De nationale veiligheidsdiensten van de Five Eyes-landen, een samenwerkingsverband van Engelstalige landen, hebben gezamenlijk een statement uitgebracht waarin zij waarschuwen voor de groeiende cyberrisico’s door AI-modellen. Met name de mogelijkheid van deze systemen om autonoom in te breken in netwerken en systemen baart zorgen. Hoewel de verklaring genuanceerder is dan sommige sensatiebeluste koppen, benadrukken de veiligheidsdiensten dat de standaardadviezen voor cybersecurity met extra urgentie moeten worden opgevolgd.

Cyberaanvallen zijn geen nieuw fenomeen en vormen al decennia een bedreiging, lang voordat generatieve AI-modellen opkwamen. Wat echter verandert, is de kloof tussen vaardigheid en capaciteit. Waar deze vroeger vrijwel gelijk waren, heeft de komst van computers en nu AI ertoe geleid dat mensen met beperkte technische kennis toch geavanceerde aanvallen kunnen uitvoeren. AI-modellen kunnen met minimale instructies zelfstandig netwerken hacken, data stelen, ransomware inzetten en systemen saboteren. De enige mogelijke tegenmaatregel is het inzetten van AI voor verdediging.

Ter illustratie: in 1998 getuigde de hackercollectief L0pht voor het Amerikaanse Congres dat zij het internet binnen 30 minuten konden platleggen. Hoewel deels bravoure, toont dit aan dat hacking destijds nog veel vaardigheid vereiste. Later ontstonden de zogenaamde “script kiddies” die zonder diepgaande kennis gebruikmaakten van kant-en-klare hackingtools. Met de verspreiding van deze tools nam het aantal potentiële aanvallers toe. Deze trend zet zich nu in versterkte mate voort met AI, waarbij systemen steeds autonomer en krachtiger worden.

Een bijkomend risico is dat mensen met de capaciteit om schade aan te richten, maar zonder de bijbehorende ethische en professionele achtergrond, makkelijker toegang krijgen tot schadelijke kennis. Dit fenomeen is breder dan cybersecurity; ook in andere vakgebieden kan kennis misbruikt worden. AI fungeert als een universeel adviseur die schadelijke handelingen kan faciliteren. Hoewel grote AI-bedrijven proberen om veiligheidsmaatregelen in te bouwen, zullen kleinere, open-source modellen zonder dergelijke beperkingen snel verspreid worden en net zo capabel zijn als de toonaangevende systemen.

Het idee om AI-modellen te laten rapporteren aan autoriteiten bij kwaadaardige opdrachten werkt alleen bij de grote commerciële aanbieders, maar niet bij lokaal draaiende open-source varianten. Dit kan hooguit tijdelijk uitstel bieden. De ontwikkelingen vragen om een herziening van de manier waarop cybersecurity wordt benaderd, met een grotere rol voor AI in de verdediging tegen autonome en steeds geavanceerdere cyberaanvallen.