolle datasetvoorbeelden
- Richt je op herbruikbare detectie-engineering, zodat nieuwe technieken sneller kunnen landen
Project Quarry biedt daarbij een concreet startpunt: een open-source manier om detectiebeleid te formuleren op basis van neurosymbolische principes.
Conclusie
Project Quarry laat zien hoe neurosymbolische agentbeveiliging kan helpen bij een kernprobleem in AI-security: aanvallen die pas bij samenhang en volgorde zichtbaar worden. Door machine learning- en rule-based logica te combineren, wil Cisco detectie mogelijk maken tijdens runtime en achteraf, met bewaard bewijs en beter onderbouwde incidentrespons.
Omdat aanvallers hun technieken blijven ontwikkelen, is de open-source insteek vooral relevant: defensie krijgt de mogelijkheid om sneller en op schaal nieuwe detectieregels te delen en toe te passen.
