De nieuwe generatie AI-modellen kan beveiligingslekken zo snel vinden en misbruiken dat traditionele, handmatige verdediging niet meer werkt. Dit betekent dat elk bedrijf met een online aanwezigheid zijn beveiligingsaanpak fundamenteel moet aanpassen, van reactief naar proactief en geautomatiseerd.

Wat er aan de hand is

Het bestuur van CISO Community Nederland, een netwerk van Chief Information Security Officers, heeft de noodklok geluid. De directe aanleiding is het uitstel van ‘Claude Mythos’, een nieuw AI-model van het bedrijf Anthropic. Uit tests bleek dat dit model razendsnel kwetsbaarheden in software kan opsporen, een functionaliteit die volgens de experts ook door cybercriminelen kan worden misbruikt. De CISO’s stellen dat we een nieuw tijdperk zijn binnengegaan van ‘agentic offensive capabilities’, waarbij AI autonoom kan handelen en als een ‘digitale loper’ kan fungeren om kritieke systemen binnen te dringen. Ze waarschuwen dat de voorsprong van gecontroleerde, commerciële modellen fragiel is, omdat geavanceerde AI-capaciteiten vaak binnen enkele maanden doorsijpelen naar open-source toepassingen, waardoor de dreiging exponentieel groter wordt.

Wat dit betekent

De impact is fundamenteel anders dan bij eerdere technologische verschuivingen. Voor ondernemers en MKB-bedrijven betekent dit concreet dat drie acute risico’s nu al spelen. Ten eerste krimpt de tijd tussen de ontdekking van een onbekend lek (een ‘zero-day’) en het misbruik ervan van dagen naar uren; aanvallers opereren op AI-snelheid. Ten tweede blijven menselijke fouten, zoals verkeerde configuraties in clouddiensten, het grootste toegangspunt voor aanvallen. Ten derde kunnen security-teams de stroom van waarschuwingen en data niet meer handmatig verwerken. Defensie moet daarom ook geautomatiseerd worden. Het beheer van kwetsbaarheden verandert van een administratieve IT-taak in een strategische noodzaak die directe aandacht van de leiding vereist.

Hoe je dit kunt toepassen

De CISO’s richten zich met hun adviezen tot directies, maar de kern is voor elke ondernemer toepasbaar. Het gaat erom AI niet langer als een passieve tool te zien, maar als een actieve, strategische factor in je risicobeheer.

Als je een webshop of online platform runt… Dan is je grootste risico vaak een verkeerde configuratie van je hosting, betaalomgeving of CMS-plugin. Een mogelijkheid is om maandelijks een geautomatiseerde scan te laten draaien die specifiek zoekt naar deze veelvoorkomende fouten. Overweeg daarnaast om alerts voor verdachte activiteiten (zoals veelvuldige mislukte inlogpogingen) niet handmatig, maar via geautomatiseerde regels te laten doorstromen naar een beheerder.

Als je een klein team aanstuurt en SaaS-diensten gebruikt… Dan is bewustwording en beleid cruciaal. Je zou kunnen beginnen met het opstellen van een eenvoudig AI-beleid. Hierin leg je vast welke AI-tools wel en niet gebruikt mogen worden voor werk, en welke bedrijfsgegevens er nooit in geprompt mogen worden. Dit beperkt het risico dat gevoelige data per ongeluk in een openbaar model terechtkomt, wat een nieuw toegangspunt voor aanvallers kan creëren.

Als je samenwerkt met een IT-leverancier of managed service provider… Dan is dit het moment om het gesprek over beveiliging te herijken. Vraag niet alleen naar reactietijden bij een incident, maar ook naar hun proactieve aanpak. Vraag hoe zij kwetsbaarheidsscans automatiseren, hoe ze omgaan met de snelle stroom van security-waarschuwingen, en of hun diensten AI-gestuurde prioritering gebruiken om de belangrijkste dreigingen eruit te filteren. Maak kwetsbaarheidsbeheer een vast agendapunt.

De kern is verschuiving: wacht niet tot er iets gebeurt, maar gebruik dezelfde automatisering die de dreiging versnelt ook in je verdediging. Begin klein, met beleid en geautomatiseerde checks voor je meest kritieke systemen.

Bron: Computable