Over AI en cybersecurity wordt veel gezegd dat vooral spannend klinkt. Wat in de praktijk zichtbaar is, is minder spectaculair maar wel ingrijpender: aanvallen worden goedkoper, sneller en minder voorspelbaar, en dat gebeurt in stappen die je kunt benoemen. Vier drempels zijn het afgelopen jaar overschreden. Niet elke aanval gaat er alle vier overheen, maar de richting is duidelijk, en elk van de vier heeft een direct gevolg voor hoe je je verdedigt.
Drempel 1: autonomie
De eerste aanvallen zijn gezien waarin een groot deel van de keten door AI-systemen werd uitgevoerd, met beperkte menselijke sturing. Wat opvalt, is niet de technische verfijning maar het tempo en de breedte: meerdere ingangen tegelijk, veel parallelle acties, en een voorkeur voor applicaties, koppelingen en geheimen (sleutels, tokens) boven de klassieke werkplek. Het is nog een uitzondering, geen norm. Maar het laat zien waar het heen gaat.
Gevolg: reken op minder "pauzes" tussen de stappen van een aanval en meer druk op identiteit, API's en geheimen. Wie zijn detectie heeft ingericht op de rustige fasen tussen inbraak en impact, krijgt die rust niet meer.
Drempel 2: de vaardigheidsdrempel valt weg
Technieken die vroeger een specialist vereisten, zijn nu herhaalbaar voor iemand met weinig kennis en de juiste tooling. Het is voorgekomen dat een weinig vaardige aanvaller met generatieve AI honderden netwerkapparaten in tientallen landen wist over te nemen. Niet door diepe expertise, maar door toegang tot de juiste hulpmiddelen. Ook technieken om MFA te omzeilen zitten inmiddels standaard in te huren phishingkits.
Gevolg: de vraag is niet meer hoe goed de aanvaller is, maar hoe makkelijk geavanceerde capaciteit te huren en te herhalen is. Verwacht meer volume en meer variatie, met ongelijk vakmanschap maar voldoende snelheid en automatisering om schade te doen.
Drempel 3: van publicatie naar exploit in uren
De tijd tussen het bekendmaken van een kwetsbaarheid en een werkende exploit is ingestort. Een gepubliceerde beschrijving van een kwetsbaarheid is inmiddels bruikbaar als invoer om automatisch een exploit te laten schrijven, tegen verwaarloosbare kosten. In de praktijk zijn kwetsbaarheden binnen een werkdag na publicatie misbruikt; in een enkel geval binnen enkele uren. Ook het vinden van nog onbekende kwetsbaarheden verschuift van een handvol goed toegeruste partijen naar iedereen met toegang tot een modern model.
Gevolg: patchsnelheid wordt beslissend, omdat exploits binnen een werkdag beschikbaar zijn. Handmatige prioritering en onderhoudsvensters van weken passen daar niet meer bij. Wat van buiten bereikbaar is, moet klein zijn, bekend zijn en binnen een dag gepatcht kunnen worden.
Drempel 4: malware op maat, tijdens de aanval
Waar aanvallers vroeger bestaande tooling hergebruikten, wordt nu tijdens een lopende aanval malware op maat gemaakt: een script dat speciaal voor die ene omgeving is geschreven, dat nergens anders voorkomt en dus in geen enkele signatuurdatabase staat.
Gevolg: detectie op "bekend slecht" verliest waarde. Wat overblijft, is gedrag: een proces dat iets doet wat het niet hoort te doen, een account dat zich anders gedraagt dan gisteren, data die een kant op gaat waar het nooit heen ging. Dat vraagt om een andere inrichting van monitoring en om draaiboeken die niet uitgaan van de malware van vorig jaar.
Wat je hiermee doet
Het punt is niet dat elke aanvaller nu volledig geautomatiseerd werkt. Het punt is dat aannames die tot voor kort veilig waren, dat niet meer zijn: dat je weken hebt om te patchen, dat een aanval op kantooruren plaatsvindt, dat je malware herkent aan zijn handtekening, dat MFA voldoende is. Wie zijn beveiliging op die aannames heeft gebouwd, verdedigt tegen de tegenstander van 2023.
- Beperk het aanvalsoppervlak en weet wat er van buiten bereikbaar is.
- Zet identiteit centraal: phishing-resistant MFA, Conditional Access, strak beheer van geheimen en machine-identiteiten.
- Bouw vertraging in: segmentering, just-in-time beheerrechten, geen platte toegang.
- Detecteer op gedrag en samenhang, niet op signaturen, en laat de eerste ingreep automatisch gebeuren.
Dezelfde technologie die aanvallers versnelt, staat de verdediging ter beschikking. Wie beide kanten van die verschuiving begrijpt, kan er zijn voordeel mee doen. Wil je weten waar jouw omgeving staat ten opzichte van deze vier drempels? Dat is precies wat de Digital Defense Review in kaart brengt.