De traditionele tijd die organisaties hadden om kwetsbaarheden te patchen na een bekendmaking, het zogenaamde patchvenster, sluit snel. Dit komt door de opkomst van geavanceerde kunstmatige intelligentie, zoals het model Claude Mythos en Project Glasswing van Anthropic. Deze AI-modellen kunnen binnen enkele minuten kwetsbaarheden en subtiele zwaktes in besturingssystemen en browsers opsporen, waar experts vroeger weken voor nodig hadden. Hierdoor is het patchvenster bijna nihil geworden, wat grote gevolgen heeft voor de beveiligingsstrategie van organisaties.

De urgentie van deze ontwikkeling werd recent onderstreept toen de Amerikaanse minister van Financiën Scott Bessent en Federal Reserve-voorzitter Jerome Powell een spoedbijeenkomst hielden met CEO's van grote financiële instellingen om de risico's te bespreken, zoals beschreven in een verslag van CNBC. De snelle AI-gedreven ontdekking van kwetsbaarheden verandert de risicoprofielen ingrijpend en heeft verstrekkende gevolgen voor de stabiliteit en integriteit van sectoren.

Het model Mythos toont ook de kloof tussen het ontdekken van kwetsbaarheden en het daadwerkelijk oplossen ervan. Het overtrof menselijke expertise door een complexe simulatie van een bedrijfsnetwerk op te lossen die experts meer dan tien uur programmeerwerk zou kosten. Daarnaast vond het problemen in tientallen jaren oude software die ondanks duizenden beveiligingsreviews onopgemerkt waren gebleven. Dit illustreert dat organisaties moeten uitgaan van een 'assume-breach'-model: in plaats van alleen sneller of beter patchen, moet men ervan uitgaan dat inbraken zullen plaatsvinden. Het detecteren en inperken van aanvallen in real time wordt daarmee cruciaal.

Een effectieve aanpak van dit model vereist drie operationele pijlers: het vroegtijdig detecteren van gedrag na een inbraak, het zo snel mogelijk reconstrueren van de volledige aanvalsketen en het snel beperken van de impact. Dit vraagt om geautomatiseerde methoden die de tijd tot containment minimaliseren. Centraal staat het verkorten van de gemiddelde tijd tot containment (MTTC), wat begint met real-time en volledige netwerkzichtbaarheid. Security Operations Centers (SOC's) kunnen hiermee post-breach gedrag detecteren, de omvang van de aanval bepalen en ingrijpen voordat de dreiging zich verder verspreidt.

Daarnaast spelen Network Detection and Response (NDR)-platforms een belangrijke rol bij het herkennen van geavanceerde aanvalstechnieken die door AI worden ingezet, zoals living-off-the-land (LOTL) methoden. Deze technieken verbergen kwaadaardige activiteiten binnen legitieme tools en processen. NDR-tools monitoren continu het netwerkverkeer op afwijkingen, zoals ongebruikelijke SMB-admin shares, NTLM-authenticatie waar Kerberos verwacht wordt, of nieuwe RDP-, WMI- en DCOM-pivots die kunnen duiden op laterale bewegingen binnen het netwerk. Geavanceerde NDR-platforms zijn daarmee essentieel om deze subtiele indicatoren van compromittering te identificeren en snel te reageren.