Op 14 juli 2026 lanceerde het Witte Huis Gold Eagle, een federaal platform dat geavanceerde AI inzet om softwarekwetsbaarheden binnen de overheid en kritieke infrastructuur vroegtijdig te identificeren, te rangschikken en te coördineren voor herstel voordat aanvallers ze kunnen misbruiken. Gold Eagle brengt onder meer het ministerie van Financiën, het Department of Homeland Security, het ministerie van Defensie, open-source softwarepartners en beheerders van Amerikaanse kritieke infrastructuur samen. De motor van Gold Eagle maakt gebruik van frontier AI, waaronder Anthropic’s Mythos, hetzelfde type systeem dat tijdens tests kritieke fouten in geclassificeerde Amerikaanse overheidssoftware aan het licht bracht.

Deze inzet van geavanceerde AI door de overheid erkent een fundamentele verandering: het traditionele model van kwetsbaarheden één voor één door mensen vinden en patchen houdt de snelheid van aanvallers niet meer bij. Gold Eagle is het nationale antwoord op deze uitdaging. De vraag is wat organisaties intern moeten doen om bij te blijven.

Mythos is een frontier AI-model dat kwetsbaarheden opspoort die eerdere tools niet konden detecteren, variërend van een 27 jaar oude remote crash in OpenBSD tot complexe ketens van Linux kernel-kwetsbaarheden die volledige systeemcontrole mogelijk maken zonder menselijke tussenkomst. Anthropic’s Project Glasswing-partners ontdekten meer dan 10.000 kwetsbaarheden met hoge of kritieke ernst in essentiële software. Deze capaciteit zou beheersbaar zijn als ze alleen bij verdedigers bleef, maar in juni 2026 bracht Anthropic Fable publiekelijk uit. De toegang werd kort geschorst vanwege Amerikaanse exportregels, wat aangeeft dat frontier vulnerability discovery nu als gecontroleerde technologie wordt gezien, vergelijkbaar met wapens in plaats van reguliere software.

De operationele realiteit toont een groeiende kloof tussen aanvallers en verdedigers. Onderzoekers van Sysdig zagen in maart 2026 dat aanvallers een CVE binnen 20 uur na publicatie exploiteerden, zonder dat er een publieke proof-of-concept bestond, puur op basis van de beschrijving. Het M-Trends 2026 rapport van Mandiant stelt dat de gemiddelde tijd tot exploitatie inmiddels negatief is, wat betekent dat exploits vaak vóór publieke bekendmaking worden ingezet. Tegelijkertijd rapporteert het Verizon 2026 Data Breach Investigations Report dat het mediane hersteltraject voor bekende kwetsbaarheden die actief worden misbruikt is gestegen naar 43 dagen, terwijl slechts 26 procent van alle kwetsbaarheden ooit volledig wordt gepatcht. Daarnaast verwacht het Forum of Incident Response and Security Teams (FIRST) ongeveer 59.000 nieuwe CVE’s in 2026, ruim 160 per dag, met een stijging van 130 procent in Remote Code Execution-kwetsbaarheden ten opzichte van vorig jaar.

De traditionele CVE-aanpak is niet ontworpen voor deze hoeveelheid en snelheid. Als reactie heroverweegt de industrie het patchproces. Zo heeft Cisco zijn CVE-proces aangepast naar een risicogebaseerd model met gemeenschappelijke zwaktecategorieën en een tweewekelijkse releasecyclus. Ook de Amerikaanse overheid volgde dit voorbeeld: in juni 2026 verving CISA de Binding Operational Directive 22-01 door BOD 26-04, waarbij de status van Known Exploited Vulnerabilities (KEV) nu slechts één van vier variabelen is, naast publieke blootstelling, geautomatiseerde exploitbaarheid en technische impact. Dit betekent een verschuiving van patchen op strikte deadlines naar prioriteren op basis van daadwerkelijk risico.

Daarnaast is het beperken van blootstelling cruciaal. Het is onmogelijk te patchen of te verdedigen wat niet zichtbaar is. Asset discovery en het in kaart brengen van het aanvalsoppervlak, inclusief internet-facing services, legacy systemen en shadow deployments, blijven essentieel. In het AI-tijdperk gaat exposure management verder dan alleen open poorten; het vereist ook het beperken van wat autonome agents en niet-menselijke identiteiten mogen doen.