Nieuwe ai‑modellen vinden kwetsbaarheden sneller dan security‑teams erop kunnen reageren. Het bestuur van CISO Community Nederland waarschuwt dat organisaties een nieuw tijdperk zijn binnengegaan. Een tijdperk waarin ai autonoom handelt en in verkeerde handen fungeert als digitale loper voor kritieke infrastructuren.
De directe aanleiding voor het luiden van de noodklok is het uitstel van Claude Mythos, het nieuwe ai-model van Anthropic. De introductie werd beperkt nadat duidelijk werd dat het model razendsnel beveiligingslekken kan opsporen en dat cybercriminelen deze functionaliteit misbruiken. Organisaties moeten de tijd krijgen om hun verdediging op te schalen. Naast de ciso’s slaan ook toezichthouders alarm.
Volgens de ciso‑community is de impact van de nieuwe generatie ai‑modellen fundamenteel anders. ‘We bevinden ons in het tijdperk van agentic offensive capabilities’, stelt het bestuur. Voorzitter Dimitri van Zantvliet benadrukt dat directies moeten stoppen met ai te zien als een slimme chatbot. ‘Zie het als wat het werkelijk is: een strategisch instrument met enorme ontwrichtende kracht.’
De voorsprong van gecontroleerde modellen is bovendien fragiel, stelt hij. Hoogwaardige ai‑capaciteiten lekken binnen maanden door naar open‑source-toepassingen. Daarmee wordt de dreiging exponentieel groter, waarschuwen de informatiebeveiligers.
Drie acute risico’s die nu al spelen
De ciso’s noemen drie gevaren die direct aandacht vragen:
- Zero‑days versnellen
De tijd tussen ontdekking en misbruik van een nog onbekende kwetsbaarheid krimpt van dagen naar uren. Aanvallers opereren op ai‑snelheid. - Menselijke fouten blijven fataal
Saas‑ en cloud‑misconfiguraties vormen nog steeds het grootste toegangspunt. Automatisering van detectie is noodzakelijk. - Ai‑gestuurde prioritering wordt verplicht
Security‑teams kunnen de datastroom niet meer handmatig verwerken. Defensieve ai‑tools moeten signalen filteren voordat opensource aanvalstools dat doen.
Het Mythos‑incident onderstreept de urgentie. ‘Als we de omgeving rond de ai niet kunnen beveiligen, wordt de ai zelf onze grootste kwetsbaarheid’, aldus Van Zantvliet. Volgens de ciso’s verandert Enterprise Vulnerability Management (evm) van administratieve taak in strategische noodzaak en is handmatig beheer niet langer houdbaar. ‘In een ai‑gedreven dreigingslandschap moet evm een topprioriteit worden in de bestuurskamer’, stelt het bestuur.
Drie adviezen voor directies
CISO Community Nederland richt zich expliciet tot raden van bestuur. ‘Cybersecurity is geen operationeel ict‑probleem meer. Het is een bestuurlijke verantwoordelijkheid.’ Ze doen drie dringende aanbevelingen:
- Houd direct toezicht op ai‑gereedheid
Zorg dat defensieve middelen bestand zijn tegen aanvallen op ai‑snelheid. - Investeer in proactieve defensie
Verschuif budget van reactief herstel naar geautomatiseerd, continu kwetsbaarheidsbeheer. - Erken de tijdlijn
Het lekken van ai‑capaciteiten naar open‑source is onafwendbaar. Afwachten is geen optie meer.
Vrijblijvendheid is voorbij
Het bestuur van CISO Community Nederland — Dimitri van Zantvliet, Luisella ten Pierik, Justin Broeders, Carlo Schreurs en Rob Beijleveld — benadrukt dat organisaties zich moeten voorbereiden op een nieuw tijdperk. Een tijdperk waarin ai sneller, autonomer en gevaarlijker opereert dan ooit. ‘De digitale verdedigingswerken moeten nu worden opgetrokken. Handelen is een plicht, geen keuze.’
