Het Nationaal Cyber Security Centrum (NCSC) waarschuwt voor een versnelling in de race tussen patchen en misbruik. Kunstmatige intelligentie duwt die race in een stroomversnelling, stelt de overheidsinstantie. Aanvallers vinden en misbruiken kwetsbaarheden sneller dan voorheen. Organisaties krijgen daardoor minder tijd om beveiligingsupdates te installeren. Het NCSC beschrijft die ontwikkeling in een blogposting over AI en het dreigingslandschap. Juriaan Spierenburg en Bram van Aggelen schreven de tekst. Zij zien AI vooral de capaciteiten van aanvallers verbeteren. Tegelijk waarschuwen zij voor een denkfout. Wie AI als een afzonderlijk of nieuw technisch vraagstuk beschouwt, mist de kern van het probleem. Basisbeveiliging wordt daardoor belangrijker, niet minder belangrijk. Adequaat patchmanagement staat daarbij bovenaan. De boodschap raakt elke organisatie met een eigen IT-omgeving.
AI verandert vooral het werk van de aanvaller. Aanvallers automatiseren onderdelen van een aanval, versnellen ze of vervangen ze volledig. Soms voert een model een stap zelfs autonoom uit. Het NCSC ziet dat nu al op vijf terreinen terug. Ten eerste bij de verkenning van doelwitten, ook wel reconnaissance genoemd. Modellen verzamelen en ordenen razendsnel informatie over een organisatie. Ten tweede bij het vinden en misbruiken van kwetsbaarheden in software. Ten derde bij het schrijven van malware. Ten vierde bij het bouwen van phishingcampagnes. Overtuigende, foutloze teksten kosten een aanvaller nauwelijks nog moeite. Ten vijfde bij het analyseren van gestolen gegevens. Na een inbraak wijst een model snel de waardevolle bestanden aan. Elk van die stappen kostte vroeger tijd en menskracht. Die rem valt nu grotendeels weg. Het NCSC noemt in de blogposting geen specifieke modellen of aanvalsgroepen.
Twee effecten springen eruit. De doorlooptijd van een aanval daalt en de benodigde technische kennis neemt af. Een aanvaller hoeft minder zelf te kunnen om toch schade aan te richten. Toch nuanceren Spierenburg en Van Aggelen dat beeld nadrukkelijk. “Dit betekent overigens niet dat een digibeet met toegang tot goede AI-modellen meteen een geavanceerde hacker is”, schrijven zij. Er blijft een zeker kennisniveau nodig om zulke modellen succesvol aan te sturen. AI verheft dus geen leek tot expert. De technologie maakt bestaande aanvallers wel sneller en productiever. Dat verschil telt voor verdedigers. De dreiging groeit vooral in tempo en in schaal. Het NCSC ziet geen totaal nieuw soort aanval ontstaan. De bekende aanvalspatronen komen simpelweg vaker en sneller voorbij. Verdedigers moeten hun tegenmaatregelen dus vooral versnellen.
De kortere tijdlijnen raken direct het patchbeleid van organisaties. Tussen het uitbrengen van een beveiligingsupdate en het eerste misbruik zit steeds minder tijd. “Als je geen adequaat patchmanagement hebt of onvoldoende zicht hebt op jouw IT-landschap neemt het risico op incidenten toe”, waarschuwt het NCSC. Tijdlijnen worden korter en daarmee ook het venster waarin een organisatie updates verwerkt. Zicht op het eigen IT-landschap vormt daarbij een voorwaarde. Wie niet weet welke systemen draaien, kan ze ook niet op tijd patchen. Vergeten servers en oude apparatuur vormen dan het zwakke punt. Organisaties doen er goed aan hun inventarisatie op orde te brengen. Daarna volgt de vraag hoe snel een kritieke update daadwerkelijk uitrolt. Die doorlooptijd bepaalt in toenemende mate het risico. Een testomgeving en een vaste procedure helpen om die tijd te verkorten.
Het NCSC roept organisaties ook op zich voor te bereiden op meer incidenten. Een hoger tempo aan de aanvalskant leidt waarschijnlijk tot meer geslaagde aanvallen. Ook de mogelijke impact daarvan verdient aandacht. Wie vooraf oefent, reageert onder druk beter. Denk aan een actueel incidentresponsplan en geteste back-ups. Denk ook aan heldere afspraken over wie wanneer beslist. Detectie verdient eveneens investering. Een aanval die binnen uren verloopt, vraagt om monitoring die binnen uren alarmeert. Verdedigers kunnen AI daarbij zelf inzetten, bijvoorbeeld voor de triage van meldingen. Het NCSC schetst zo een tweezijdig beeld. Dezelfde technologie versterkt aanvallers en verdedigers. Het verschil zit in de snelheid waarmee beide partijen zich aanpassen.
Het zwaarste accent legt het NCSC op een andere boodschap. AI staat niet los van bestaande beveiligingsmaatregelen en basisprincipes. “Organisaties die AI beschouwen als een afzonderlijk of nieuw technisch vraagstuk lopen het risico de kern van het probleem te missen”, schrijven Spierenburg en Van Aggelen. Een apart AI-project naast het reguliere securitybeleid lost dus weinig op. De uitdaging ligt volgens hen vooral bij betrouwbare maatregelen die goed werken in de praktijk. Toegangsbeheer, netwerksegmentatie, logging, patchen en back-ups blijven het fundament. Die maatregelen werken tegen een menselijke aanvaller en tegen een geautomatiseerde. AI verandert het tempo, niet de bouwstenen van goede verdediging. Juist daarom weegt achterstallig onderhoud nu zwaarder dan enkele jaren geleden.
Het NCSC sluit af met een scherpe conclusie. “In een toekomst waar AI een steeds grotere rol gaat spelen voor zowel aanvallers als verdedigers, ligt de grootste dreiging niet bij AI maar bij het onvermogen om jezelf aan te passen naar de nieuwe realiteit.” Die boodschap is organisatorisch, niet puur technisch. Bestuurders moeten ruimte maken voor onderhoud, oefening en aanpassingsvermogen. Securityteams hebben mandaat en tijd nodig om snel te patchen. Kleinere organisaties beginnen het beste bij het simpelste: weten wat er draait. Daarna volgt een realistisch schema voor updates. Wie die basis op orde heeft, houdt ook bij een hoger tempo stand. De race tussen patchen en misbruik verdwijnt namelijk niet. Alleen de snelheid verandert.
