Isolatietier
Stel je een ziekenhuis voor met een isolatieafdeling. Patiënten die extra besmettelijk zijn, liggen niet zomaar op een gewone kamer: ze krijgen een eigen ruimte met een luchtsluis, speciale ventilatie en strikte regels over wie er naar binnen mag. Hoe gevaarlijker de ziekte, hoe meer lagen bescherming er tussen de patiënt en de buitenwereld zitten. Een isolatietier is in feite hetzelfde idee, maar dan toegepast op computersystemen en, steeds vaker, op kunstmatige intelligentie (AI): een schaal die aangeeft hoe streng een digitaal systeem is afgeschermd van de buitenwereld, zodat het niet kan ontsnappen, misbruikt worden of gevoelige informatie kan laten weglekken.
Het begrip duikt op nu AI-systemen steeds vaker zelfstandig taken uitvoeren: code schrijven en uitvoeren, websites bezoeken, bestanden aanpassen. Daarmee ontstaat een nieuw risico, want een programma dat zelf dingen mag doen op internet of op een computer kan daar ook schade aanrichten — per ongeluk of door misbruik. Bedrijven en onderzoekers werken daarom aan systemen van oplopende 'tiers' (niveaus): hoe krachtiger of onvoorspelbaarder een AI-model, hoe hoger het isolatietier waarin het moet draaien, met steeds dikkere digitale muren eromheen.
Wat is het precies?
Een isolatietier is geen los natuurkundig verschijnsel, maar een classificatie: een manier om in stappen aan te geven hoe goed een stukje software is afgescheiden van de rest van de wereld. De techniek erachter bestaat uit een aantal bouwstenen die je als lagen op elkaar kunt stapelen.
De eerste, lichtste laag is procesisolatie: het programma draait in een afgebakend hoekje van het geheugen van een computer, gescheiden van andere programma's. Dit is wat besturingssystemen al decennialang doen, maar het biedt weinig bescherming tegen een slim of kwaadwillend programma.
Een stap zwaarder is een sandbox of container: een virtuele, afgesloten omgeving waarin software kan draaien zonder dat ze (zomaar) bij bestanden, netwerken of andere programma's op dezelfde machine kan. Denk aan een proeftuin met een hek erom. Google's open source-project gVisor is hiervan een bekend voorbeeld: het vangt alle verzoeken van een programma aan het besturingssysteem af en controleert ze, voordat ze worden doorgelaten.
Nog een laag hoger zit virtuele-machine-isolatie: het programma draait in een complete, nagemaakte computer binnen de echte computer, met een eigen virtueel geheugen en eigen virtuele hardware. Dit is zwaarder, maar ook lastiger te doorbreken.
De zwaarste software-gebaseerde laag heet hardware-geïsoleerde uitvoering, vaak aangeduid met de Engelse term Trusted Execution Environment (TEE, vrij vertaald: vertrouwde uitvoeringsomgeving). Hierbij zorgt de chip zelf — bijvoorbeeld via Intel SGX, AMD SEV of technologie van ARM — dat een stukje code en de bijbehorende data onzichtbaar en onaantastbaar zijn voor al het andere op dezelfde machine, zelfs voor de eigenaar van de machine. Dit wordt ook wel confidential computing genoemd (vertrouwelijk rekenen).
De absolute bovenste tier is fysieke isolatie of air-gapping: de computer heeft helemaal geen netwerkverbinding met de buitenwereld. Informatie kan er alleen in en uit via een mens die dat bewust toestaat, bijvoorbeeld door een USB-stick over te dragen. Dit is traag en onhandig, maar vrijwel onmogelijk te hacken via internet.
Belangrijk om te weten: er bestaat geen wereldwijd vastgelegde, uniforme naamgeving voor deze tiers. Verschillende bedrijven en onderzoeksgroepen gebruiken eigen termen en eigen indelingen. 'Isolatietier' is dus eerder een beschrijvend begrip dan een gestandaardiseerde technische norm, al wordt de onderliggende logica — oplopende niveaus van scheiding — breed herkend.
Wat wil men ermee bereiken?
Het directe doel is schadebeperking. Als een AI-systeem zelfstandig code mag uitvoeren of op internet mag surfen, wil je dat een fout, een bug of een kwaadaardige opdracht niet meteen tot een datalek, een gehackte server of een verspreid virus leidt. Door het systeem in een passend isolatietier te plaatsen, blijft eventuele schade beperkt tot die afgesloten omgeving.
Een tweede doel is het beschermen van het AI-model zelf. De 'gewichten' van een groot taalmodel (de miljarden getallen die bepalen hoe het model zich gedraagt) zijn kostbaar intellectueel eigendom en kunnen, in verkeerde handen, ook misbruikt worden voor schadelijke toepassingen. Een hoger isolatietier maakt het moeilijker om die gewichten te stelen.
Een derde doel is vertrouwen en verantwoording. Toezichthouders, bedrijven en het publiek willen weten dat steeds krachtigere AI-systemen niet zomaar los rondlopen. Een helder systeem van tiers biedt een manier om dat vertrouwen te onderbouwen: 'dit model draait op niveau X, met deze specifieke beveiligingsmaatregelen', in plaats van vage geruststellingen.
Tot slot speelt regelgeving een rol. In de Europese Unie verplicht de AI Act (vanaf 2024 geleidelijk ingevoerd) aanbieders van risicovolle AI-systemen om risicobeheer en passende technische maatregelen te documenteren. Een isolatietier-achtige indeling kan onderdeel worden van hoe bedrijven aan zulke eisen voldoen, al schrijft de wet zelf geen specifieke techniek voor.
Voorbeelden uit de praktijk
De onderliggende technieken zijn al langer in gebruik, maar worden recent steeds gerichter ingezet voor AI-doeleinden.
Anthropic's Responsible Scaling Policy (vanaf 2023, met updates in 2024 en 2025) beschrijft zogeheten AI Safety Levels (ASL), een systeem van oplopende beveiligings- en inzeteisen naarmate een model gevaarlijkere vaardigheden zou kunnen krijgen — inclusief eisen aan hoe streng de modelgewichten worden afgeschermd.
OpenAI's Preparedness Framework (2023) volgt een vergelijkbare logica: modellen worden getest op risicocategorieën, en bij hogere risico's gelden strengere inzet- en beveiligingsvoorwaarden voordat een model breed beschikbaar komt.
Google's gVisor (open source sinds 2018) wordt gebruikt om cloud-diensten en, steeds vaker, AI-codeassistenten in een afgeschermde sandbox te laten draaien wanneer ze zelf code uitvoeren.
AWS Nitro Enclaves (geïntroduceerd in 2020) bieden hardware-geïsoleerde rekenomgevingen binnen Amazons cloud, gebruikt door bedrijven die gevoelige data of modellen willen verwerken zonder dat zelfs Amazon erbij kan.
Sandboxdiensten voor AI-codeagenten, zoals E2B (vanaf 2024), bieden kant-en-klare, tijdelijke en volledig afgesloten omgevingen waarin AI-assistenten code mogen schrijven en uitvoeren zonder toegang tot het echte netwerk of bestandssysteem van de gebruiker.
Hoe ver is de techniek?
De basistechnieken — containers, virtuele machines, hardware-TEE's — zijn volwassen en worden al jaren op grote schaal gebruikt in banken, ziekenhuizen en clouddiensten. Wat nieuw en nog in volle ontwikkeling is, is de specifieke toepassing op steeds zelfstandiger opererende AI-systemen, en het idee om daar een expliciete, gedeelde 'tier'-indeling aan te koppelen.
Er zijn nog serieuze knelpunten. Sterkere isolatie kost vaak rekensnelheid: hoe meer lagen bescherming, hoe trager en duurder het systeem. Daarnaast blijken ook hardware-geïsoleerde omgevingen niet waterdicht — zogeheten side-channel-aanvallen (waarbij aanvallers informatie afleiden uit bijvoorbeeld stroomverbruik of timing, in plaats van de data direct te lezen) hebben in het verleden lekken in TEE's zoals Intel SGX aangetoond. Ook is volledige isolatie van een zeer capabel AI-model conceptueel lastig: als een mens de output van het model leest en daarna zelf iets buiten de isolatieomgeving doet, kan informatie alsnog 'ontsnappen' via die menselijke tussenstap.
Belangrijk is bovendien dat er, zoals eerder genoemd, geen brede industriestandaard bestaat voor wat een bepaald tier precies inhoudt. Verschillende organisaties gebruiken eigen definities, waardoor vergelijken tussen bedrijven moeilijk is. Dit is een actief punt van discussie binnen AI-veiligheidsonderzoek.
Wie werken eraan?
Aan de AI-kant zijn Anthropic, OpenAI en Google DeepMind de meest zichtbare partijen met publiek gedocumenteerde veiligheidskaders die isolatie- en beveiligingsniveaus beschrijven. Aan de infrastructuurkant leveren Amazon Web Services, Microsoft Azure en Google Cloud de clouddiensten waarin confidential computing wordt aangeboden, met chiptechnologie van Intel, AMD en ARM als technische basis.
Op onderzoeksgebied houden onafhankelijke instanties zoals METR (voorheen ARC Evals) zich bezig met het testen van AI-modellen op risicovol gedrag, wat direct raakt aan de vraag welk isolatieniveau nodig is. Overheden mengen zich ook in dit veld: het AI Safety Institute in het Verenigd Koninkrijk en het Amerikaanse NIST (National Institute of Standards and Technology) publiceren richtlijnen voor veilige omgang met geavanceerde AI-systemen, terwijl de Europese Unie met de AI Act een juridisch kader schept waarbinnen zulke technische maatregelen hun plek moeten krijgen.