Tweemans-goedkeuringsprincipe: waarom één druk op de knop nooit genoeg mag zijn
Stel je voor: een kluis met twee sloten, waarvan de sleutels bij twee verschillende mensen liggen die elkaar niet kennen. Pas als beiden hun sleutel tegelijk omdraaien, gaat de deur open. Dat is in een notendop het tweemans-goedkeuringsprincipe (in het Engels: two-person rule of two-man rule): een veiligheidsmaatregel die voorschrijft dat een kritieke, onomkeerbare of gevaarlijke actie nooit door één persoon alleen uitgevoerd kan worden. Er zijn altijd minstens twee onafhankelijke mensen nodig die het ermee eens zijn.
Het principe is al decennia oud en komt oorspronkelijk uit de kernwapenwereld, maar duikt de laatste jaren steeds vaker op in een heel ander domein: de beveiliging van krachtige kunstmatige intelligentie. Wie kan bijvoorbeeld in zijn eentje besluiten om een nieuw, mogelijk risicovol AI-model vrij te geven, of om de broncode en de 'gewichten' (de geheime getallen die een AI-model zijn geheugen en gedrag geven) te kopiëren naar buiten de beveiligde omgeving? Steeds meer organisaties willen dat zo'n beslissing nooit bij één mens of één systeem ligt.
Wat is het precies?
De kern van het tweemans-goedkeuringsprincipe is simpel: splits de macht om iets te doen, zodat geen enkel individu de volledige controle heeft. Dat gebeurt meestal op een van drie manieren.
De eerste vorm is fysieke scheiding. Bij oude kernraketten moesten twee officieren, die ver genoeg van elkaar stonden dat niemand allebei de sleutelgaten kon bereiken, gelijktijdig hun sleutel omdraaien. Niemand kon dus alleen een lancering starten, ook niet onder dwang of in paniek.
De tweede vorm is cryptografische scheiding, ook wel 'split knowledge' genoemd. Een geheime code of digitale sleutel wordt wiskundig in stukken gesplitst (vaak met een techniek die Shamir's Secret Sharing heet), zodat je bijvoorbeeld drie van de vijf stukken nodig hebt om de volledige sleutel te herstellen. Geen van de sleutelbewaarders kent de hele code.
De derde vorm is procedurele goedkeuring: een handeling wordt pas uitgevoerd nadat een tweede, onafhankelijke persoon de aanvraag heeft gecontroleerd en digitaal of schriftelijk heeft goedgekeurd. Dit zie je terug in bankwezen (een overboeking van een miljoen euro vereist vaak twee handtekeningen) en in moderne softwareontwikkeling, waar niemand zijn eigen programmeercode mag goedkeuren voordat die naar productie gaat.
Belangrijk is dat de twee personen écht onafhankelijk moeten zijn: ze mogen geen gezamenlijk belang hebben, elkaar niet kunnen dwingen, en idealiter niet dezelfde manager of dezelfde computersysteem delen. Anders wordt het principe een lege formaliteit.
Wat wil men ermee bereiken?
Het doel is in essentie risicospreiding tegen drie soorten dreigingen tegelijk. Ten eerste de kwaadwillende insider: iemand die zelf besluit om iets gevaarlijks te doen, zoals een medewerker die een kernwapen wil afvuren, geld wil stelen of geheime AI-modelgewichten wil stelen en verkopen aan een buitenlandse partij. Met één saboteur ben je kwetsbaar; voor twee onafhankelijke saboteurs die precies hetzelfde willen, is de kans veel kleiner.
Ten tweede de menselijke fout. Iemand die onder stress, vermoeidheid of door een vergissing een verkeerde beslissing neemt, wordt gecorrigeerd door een tweede paar ogen. Dit heet ook wel het 'four-eyes principle' (vier-ogen-principe).
Ten derde dwang en chantage: als een aanvaller, chanteur of vreemde overheid slechts één persoon onder druk moet zetten om toegang te krijgen, is het systeem zwak. Met twee vereiste goedkeurers moet de aanvaller twee mensen tegelijk compromitteren, wat aanzienlijk moeilijker is.
Bij AI-veiligheid komt daar een vierde motief bij: voorkomen dat een geavanceerd AI-systeem zelf, zonder menselijke tussenkomst, een onomkeerbare actie neemt. Door een kritieke stap afhankelijk te maken van goedkeuring door twee onafhankelijke mensen (of een mens plus een los van elkaar werkend controlesysteem), houdt men een mens stevig 'in de lus' voordat iets niet meer terug te draaien is.
Voorbeelden uit de praktijk
Het bekendste en oudste voorbeeld is de Amerikaanse kernwapenbeveiliging. Vanaf de vroege jaren zestig voerde de Amerikaanse overheid de zogenoemde Permissive Action Links (PAL's) in: elektromechanische sloten op kernwapens die alleen te openen zijn met een code die in stukken verdeeld is over verschillende bevelslagen. Op onderzeeërs met Trident-raketten en bij Minuteman-raketsilo's in de VS is tot op de dag van vandaag een procedure actief waarbij minstens twee officieren onafhankelijk van elkaar codes moeten invoeren voordat een lancering fysiek mogelijk is.
In het bankwezen is dual control bij internationale betalingen via het SWIFT-netwerk al decennialang standaardpraktijk: grote overboekingen vereisen dat één medewerker de transactie invoert en een andere, onafhankelijke medewerker deze goedkeurt, juist om fraude en diefstal te bemoeilijken na beruchte incidenten zoals de diefstal van 81 miljoen dollar bij de Bangladesh Bank in 2016, waarbij juist zwakke interne controles werden uitgebuit.
In de cryptografie gebruiken beheerders van Hardware Security Modules (HSM's) – gespecialiseerde kluisjes voor digitale sleutels, onder meer bij certificaatautoriteiten die het internet veilig helpen houden – vaak 'M-van-N'-sleutelsplitsing, waarbij bijvoorbeeld drie van de vijf beheerders gelijktijdig aanwezig moeten zijn om een hoofdsleutel te herstellen of te gebruiken.
Bij biobeveiliging schrijft het Amerikaanse Select Agent Program, uitgevoerd door de CDC en het ministerie van Landbouw, voor dat laboratoria die met de gevaarlijkste ziekteverwekkers werken (BSL-4-niveau) toegangscontroles moeten hebben die voorkomen dat één enkele medewerker zonder toezicht bij gevaarlijke pathogenen kan.
Het meest recente en nog volop in ontwikkeling zijnde voorbeeld is te vinden bij AI-veiligheidsbeleid. Denktanks zoals de RAND Corporation hebben in rapporten over het beveiligen van AI-modelgewichten (vanaf 2024) beschreven hoe 'two-key'-achtige systemen kunnen helpen voorkomen dat een enkele ingenieur of een gehackt account de volledige, zeer dure trainingsdata en modelparameters van een geavanceerd AI-systeem kan kopiëren of lekken. Verschillende AI-ontwikkelaars nemen vergelijkbare ideeën op in hun interne veiligheidskaders voor steeds krachtigere modellen, al verschilt het per bedrijf hoe strikt en publiek gedocumenteerd dit is.
Hoe ver is de techniek?
Binnen de kernwapenwereld en het bankwezen is het tweemans-goedkeuringsprincipe volledig volwassen: het is al meer dan vijftig jaar in gebruik, uitgebreid getest, en vastgelegd in wetgeving en internationale standaarden zoals ISO/IEC 27001 (informatiebeveiliging) en richtlijnen van het Amerikaanse National Institute of Standards and Technology (NIST) over sleutelbeheer.
Binnen de AI-sector is de toepassing veel jonger en minder uniform. Er bestaat nog geen wettelijke verplichting die alle AI-ontwikkelaars dwingt tot een specifieke vorm van tweemans-controle op modelgewichten of op beslissingen over het inzetten van een nieuw model. Het is vooral vrijwillig beleid van individuele bedrijven, aangevuld met aanbevelingen van onderzoeksinstellingen. Een belangrijk obstakel is dat AI-ontwikkeling veel sneller gaat dan het opstellen van formele beveiligingsprocedures, en dat sommige kritieke handelingen (zoals het automatisch opnieuw trainen van een model) deels geautomatiseerd verlopen, waardoor het lastiger is om twee mensen er fysiek tussen te zetten zonder het proces onwerkbaar traag te maken.
Een ander obstakel, dat al in de kernwapenwereld bekend is, heet 'collusie': als de twee goedkeurende personen samenwerken of elkaar vertrouwen op basis van vriendschap in plaats van onafhankelijke controle, valt de bescherming grotendeels weg. Organisaties moeten dus ook investeren in screening, rotatie van personeel en technische logging om te voorkomen dat het principe verwatert tot een formaliteit.
Wie werken eraan?
In de kernwapensector is de Amerikaanse National Nuclear Security Administration (NNSA, onderdeel van het Amerikaanse ministerie van Energie) de belangrijkste instantie die de procedures beheert en updatet, in samenwerking met het Pentagon. Vergelijkbare systemen bestaan bij andere kernmachten zoals Frankrijk, het Verenigd Koninkrijk en Rusland, al zijn details vaak staatsgeheim.
In de financiële sector zijn internationale toezichthouders en normeringsorganisaties zoals SWIFT zelf, nationale centrale banken en de Baselse Commissie voor Bankentoezicht betrokken bij het voorschrijven van dual-control-vereisten.
Op het gebied van cryptografie en algemene cybersecurity speelt NIST in de Verenigde Staten een leidende rol met technische richtlijnen (onder meer de serie Special Publication 800), en de International Organization for Standardization (ISO) met wereldwijd erkende normen.
Binnen AI-veiligheid zijn het vooral toonaangevende AI-ontwikkelaars zoals Anthropic, OpenAI en Google DeepMind die in hun interne veiligheidskaders aandacht besteden aan toegangscontrole tot modelgewichten, aangevuld met onafhankelijk onderzoek van instellingen zoals de RAND Corporation en academische AI-veiligheidsgroepen aan universiteiten in de Verenigde Staten en het Verenigd Koninkrijk. Ook het Britse AI Safety Institute en soortgelijke overheidsinstanties die vanaf 2023-2024 zijn opgericht, houden zich bezig met de vraag hoe toegang tot de machtigste AI-systemen veilig georganiseerd moet worden.