Advertentie
De cybersecuritywereld verandert in hoog tempo door kunstmatige intelligentie. Wat betekent dat voor het opsporen van kwetsbaarheden, het testen van software en het bijhouden van patches? In Amsterdam sprak SANS Institute-expert Steve Sims over de kansen én risico’s.
Sims geldt als een veteraan in het vak. Hij doet al jaren onderzoek naar softwarekwetsbaarheden en adviseert en doceert over onderzoek naar kwetsbaarheden, het ontwikkelen van exploits en penetratietests. Voor een reeks trainingen was hij vorige week in Amsterdam.“Ook in cybersecurity is AI een modewoord. Ik was laatst op de RSA Conference en maakte met een vriend een grapje om bij elke stand waar ‘AI, Agentic of Autonomous’ op stond tien pushups te doen. Het was bijna onmogelijk om een leverancier te vinden zónder termen als AI, agentic of autonoom.”
Die hype is volgens Sims begrijpelijk, maar niet vrijblijvend. “Je kunt AI inzetten om code te scannen en sneller kwetsbaarheden te vinden. In het begin was AI nog niet zo goed als een mens, maar de modellen zijn sterk verbeterd. Soms duikt er ineens een fout op die jarenlang in een besturingssysteem heeft gezeten en door mensen niet werd gezien, terwijl een model hem wél oppikt. Het nadeel van de techniek is dat het ook veel ‘fals positives’ meldt die veel tijd verkwisten.” Tegelijk heeft die snelheid een keerzijde: “Ontwikkelteams krijgen zo veel bevindingen dat het lastig wordt om de juiste prioriteiten te stellen.”
Biedt dat niet juist de kans om code beter te testen voordat software op de markt komt?
“Aan de defensieve kant hoort AI onderdeel te zijn van het ontwikkelproces van applicaties en besturingssystemen. Laat modellen de code scannen op potentiële kwetsbaarheden; dat maakt het proces efficiënter en de software veiliger. Idealiter test je continu. En als er iets boven komt drijven, kan AI helpen bij het maken van een patch.”
Maar dezelfde technologie kan ook offensief worden ingezet. Sims vergelijkt het met een mes: nuttig in de keuken, maar ook als wapen.
“Op de AI-bibliotheek Hugging Face vind je veel modellen, ook kleinere varianten die geschikt zijn voor specifiek beveiligingsonderzoek. Daar heb je niet per se extreem krachtige hardware voor nodig. Zulke modellen kun je ook in je eigen cloud draaien. Je kunt daarnaast werken met een zogeheten LLM-router, die per vraag bepaalt welk model het beste past: een model in de privécloud, of een duurder model bij een externe aanbieder.”
De drempel voor aanvallen lijkt door AI lager te worden. Wat betekent dat voor organisaties?
“Je ziet dat er veel meer patches verschijnen. Bedrijven en organisaties moeten die updates testen om te voorkomen dat ze processen verstoren. Ook hier kunnen AI en automatisering teams versterken. Tegelijk heb je mensen en expertise nodig om prioriteiten te bepalen: als Microsoft iets ‘kritiek’ noemt, wil dat niet automatisch zeggen dat het voor jouw organisatie ook kritiek is. Voordat er AI was, konden bedrijven patches uitstellen, maar dankzij AI kunnen kwetsbaarheden sneller misbruikt worden. Hierdoor is er de noodzaak om snel te patchen.”
Sims ziet daarnaast een andere kwetsbaarheid ontstaan: de afhankelijkheid van dezelfde leveranciers.
“Veel bedrijven en organisaties leunen op dezelfde securityproviders. Als daar een probleem ontstaat, vallen in één klap veel diensten uit—en dat raakt de samenleving. Volwassen organisaties kiezen vaak liever voor grote partijen en zijn terughoudend met kleinere aanbieders. Terwijl juist die innovatieve clubs vaak veel kennis hebben van AI en machine learning.”