De mogelijkheden van geavanceerde AI-modellen zijn niet langer theoretisch. Bedrijven als Anthropic en OpenAI zullen binnenkort modellen uitbrengen die, hoe je het ook bekijkt, bedreven zijn in het op grote schaal opsporen van kwetsbaarheden. Dit zijn geen kleine, stapsgewijze verbeteringen: stel je een groep AI-agents voor die systematisch en continu elke zwakte in je technologische infrastructuur in kaart brengen.

De komende zes maanden zal het steeds makkelijker worden om een geavanceerde aanval uit te voeren. Wat ooit het domein was van gespecialiseerde hackers, wordt straks toegankelijk voor iedereen met een creditcard en een computer.

Wat het nu anders maakt, is niet alleen wat er technisch mogelijk is, maar vooral de scheve verhouding die momenteel in het voordeel van de aanvaller werkt. Een hacker kan straks in zijn eentje aanvallen uitvoeren waar vroeger complete teams voor nodig waren. De AI-modellen slapen niet, schalen moeiteloos op en hoeven het maar één keer bij het juiste eind te hebben. Verdedigers moeten het daarentegen elke keer goed doen.

De kwetsbaarheden van bedrijven zijn niet moeilijk te vinden. De gemiddelde organisatie leunt op duizenden techleveranciers en miljoenen open-sourcecomponenten, met jaren aan opgebouwde risico’s: configuratiefouten, vergeten API’s, toegangsrechten die ooit logisch waren maar nooit zijn herzien. Volgens het Cybersecuritybeeld Nederland 2025 worden digitale systemen steeds afhankelijker van complexe ketens en leveranciers, waardoor kwetsbaarheden zich sneller kunnen verspreiden en moeilijker beheersbaar worden.

Tegelijkertijd groeit het aanvalsoppervlak in hoog tempo. Medewerkers experimenteren met AI-agents zonder goed inzicht in de risico’s die ze daarmee introduceren. Zo verwacht Gartner dat in 2027 meer dan 40% van de AI-gerelateerde datalekken wordt veroorzaakt door verkeerd gebruik van generatieve AI over de landsgrenzen heen. ‘Vibe coding’ maakt softwareontwikkeling toegankelijk voor mensen zonder security achtergrond, waardoor applicaties niet altijd veilig worden ontworpen. Vrijwel elke desktop gedraagt zich inmiddels als een server, vaak met onbeheerde AI-tools in de buurt van gevoelige systemen. Zo blijft het aanvalsoppervlak groeien, grotendeels onopgemerkt.

De confrontatie komt sneller dan de meeste bestuurders verwachten

De snelste AI-gedreven aanvallen gaan nu al in zo’n 25 minuten van toegang tot datadiefstal, terwijl de gemiddelde organisatie er nog dagen over doet om een aanval te traceren.

Deze versturen we 3-4x per jaar.