Wat de opkomst van AI-gestuurde aanvallen betekent voor de beveiliging van jouw organisatie.

Op 7 april 2026 kondigde Anthropic Claude Mythos aan, een AI-model gericht op het opsporen en koppelen van kwetsbaarheden. Volgens de gepresenteerde resultaten kan Mythos kwetsbaarheden in software en systemen sneller vinden en combineren tot volledige aanvalsketens. De toegang hiertoe is vooralsnog beperkt tot een selecte groep grote technologiebedrijven, en publieke technische details zijn schaars. Het is aannemelijk dat het model echte kwetsbaarheden raakt, maar hoe eenvoudig die in de praktijk misbruikt kunnen worden is minder duidelijk.

Wat wél duidelijk is: vergelijkbare capaciteiten zullen snel breder beschikbaar komen. De versnelling die we hier zien, blijft niet beperkt tot een handvol partijen. Ook het Nationaal Cyber Security Centrum (NCSC) reageert: wacht niet af, verkort je reactietijden, versnel patchprocessen en zorg dat de basisbeveiliging op orde is.

Van experiment naar operationele realiteit

Geautomatiseerd kwetsbaarheidsonderzoek is al langer in opkomst. In juni 2025 stond XBOW bovenaan het HackerOne-leaderboard als eerste volledig autonoom systeem dat alle menselijke deelnemers op het platform overtrof. Google’s Big Sleep ontdekte twintig zero-days in veelgebruikte open source projecten. Het DARPA AIxCC-programma vond 54 kwetsbaarheden in vier uur rekentijd, verspreid over 54 miljoen regels code.

Mythos is geen beginpunt, maar een versnelling van iets wat al gaande was. Wat het model onderscheidt van eerdere generaties is dat het werkende aanvalscode genereert op basis van één opdracht, zonder uitgebreide begeleiding of voorbereiding vooraf. Cruciaal daarbij is het vermogen om meerdere kwetsbaarheden in samenhang te benutten: kleine, op zichzelf onschuldige zwakheden kunnen zo worden gecombineerd tot een volledige aanvalsketen. Dat vergroot het risico op aanvallen die met traditionele risicomodellen onderschat worden.

De Zero Day Clock, een initiatief dat de tijd bijhoudt tussen de ontdekking van een kwetsbaarheid en actieve uitbuiting ervan, laat zien dat die tijdspanne in 2026 is gedaald naar minder dan één dag. In 2018 was dat nog meer dan twee jaar.

Snelheid wordt steeds belangrijker

AI versnelt het tempo aan beide kanten: verdedigers kunnen het inzetten om kwetsbaarheden eerder te detecteren en sneller te verhelpen, aanvallers met toegang tot vergelijkbare modellen zullen onderzoek, identificatie en uitbuiting eveneens opschalen. Reactiecycli van dagen worden uren; weken worden dagen.

Daar komt bij dat elke beveiligingsupdate die wordt uitgebracht ook als een blauwdruk dient; AI versnelt het terugvertalen van een fix naar de onderliggende kwetsbaarheid, waardoor de tijd tussen een patch en een werkende aanvalsmethode verder afneemt.

Aanvallers gebruiken AI bovendien al breder dan alleen voor het vinden van kwetsbaarheden. Ze zetten het in om meerdere stappen in een aanval te automatiseren: verkenning, identificatie van zwakheden, uitbuiting en laterale beweging door een netwerk. Dat maakt uitstel gevaarlijk. Wie patchprocessen, detectie en incidentrespons niet versnelt, loopt vandaag al aantoonbaar meer risico.

Vier maatregelen op nu op in te zetten

De veranderingen in het dreigingslandschap zijn niet alleen technisch van aard: ze raken ook processen, capaciteit en de manier waarop je risico’s beoordeelt. Er zijn een aantal maatregelen die jouw organisatie nu prioriteit zou moeten geven om weerbaar te worden tegen deze ontwikkeling:

Verkort de tijd tussen ontdekking en herstel: zero-days zijn niet te voorkomen, maar de tijd die verstrijkt tussen een bekende kwetsbaarheid en het doorvoeren van een herstelstap moet omlaag. Een patchcyclus van meerdere weken past niet meer bij het huidige dreigingstempo. Zorg dat jouw organisatie de operationele capaciteit heeft om die updates snel te beoordelen en uit te rollen, ook als er meerdere tegelijk binnenkomen. De komende maanden verwachten we bovendien een golf van bekendmakingen van nieuwe kwetsbaarheden als gevolg van het beschikbaar stellen van Mythos aan grote technologiebedrijven.

Gebruik AI ook defensief: op AI gebaseerde kwetsbaarheidscanning is al volwassen genoeg om in te zetten. Laat een geautomatiseerde agent je eigen systemen en afhankelijkheden doorlichten. Integreer beveiligingscontroles vroeg in je softwareontwikkelproces. AI kan ook ondersteunen bij de detectie van afwijkend gedrag in netwerken, een gebied waar geautomatiseerde aanvallen steeds moeilijker handmatig bij te houden zijn.

Versterk de basis: juist omdat aanvallers AI inzetten om bestaande technieken te verbeteren en te automatiseren, blijft basisbeveiliging essentieel. Netwerksegmentatie, gefilterd uitgaand verkeer, aanvalsbestendige meervoudige authenticatie, minimale toegangsrechten en regelmatige sleutelrotatie beperken de schade wanneer een aanval door de eerste verdedigingslinie heen komt.

Herzie je risicomodellen: als jouw risicobeoordeling rondom het beheer van kwetsbaarheden nog uitgaat van een tijdlijn van weken voor misbruik optreedt, beschrijft die niet meer de huidige realiteit. Dat raakt niet alleen beveiligingsbeslissingen: het heeft potentieel gevolgen voor je hele organisatie.

Wie wacht, loopt achter

Securityprogramma’s zijn traditioneel gebouwd op aannames over tijd: tijd om een kwetsbaarheid te detecteren, tijd om een patch te testen, tijd om een incident te onderzoeken. Die aannames zijn niet langer houdbaar. De tijdlijn waarop aanvallers opereren is fundamenteel veranderd, en securityprogramma’s die daar geen rekening mee houden, bieden minder bescherming dan ze op papier suggereren.

Dat is geen reden voor paniek, maar wel voor een andere houding. Organisaties die nu het meest kwetsbaar zijn, zijn niet per se de kleinste of minst volwassen. Het zijn de organisaties die dit behandelen als de volgende trend in een lange reeks, in plaats van als een structurele verschuiving in het tempo van aanvallen én verdediging. De vraag is niet of je securityprogramma goed genoeg is in absolute zin, maar of het snel genoeg is voor de realiteit van vandaag. Begin daarom nu.

Wil je weten wat er binnen jouw organisatie nu als eerste aandacht verdient? Neem contact op voor een vrijblijvend gesprek.