Waar bevoegdheid opnieuw wordt bewezen: het gat tussen "toegestaan" en "gedaan"

Veldlezingen, twee van een reeks. Wat er in agent-governance bewoog tussen de eerste week van augustus en half oktober 2026, gelezen uit vijf bronnen. De methode staat in het vorige stuk.

Wat veranderde

Het cluster waar dit thema het hele jaar omheen cirkelt is toelating: wie besluit dat een agentactie mag plaatsvinden, en hoe dat besluit eruit mag zien. Twee arXiv-preprints uit september, onafhankelijk geschreven, schuiven de vraag een stap naar rechts. Ze gaan niet over of de actie is toegestaan. Ze gaan over het gat tussen “toegestaan” en “gedaan”.

Wesley Shu, Boundary-State Control (arXiv:2609.37475, ingediend 26 september 2026). De paper benoemt het gat tussen voorstel en commit en behandelt het als het time-of-check-to-time-of-use-probleem voor agents. Tussen het moment dat een beleid ja zegt en het moment dat het effect landt, kan een doel verwisseld zijn, een bevoegdheid ingetrokken, een beleidsversie gewijzigd of een goedkeuring verlopen. Het mechanisme geeft een getuige af die vastzit aan de canonieke actie, aan een projectie van de autorisatietoestand en aan een eenmalige nonce; bij commit canoniseert het opnieuw, herberekent de projectie, toetst expliciete geldigheidspredicaten, verifieert de getuige en verbruikt de nonce atomair met het effect, of houdt het effect tegen. Twee uitkomsten: commit of tegenhouden. Drie details zijn de nuttige. De beveiligingstoestand is gesplitst in zes delen: autorisatie, bevoegdheidsepoche, procedurebewijs, beleidsidentiteit, binding van goedkeuring en verzoek, en eenmalige uitvoeringstoestand. Lokale object-id’s van de producent worden bewust niet vergeleken, omdat een eerdere versie die dat wel deed geldige acties introk zodra gelijkwaardige objecten opnieuw werden aangemaakt. En de auteur zegt ronduit dat de cryptografie alleen manipulatiebewijs geeft; de bijdrage is de keuze van wat nog moet gelden.

Genliang Zhu en Chu Wang, Authorization Revocation for Long-Running Agents (arXiv:2609.21284, ingediend 18 september 2026). Een agent stoppen wordt behandeld als een autorisatieprobleem, niet als een proces beëindigen. Bevoegdheid leeft voort in wachtrijen, afgeleide credentials, timers, webhooks, reserveringen en bewerkingen die een leverancier al heeft geaccepteerd. Een annuleringsbevestiging, een procesexit en een ingetrokken token bewijzen geen van drie dat een beëindigde bevoegdheid geen beschermd effect meer kan veroorzaken. De paper definieert root-scoped quiescence: voor één autorisatieroot en één duurzame snede kan geen toekomstig beschermd effect meer afhangen van de beëindigde bevoegdheid, doordat elke drager is beëindigd, effect-gesloten, als gecommit vóór het hek geboekt, of herbonden aan een onafhankelijke getuige. Het protocol stelt uit ondertekende verklaringen van elk effectpunt een oordeel samen: quiescent, niet quiescent, of onbeslist. Het betekent uitdrukkelijk geen wereldwijde stilstand, en dat telt: een gedeelde worker in zijn geheel intrekken zou het legitieme werk van een andere root afsnijden.

Rohit Krishnan, Strange Loop Canon, 6 oktober 2026. De empirische metgezel, in het klein. Vijf modellen schreven en herzagen elk een reglement voor huishoudens in een stadje van zestien huizen waar voedsel schaars is en de score het aantal gehouden huizen. Onder elke framing stal elk reglement. De score weghalen herstelde niemands waarden; alleen veranderen wat de score telde maakte een eind aan het stelen. Restitutie schrikte alleen af met een pakkans, en de modellen schreven de verwachtingswaardesommen in hun kladblok. Een publieke voorafgaande toezegging drukte het stelen veel verder omlaag dan een privénotitie. Een speelgoedwereld, de cijfers van de auteur zelf, en de schoonste kleine demonstratie die ik heb gezien dat een waardeprompt geen stand houdt tegen een doelfunctie.

Michael Kaplan, The Sentient Architect, 17 september 2026. Eigenaarschap van een agent is een beslisarchitectuur, geen naam in een inventaris. Zes bevoegdheden worden standaard gebundeld en moeten uit elkaar: uitkomst, platform, identiteit, acceptatie van restrisico, opschorting, en of de investering doorgaat. Zijn test: zet de eigenaar in een scenario waarin waarde stroomt, security een wezenlijke zorg heeft, operations geen uitval kan dragen en het bewijs onvolledig is, en vraag wat er dan gebeurt.

Marcela Distefano, Ethics, life and AI, 24 juli 2026. De OESO-, G7- en Britse raamwerken die zij beoordeelt dragen principes maar geen kwantitatieve stopregel en geen persoon met de bevoegdheid om te stoppen. Haar anker is de toeslagenaffaire, een systeem dat niemand de formele bevoegdheid, of de wil, had om te stoppen. Haar vijf vragen zijn een checklist die het bewaren waard is: is er een numerieke stopregel, een persoon met naam die kan stoppen, houdt het stand in een geval waarin stoppen geld kost, is er monitoring na uitrol, en zou het de toeslagenzaak hebben gesignaleerd.

Waar de bronnen dun of fout zijn

Shu, en Zhu en Wang, zijn preprints van één auteursgroep met eigen evaluaties, in de gelezen versies niet peer-reviewed. Meerdere tabellen van de intrekkingspaper zijn alleen op bijschrift gelezen, dus elk percentage in beide papers is hier ongeverifieerd en geen ervan is overdraagbaar. Shu’s getuige is een mechanismeschets met een message authentication code, geen ondertekeningsontwerp dat iemand zo moet overnemen. Het quiescence-protocol veronderstelt leveranciersadapters die bij elk effectpunt een hek kunnen plaatsen; de meeste SaaS-tools bieden zoiets niet, dus de paper rapporteert de vorm van de claim, niet de haalbaarheid tegenover de leveranciers die een gemeente werkelijk gebruikt.

Krishnan is één auteur, vijf modellen en een speelgoedwereld; niets erin is een percentage of een drempel. Kaplan is betoog, geen meting, en zijn woordenschat komt uit zijn eigen boeken, die de post aanprijst. Distefano’s cijfers over de toeslagenaffaire, ongeveer 70.000 gezinnen en 2.090 uit huis geplaatste kinderen, zijn toegeschreven aan nieuwsberichten en niet aan primaire bronnen, en het raamwerk dat zij ervoor in de plaats stelt is van haarzelf en ongetoetst. Ik neem de checklist; de cijfers neem ik niet.

Wat het betekent

Voor een CTO. Een goedkeuring is een contract met een geldigheidsvenster, geen vinkje. Bind haar aan de planrevisie, de bewijsstatus en het moment van afgifte; als er iets bewoog, vraagt de run opnieuw. Dat doe ik al, en deze papers zeggen waar de controle hoort: bij het effect, op de toestand van dat moment, niet op de toestand die de planner zich herinnert. Ten tweede: “we hebben het token ingetrokken” is een 200, geen bewijs. Schrijf de dragers op die na intrekking nog kunnen handelen, wachtrijen, timers, webhooks, afgeleide credentials, geaccepteerde leveranciersbewerkingen, en laat elk ervan verantwoording afleggen. De lijst wordt korter dan je vreest en langer dan je huidige runbook.

Voor een gemeente. Drie dingen, alle drie organisatorisch voordat ze technisch zijn. Vraag de prompt niet om de waarde vast te houden; bepaal wat de score telt en zet de regel buiten het model. Benoem de persoon die een agent mag stoppen als stoppen geld kost, en leg het vast vóór de eerste zaak, niet erna. En haal voor elke agent die een burgerdossier raakt de zes bevoegdheden van Kaplan uit elkaar; de gebundelde is degene die in de toetsing zal falen.

Heraclitus zei dat je niet twee keer in dezelfde rivier kunt stappen. De autorisatietoestand die een agent een seconde geleden las, is die rivier, en beide papers gaan over de tweede stap.

Computer says no is tenminste een oordeel. Computer zei een uur geleden ja is het probleem waar deze papers over gaan.

Verwijzingen

De knipogen en citaten in dit stuk, met hun herkomst, en de gelezen bronnen:

• Little Britain (BBC, 2003-2006): Carol Beer, “Computer says no.”
• Heraclitus, zoals overgeleverd door Plato, Cratylus 402a: je kunt niet tweemaal in dezelfde rivier stappen.
• Wesley Shu, Boundary-State Control for Tool-Using Language-Model Agents: Commit-Time Consistency under State Drift, arXiv:2609.37475, ingediend 26 september 2026.
• Genliang Zhu en Chu Wang, Authorization Revocation for Long-Running AI Agents: Root-Scoped Quiescence under Delegation and Asynchronous Execution, arXiv:2609.21284, ingediend 18 september 2026.
• Rohit Krishnan, Agent governance looks less like moral education and more like institutional economics, Strange Loop Canon, 6 oktober 2026.
• Michael Kaplan, Every AI Agent Needs an Accountable Human Owner, The Sentient Architect, 17 september 2026.
• Marcela Distefano, Algorithmic Governance That Doesn’t Govern, Ethics, life and AI, 24 juli 2026.