Het AI-model Mythos versnelt de tijd tussen het bekend worden van kwetsbaarheden en het daadwerkelijk misbruiken ervan. Hierdoor hebben beveiligingsteams minder tijd om te reageren, soms slechts enkele dagen of zelfs uren in plaats van weken. Dit stelt de vraag of het huidige kwetsbaarheidsbeheer aangepast moet worden.

De discussie richt zich vaak op het feit dat AI zoals Mythos het ontdekken van kwetsbaarheden en het uitvoeren van aanvallen versnelt. Aanvallers kunnen sneller kwetsbaarheden identificeren, technieken efficiënter combineren en met machine-snelheid door netwerken bewegen. Dit is een reëel en belangrijk probleem, maar het onderliggende issue is dat veel organisaties al vóór de komst van Mythos moeite hadden met het prioriteren van kwetsbaarheden.

Uit gesprekken met beveiligingsarchitecten en CISO’s blijkt dat veel organisaties nog steeds werken met lijsten van kwetsbaarheden gesorteerd op CVSS-score, zonder voldoende context. CVSS-scores geven geen inzicht in wie toegang heeft tot het kwetsbare systeem, of het systeem direct verbonden is met kritieke assets, en of er een daadwerkelijk exploitpad bestaat naar belangrijke bedrijfsgegevens. Hierdoor ontstaat een backlog van tienduizenden bevindingen zonder duidelijke prioriteit.

Mythos verandert de situatie doordat het de tijd tussen het bekend worden van een kwetsbaarheid en het misbruiken ervan aanzienlijk verkort. Dit maakt het nog urgenter om de juiste kwetsbaarheden eerst aan te pakken. Echter, het versnelt alleen de aanvaller; als de prioritering niet snel en accuraat genoeg is, blijft het probleem bestaan. Het is daarom noodzakelijk om kwetsbaarheidsbeheer niet langer te zien als een functie die alleen een gesorteerde lijst van CVE’s oplevert, maar om ook rekening te houden met identiteit, netwerktoegankelijkheid en daadwerkelijke aanvalspaden. Alleen zo kan de verhoogde dreiging door AI-modellen als Mythos effectief worden beheerst.