verifiëren, niet vertrouwen

Bewijs het. Val het zelf aan.

Elke claim op deze site heeft een knop op deze pagina, gekoppeld aan het echte draaiende systeem: een live database met row-level security, de echte goedkeuringswachtrij, de echte kill switch. Geen opnames.

01, tenant-isolatie

🔒 het kroonjuweel · live

Probeer de tenant-isolatie te doorbreken. Zie hoe die standhoudt.

Twee sandbox-tenants, elk met een privénotitie. Alpha is eigenaar van een gedeelde tool en heeft die aan Beta toegekend. Als Beta de tool aanroept, zelfs als die expliciet om de data van Alpha vraagt, geeft Postgres niets terug, omdat de tool binnen de scope van Beta draait. Dit draait live tegen een echte database met row-level security en een NOBYPASSRLS-rol. Geen enkele audit is door het databasebeleid heen gekomen; het ene cross-tenant-lek dat is gevonden (juli) zat in chatgeschiedenis die buiten de database werd bewaard, en is verholpen. Geen script, druk op de knop.

Wat dit bewijst: één leesactie via een gedeelde tool, over twee sandbox-tenants, levert niets op. Niet: dat geheugen, caches, exports of achtergrondtaken geïsoleerd zijn, of dat elk verzoek aan de juiste tenant gekoppeld is.

tenant Bgedeelde tool →data van tenant A

B roept de tool van A aan en vraagt expliciet om de data van A.
Druk op Run, zie hoe RLS nul rijen teruggeeft.

Het mechanisme: het echte beleid, geen diagram:

ALTER TABLE bookings ENABLE ROW LEVEL SECURITY;
ALTER TABLE bookings FORCE  ROW LEVEL SECURITY;          -- even the table owner obeys it
CREATE POLICY tenant_isolation ON bookings
  USING (tenant_id = NULLIF(current_setting('app.current_tenant', true), '')::uuid);

-- Two roles: migrations run as the owner; the runtime connects as pantheon_app
-- (NOBYPASSRLS), so app code cannot switch the policy off. It relies on the right tenant being set per request.
-- Per request:  SET LOCAL app.current_tenant = '<id>'   →   no context ⇒ zero rows.

Een poortgebouw met zijn valhek. Gravure gegenereerd en geanimeerd door Runway.

02, gecontroleerde actie

⛔ governance · live

Zie hoe een actie met hoge inzet onder governance wordt uitgevoerd.

Vraag de sandbox iets te doen waar iets op het spel staat: een openbare aankondiging publiceren (tier-3). Het wordt niet zomaar uitgevoerd. Het wordt geclassificeerd, gecontroleerd tegen de kill switch en geparkeerd voor een mens. Jij keurt het goed, dan pas handelt het. Zet de kill switch om en zie tier-3 weigeren voordat het zelfs in de wachtrij komt.

kill switch

Wat dit bewijst: één tier-3-demoactie wordt in de wachtrij gezet voor een persoon, en de kill switch stopt die. Niet: dat elke echte actie als tier-3 wordt geclassificeerd wanneer dat zou moeten.

tier-3→goedkeuringswachtrij→mens

Het draait niet. het komt in de wachtrij. Stuur er een, en keur het dan goed of af.
Zet de kill switch om om het te stoppen voordat het zelfs maar in de wachtrij kan.

03, reproduceerbare eval

eval · live · ~15s

De audit, reproduceerbaar. Draai hem zelf.

Een governance-eval: adversariële cases, met pass/fail gescoord tegen de echte assistent en de live sandbox, nu. Geen badge; een knop. Hetzelfde idee als de audits die het blijven verharden, recentelijk een audit met 50 agents en een re-audit met 14 lenzen: eerst aftasten, dan verifiëren.

Wat dit bewijst: vijf vaste cases slagen nu tegen het live systeem; elk resultaat heeft een ontvangstbewijs (case, verwacht, waargenomen, tijd, build). Niet: robuustheid tegen aanvallen buiten deze vijf.

Wat de audits vonden → Ondervraag de assistent direct →

5 adversariële cases
isolatie · governance · veiligheid · injectie · eerlijkheid

Beoordeeld op pass/fail tegen het live systeem. Druk op Run.

04, open protocol

🔌 MCP · live

Richt je eigen AI op de mijne, via het open protocol.

PANTHEON spreekt het Model Context Protocol in beide richtingen: het kan externe MCP-tools onder governance gebruiken, en, live, hier. het biedt zijn eigen gecontroleerde agents aan als MCP-tools. Laat ik eerlijk zijn: MCP aansluiten is een klus voor een weekend. Wat telt is wat eromheen zit, en ik wil niet dat je dat op goed vertrouwen aanneemt. Koppel je eigen client en laat het zichzelf bewijzen. Het protocol is alleen het stopcontact. De governance is waar het om gaat.

npx mcp-remote https://pantheonlabs.co.uk/mcp --header "Authorization: Bearer <mint a token →>"

Neem elke MCP-client mee, Claude Desktop (via mcp-remote), MCP Inspector, Cursor, Cline. Het draait op een kortlevend anoniem sandbox-token, op verzoek aangemaakt.

Kijk dan hoe het zichzelf bestuurt. Vraag de assistent wat je wilt, credits_spent komt terug bij elke aanroep, dus niets kan rood komen te staan. Vraag het daarna om een actie uit te voeren: dat is een tier-3-aanroep, en die gaat nooit af, hij wordt geparkeerd bij de autorisatiepoort, wachtend op een mens. Die weigering heb je zelf veroorzaakt. Het is geen screenshot in een presentatie.

Wat je kunt bereiken: één governed antwoordassistent + een bewust inerte "gate demo"-actie. Een anonieme sandbox met rate limiting, geen echte data, geen acties met echt geld. Zoek naar een tool die niet bestaat en je krijgt dezelfde fout als bij een tool waarvoor je geen toegang hebt, dus de fouten lekken niets.

05: de bouwer

Alles wat je net hebt aangevallen, is door één persoon gebouwd.

Je hebt niets ervan op goed vertrouwen aangenomen; je hebt het zelf gedraaid. Als je systemen wilt die gebouwd zijn om een pagina als deze te overleven, laten we praten.

Neem contact op →