Meer dan honderd vooraanstaande techbedrijven en grote afnemers roepen op tot betere digitale beveiliging van kritieke infrastructuur. Deze staat onder grote druk door ai-gedreven cyberaanvallen die de komende maanden meer wijdverbreid en geavanceerder worden.
In een brandbrief richten zij zich tot beleidsmakers wereldwijd. Tot de ondertekenaars behoren OpenAI, Anthropic, Google, Microsoft, AWS, Oracle, IBM, SAP, ServiceNow en Dell. De bedrijven en publieke diensten waar onze gemeenschappen van afhankelijk zijn lopen gevaar: van ziekenhuizen tot waterzuiveringsinstallaties tot de infrastructuur die het internet aandrijft. Om de risico’s te beperken, is een collectieve reactie vereist die de huidige tekortkomingen erkent, ai-tools inzet ter versterking, en internationale samenwerking bevordert.
Zo’n collectieve reactie moet gebaseerd zijn op de volgende principes:
- Erken dat de huidige beveiliging niet voldoende is. Langdurige bugs, overmatige machtigingen, verkeerde configuraties, onveilige en niet-gepatchte software, zwakke authenticatie en technische schulden in verouderde systemen hebben systemen kwetsbaar gemaakt. Beveiligingsteams, met name voor kritieke infrastructuur, zijn historisch gezien onderbezet en hebben dringend behoefte aan meer tools en middelen.
- Geef meer verdedigers de beschikking over cyberbeveiligings-ai. Ai brengt specialistische vaardigheden binnen handbereik van meer verdedigers en maakt essentiële beveiligingstaken sneller, goedkoper en beter. Door tools, praktische kennis en bewezen oplossingen te delen, kan het werk van de ene organisatie bijdragen aan de bescherming van vele anderen.
- Mobiliseer een collectieve reactie. De cybercapaciteiten ontwikkelen zich wereldwijd, en dat kan een positief effect hebben: geen enkel bedrijf zou de toekomst in zijn eentje moeten kunnen bepalen. Ook is een wereldwijde respons nodig, met nieuwe partnerschappen om de beveiligingsnormen te verhogen en nieuwe oplossingen te vinden voor opkomende cyberdreigingen.
Organisaties moeten aan cyberverdediging voorrang geven door risicovolle kwetsbaarheden aan te pakken en beveiligingsnormen te verhogen voor alle systemen en ai-gegenereerde code. Cybersecurity-bedrijven en technologiepartners dienen de handen ineen te slaan om ai-gestuurde verdedigingsmechanismen te testen, dreigingsinformatie te delen en kritieke infrastructuren te ondersteunen.
Een terechte noodklok. Maar volgens mij ligt het probleem nog een laag dieper.
De brandbrief benoemt terecht bugs, verkeerde configuraties, te ruime machtigingen, technische schuld en verouderde systemen. De voorgestelde reactie is vervolgens vooral: meer AI voor verdediging, betere tooling, hogere standaarden en meer samenwerking.
Maar daarmee bestrijden we vooral de gevolgen van een architectuur die zelf onvoldoende expliciet maakt welke beslissingen onder welke omstandigheden zijn toegestaan.
AI maakt dat zichtbaar. Niet omdat AI alleen maar een krachtigere aanvaller is, maar omdat AI veel systematischer dan mensen de beslisruimte kan verkennen die wij zelf hebben gecreëerd. Legitieme toegangen, API’s, uitzonderingen en bevoegdheden kunnen worden gecombineerd tot uitkomsten die technisch toegestaan zijn, maar die niemand ooit heeft bedoeld.
De fundamentele vraag is daarom niet alleen:
Hoe beschermen we onze bedrijfsapplicaties tegen AI?
maar:
Welke beslissingen kan een bedrijfsapplicatie überhaupt nemen — en waarom?
Zolang betekenis en besluitlogica impliciet verstopt zitten in code, workflows, configuraties en machtigingen, blijft er een semantische aanvalsvector bestaan. Meer monitoring detecteert die ruimte misschien sneller, maar neemt haar niet weg.
De structurele oplossing ligt daarom niet alleen in betere security, maar in betere architectuur: expliciete doelen, expliciete beslissingen, expliciete domeinbegrippen en expliciet begrensde bevoegdheden.
AI loopt niet voor. Het laat zien dat architectuur achterloopt.
Wie betekenis verstopt, bouwt kwetsbaarheid in.
Wie beslissingen expliciet maakt, ontwerpt veiligheid.