Kwetsbaarheden worden zichtbaarder
Frontier AI verwijst naar de meest geavanceerde AI-modellen die op een bepaald moment aan de absolute grens van de technologische mogelijkheden opereren. De discussie over de mogelijkheden van deze modellen is inmiddels veranderd, aldus Reerink. ‘Inmiddels is duidelijk dat Frontier AI veel gaat veranderen in cybersecurity.’
‘Maar als organisatie is het belangrijk de rust en de balans te houden’, zegt Haddouti. ‘Dat we met de nieuwe modellen meer kwetsbaarheden ontdekken, betekent niet dat ze er eerder niet waren. Ze worden nu transparanter en daardoor sneller inzetbaar voor misbruik. Tegelijkertijd ontstaat een risico: die informatie kunnen cybercriminelen misbruiken voor AI-gestuurde aanvallen.’
Reerink noemt als voorbeeld het Mythos-model van Anthropic, dat is getraind om cybersecurityproblemen te vinden. ‘Mythos vond dit voorjaar in één maand meer dan tienduizend kwetsbaarheden bij ongeveer vijftig partners. Dat laat zien hoe goed deze modellen daarin kunnen zijn. Je ziet verder dat AI de snelheid, schaal en complexiteit van cyberaanvallen sterk vergroot.’
Die ontwikkeling heeft volgens Reerink nu al gevolgen. ‘Het aantal patches dat softwarebedrijven uitbrengen, is met zeventig procent gestegen ten opzichte van vorig jaar. Meer patches betekent ook meer werk voor medewerkers en een grotere backlog. Daarmee nemen de risico’s toe.’
Het tempo rondom cybersecurity moet omhoog
De groeiende hoeveelheid kwetsbaarheden zet de bestaande beveiligingsprocessen onder druk. Waar organisaties gewend zijn om patches periodiek door te voeren, wordt die aanpak steeds moeilijker vol te houden.
‘Traditioneel namen bedrijven een langere periode van een maand of zelfs een kwartaal om patches door te voeren. Dat gaat niet meer’, zegt Haddouti. ‘De tijd tussen het ontdekken en misbruiken van een kwetsbaarheid wordt steeds korter. Je moet dus continu inzicht hebben in je eigen kwetsbaarheden en weten hoe AI je kan helpen om op het volume en de snelheid van de aanvallen te reageren.’
Het is volgens haar een ratrace. ‘De middelen die aanvallers inzetten, kun je ook gebruiken om jezelf te verdedigen. Maar we zien nog vaak dat cybercriminelen sneller zijn.’
Reerink verwacht ook dat die voorsprong voorlopig blijft bestaan. ‘De tooling die je gebruikt om jezelf te verdedigen, moet je aanpassen aan de nieuwe dreigingen. Grote IT-leveranciers werken daaraan, maar ondertussen gaan de aanvallen gewoon door. Dat maakt dit een lastige periode voor bedrijven.’
Organisaties moeten daarom niet alleen kijken naar nieuwe technologie, maar ook naar hun manier van werken. ‘Op korte termijn moeten bedrijven ervoor zorgen dat alle processen blijven draaien. Op langere termijn moeten ze nadenken over een fundamenteel andere inrichting van die processen’, aldus Reerink.
Cybersecurity is een bestuursthema
De versnelling van cyberdreigingen vraagt ook om andere keuzes op bestuurlijk niveau. Zo heeft de Europese Centrale Bank (ECB) op 7 juli 2026 de CEO’s van significante banken in Europa opgeroepen om niet af te wachten, maar uiterlijk 31 oktober 2026 een actieplan in te dienen. Daarin moeten zij aangeven welke maatregelen zij nemen om hun operationele weerbaarheid te versterken tegen cyberdreigingen die samenhangen met Frontier AI-modellen.
‘Met die brief laat de toezichthouder zien dat cybersecurity echt een bestuurlijk onderwerp is’, zegt Haddouti. Dat begint met inzicht krijgen in de risico’s en een bewuste afweging maken van wat voor de organisatie acceptabel is. ‘Je moet op korte termijn weten waar je het meest kwetsbaar bent en hoe groot het probleem kan zijn. Vervolgens moet je bepalen welke risico’s je accepteert en wat integraal de consequenties en impact zijn. Die discussie hoort op bestuurlijk niveau plaats te vinden.’
Daarnaast moet de inrichting van de beveiligingsorganisatie veranderen. ‘Een fundamentele herinrichting van je security operationscenter (SOC) is nodig om toekomstbestendig te blijven. Je redt het straks niet meer met bestaande processen aanpassen en aanvullen. Je moet er bovendien voor zorgen dat je mensen voldoende AI-geletterd zijn. En je kunt dit niet alleen: samenwerking met partners en leveranciers is noodzakelijk.’
Breng je kritieke processen goed in beeld
Een belangrijk vertrekpunt is volgens Reerink dat organisaties hun kritieke processen goed in beeld hebben. ‘We zien bij veel bedrijven dat ze niet goed weten welke processen echt kritisch zijn.’
Haddouti licht toe waarom dat inzicht nodig is. ‘Stel dat zich een groot incident voordoet. Welke processen moeten dan blijven draaien om je primaire activiteiten overeind te houden en je klanten te kunnen bedienen? Als je je minimum viable company (MVC) in beeld hebt, kun je gerichter prioriteren en investeren.’
Dat betekent niet dat organisaties alleen de belangrijkste processen hoeven te beveiligen. ‘Je moet je basishygiëne altijd op orde hebben. Denk aan toegangsbeheer en het oplossen van kwetsbaarheden om je aanvalsoppervlak zo klein mogelijk te houden. Daarbovenop kun je extra maatregelen nemen voor de meest kritieke processen.’
Ook uitbesteden ontslaat organisaties niet van hun verantwoordelijkheid. ‘Veel bedrijven hebben hun cybersecurity ondergebracht bij externe partijen. Maar dat betekent niet dat je zelf niet meer verantwoordelijk bent. Je moet er bijvoorbeeld op toezien dat je leveranciers hun beveiliging op orde hebben. Anders kunnen aanvallers alsnog via hun software binnenkomen.’
Experimenteren met AI-verdediging
AI vergroot niet alleen de mogelijkheden van aanvallers. Dezelfde technologie kan organisaties ook helpen om hun verdediging te versterken. Haddouti benadrukt dat organisaties ervaring moeten opdoen met de nieuwe mogelijkheden. ‘Er zijn geen jarenlange referenties waarop je kunt terugvallen. Je moet het dus samen ontdekken en ermee aan de slag gaan om hierin te groeien. Als organisatie moet je het lef hebben om bijvoorbeeld een AI-lab op te zetten. Daar kun je onderzoeken hoe agents je kunnen helpen om je verdediging te versterken. En ontdek je wat de agents wel en niet kunnen en kun je afspraken maken over de manier waarop je ze inzet.’
Daarbij zijn wel duidelijke grenzen nodig, geeft Reerink aan. ‘Je moet kaders instellen en bepalen welke besluiten een AI-agent zelfstandig mag nemen. Zo houd je controle over de technologie en bescherm je de continuïteit van je organisatie.’
Hoe snel kan jouw organisatie reageren?
Uiteindelijk gaat het erom dat organisaties weten hoe ze moeten handelen als het misgaat. Reerink: ‘Bedrijven stellen vaak de vraag: ben ik veilig? Honderd procent veilig ben je natuurlijk nooit. Het gaat erom dat je, als jouw organisatie iets overkomt, als bestuurder in de spiegel kunt kijken en kunt zeggen: ik heb er het maximale aan gedaan.’
‘De vraag is dus niet of jouw organisatie volledig veilig is, maar of je snel genoeg kunt handelen als het misgaat of als een kwetsbaarheid wordt ontdekt. Hoe korter de tijd tussen ontdekking en ingrijpen, hoe meer ruimte je hebt om de gevolgen van een aanval te beperken.’
Hoe kwetsbaar is jouw organisatie?
Doe de realitycheck!
