Nieuwe ai‑modellen vinden kwetsbaarheden sneller dan security‑teams erop kunnen reageren. Het bestuur van CISO Community Nederland waarschuwt dat organisaties een nieuw tijdperk zijn binnengegaan. Een tijdperk waarin ai autonoom handelt en in verkeerde handen fungeert als digitale loper voor kritieke infrastructuren.

De directe aanleiding voor het luiden van de noodklok is het uitstel van Claude Mythos, het nieuwe ai-model van Anthropic. De introductie werd beperkt nadat duidelijk werd dat het model razendsnel beveiligingslekken kan opsporen en dat cybercriminelen deze functionaliteit misbruiken. Organisaties moeten de tijd krijgen om hun verdediging op te schalen. Naast de ciso’s slaan ook toezichthouders alarm.

Volgens de ciso‑community is de impact van de nieuwe generatie ai‑modellen fundamenteel anders. ‘We bevinden ons in het tijdperk van agentic offensive capabilities’, stelt het bestuur. Voorzitter Dimitri van Zantvliet benadrukt dat directies moeten stoppen met ai te zien als een slimme chatbot. ‘Zie het als wat het werkelijk is: een strategisch instrument met enorme ontwrichtende kracht.’

De voorsprong van gecontroleerde modellen is bovendien fragiel, stelt hij. Hoogwaardige ai‑capaciteiten lekken binnen maanden door naar open‑source-toepassingen. Daarmee wordt de dreiging exponentieel groter, waarschuwen de informatiebeveiligers.

Drie acute risico’s die nu al spelen

De ciso’s noemen drie gevaren die direct aandacht vragen:

1. Zero‑days versnellen
   De tijd tussen ontdekking en misbruik van een nog onbekende kwetsbaarheid krimpt van dagen naar uren. Aanvallers opereren op ai‑snelheid.
2. Menselijke fouten blijven fataal
   Saas‑ en cloud‑misconfiguraties vormen nog steeds het grootste toegangspunt. Automatisering van detectie is noodzakelijk.
3. Ai‑gestuurde prioritering wordt verplicht
   Security‑teams kunnen de datastroom niet meer handmatig verwerken. Defensieve ai‑tools moeten signalen filteren voordat opensource aanvalstools dat doen.

Het Mythos‑incident onderstreept de urgentie. ‘Als we de omgeving rond de ai niet kunnen beveiligen, wordt de ai zelf onze grootste kwetsbaarheid’, aldus Van Zantvliet. Volgens de ciso’s verandert Enterprise Vulnerability Management (evm) van administratieve taak in strategische noodzaak en is handmatig beheer niet langer houdbaar. ‘In een ai‑gedreven dreigingslandschap moet evm een topprioriteit worden in de bestuurskamer’, stelt het bestuur.

Deze versturen we 3-4x per jaar.