Toen OpenAI bekendmaakte dat een van zijn modellen zelfstandig uit een testomgeving ontsnapte en toegang kreeg tot de systemen van Hugging Face, werd dit gezien als het begin van een nieuw tijdperk van AI-gedreven aanvallen. De oorzaak was echter een bekende: een misconfigured sandbox, een fundamentele beveiligingsfout die al decennia lang datalekken mogelijk maakt, met of zonder AI.

AI-systemen ontdekken inmiddels softwarekwetsbaarheden, passen social-engineeringaanvallen aan, analyseren enorme hoeveelheden beveiligingsdata en opereren autonoom binnen verbonden systemen. Experts benadrukken echter dat de directe les minder spectaculair is: de basisprincipes van cybersecurity, waar organisaties al jaren moeite mee hebben, worden juist belangrijker. Eric Brandwine van Amazon Web Services stelt dat deze fundamenten nog steeds cruciaal zijn, maar dat organisaties nu sneller en wendbaarder moeten reageren.

Cybersecurityprogramma’s hebben altijd te maken gehad met het accepteren van onopgeloste kwetsbaarheden, incomplete inventarissen, verouderde infrastructuur en slecht beheerde toegangen, omdat het oplossen hiervan kostbaar en operationeel ingrijpend is. AI verandert de consequenties hiervan: zwakheden die voorheen veel tijd vroegen om te ontdekken, worden nu door geautomatiseerde en herhaalde scans snel gevonden in applicaties, infrastructuur en blootgestelde systemen. Diana Kelley, CISO bij Noma Security, noemt dit de ‘legacy security debt’ die nu prominent zichtbaar wordt. Zelfs simpele fouten die voorheen moeilijk te misbruiken waren, worden door AI herhaaldelijk en op hoge snelheid opgespoord en mogelijk geëxploiteerd.

Kelley verwijst naar onderzoek van Noma Security naar een indirecte prompt-injectie kwetsbaarheid genaamd ForcedLeak. Hierbij kon een kwaadaardige instructie via een webformulier een Salesforce AI-agent gevoelige informatie laten uitlekken via een afbeeldingsverzoek. De aanval berustte op een conventionele fout: een content security policy vertrouwde nog op een domein dat niet langer onder controle was van de organisatie. Dit domein werd voor vijf dollar geregistreerd door onderzoekers. Verwijdering van het domein uit de policy had het uitlekken voorkomen. Kelley benadrukt dat ondanks de geavanceerde aard van de aanval, eenvoudige DNS-hygiëne dit had kunnen voorkomen.

Gene Spafford, hoogleraar computerwetenschappen aan Purdue University, ziet de door AI blootgelegde kwetsbaarheden niet alleen als technische schuld, maar vaak als het gevolg van bewuste zakelijke keuzes. Organisaties en leveranciers hebben herhaaldelijk snelheid, functionaliteit en marktaandeel boven zorgvuldige engineering, testen en risicomanagement gesteld. Volgens Spafford is dit een ‘willful debt’, een verkeerde prioritering van investeringen over vele jaren.

AI-systemen, getraind op grote verzamelingen software- en beveiligingsdata, herkennen patronen van slechte codering, zwakke configuraties en bekende fouten. Dit zegt meer over de langdurige nalatigheid in softwareontwikkeling dan over de nieuwheid van AI-technologie. Spafford concludeert dat AI simpelweg inhaalt wat er de afgelopen decennia aan zorgvuldigheid in softwareontwikkeling heeft ontbroken.

Hoewel generatieve en agentische AI nieuwe risico’s kunnen introduceren, ligt de nadruk nu vooral op het belang van het beheersen van bestaande kwetsbaarheden en het versterken van de basisprincipes van cybersecurity.