Cybersecurity was lange tijd een strijd tussen elite-aanvallers en elite-verdedigers, waarbij technische vaardigheid en geduld centraal stonden. Door betere tools en analytici konden verdedigers systemen versterken en aanvallen detecteren. Deze situatie is veranderd door de industrialisatie van exploitatie via adversarial AI. Wat vroeger een gecoördineerde groep technisch bekwame aanvallers vereiste, kan nu autonoom en op machinesnelheid tegen duizenden omgevingen tegelijk worden uitgevoerd.

Technische expertise is niet langer de belangrijkste vereiste voor aanvallers; zij hebben vooral rekenkracht, kapitaal en toegang tot AI-tools nodig, die inmiddels als commoditeit beschikbaar zijn. Waar aanvallen vroeger sporen achterlieten die te herkennen waren, verloopt reconnaissance nu in enkele minuten in plaats van dagen, zoals blijkt uit onderzoek dat aantoont dat lateral movement in minder dan vier minuten kan plaatsvinden. Aanvallen worden dynamisch aangepast, waardoor traditionele detectiemethoden minder effectief zijn. Menselijke teams die aanvallen beperkten tot een beperkt aantal doelen, worden nu voorbijgestreefd door individuele actoren met geavanceerde AI-middelen.

De huidige beveiligingsarchitectuur is niet ontworpen voor deze nieuwe dreiging. De problemen zijn vooral structureel van aard. Naarmate IT-omgevingen zijn uitgebreid met cloud, OT, identiteitsinfrastructuur en derde partijen, zijn er steeds meer beveiligingstools toegevoegd. Dit heeft geleid tot een complexe en gefragmenteerde architectuur die veel signalen genereert, maar weinig duidelijkheid biedt over daadwerkelijke risico’s. Verschillende tools kunnen afzonderlijk kwetsbaarheden, overprivileges of alerts signaleren, maar kunnen niet bepalen of deze gecombineerd een reëel aanvalspad vormen.

De zichtbaarheid over hybride en multi-cloudomgevingen is beperkt, waardoor aanvallers zich vrij kunnen bewegen over grenzen die verdedigers niet goed kunnen overzien. Overprivileges, verouderde credentials en misconfiguraties creëren onopgemerkte laterale bewegingen binnen netwerken. Tegelijkertijd leidt een overvloed aan alerts tot inefficiëntie, omdat beveiligingsteams veel tijd besteden aan meldingen zonder realistisch exploitatiepotentieel. Dit is geen kwestie van te weinig middelen; meer analisten en extra tools op een gefragmenteerde architectuur leveren geen verbetering op. Beveiligingsmiddelen zijn ontworpen om te detecteren en signaleren, niet om inzicht te geven in wat een aanvaller ziet.

Automatisering en AI stellen aanvallers in staat om aanvalspaden met ongekende snelheid te benutten. Verdedigers moeten daarom hun aanpak aanpassen en zich verplaatsen in het perspectief van de aanvaller. In plaats van te vragen welke kwetsbaarheden er zijn, is het belangrijker om te bepalen wat een aanvaller daadwerkelijk kan doen met de aanwezige kwetsbaarheden en configuraties. Deze mindset is cruciaal om de nieuwe realiteit van geautomatiseerde en grootschalige aanvallen het hoofd te bieden.