Generatieve AI professionaliseert en versnelt cyberaanvallen, waarbij aanvallers AI inzetten voor verkenning, phishing en malwareontwikkeling.
Generatieve AI ontwikkelt zich snel tot een belangrijke factor in het verbeteren en opschalen van cyberaanvallen. Tijdens de One Conference 2026 in Den Haag gaf Daniel Kapellmann Zafra, security engineer bij Google Threat Intelligence Group, een toelichting op hoe AI niet zozeer nieuwe malware creëert, maar bestaande aanvalstechnieken efficiënter maakt. Hij deelde vijf inzichten over de impact van AI op het dreigingslandschap en de maatregelen die organisaties kunnen nemen om aanvallers te weerstaan.
In de afgelopen twee jaar hebben zowel door staten gesteunde advanced persistent threat-groepen (APT's) als financieel gemotiveerde cybercriminelen AI geïntegreerd als een krachtvermenigvuldiger in de volledige aanvalsketen. Dit varieert van initiële verkenning en phishing tot exploitontwikkeling en laterale beweging binnen systemen, netwerken en cloudomgevingen. Aanvallen lijken inhoudelijk vaak op eerdere campagnes, maar worden nu veel sneller en efficiënter uitgevoerd. Taken die voorheen dagen of weken kostten, worden teruggebracht tot enkele uren. Zo toonde een recent Mandiant-onderzoek aan dat een financieel gemotiveerde aanvaller met behulp van een AI-codeassistent en vooraf ingestelde draaiboeken binnen zes uur een grootschalige campagne voor het oogsten van inloggegevens kon plannen, bouwen en uitvoeren. Dit stelt aanvallers in staat te opereren met een snelheid en schaal die voorheen alleen haalbaar was voor geavanceerde staatsactoren.
Daarnaast verandert AI de workflows van aanvallers, de ontwikkeling van malware en zelfs de ondergrondse markten. Aanvallers zoeken actief naar middelen om AI-gedreven operaties te ondersteunen zonder hoge kosten, wat leidt tot een groeiende grijze markt waar gestolen API-sleutels worden verhandeld, toegang tot ontwikkeltools wordt verkocht en delen van zakelijke cloud-omgevingen worden gekaapt via technieken als LLM jacking. Deze ontwikkelingen creëren nieuwe aanvalsvlakken waar verdedigers rekening mee moeten houden.
Large language models (LLM's) worden ingezet om traditionele barrières zoals taal en cultuur te omzeilen en zo social engineering, malwareontwikkeling en verkenning te verfijnen. Aanvallers gebruiken AI om doelen in kaart te brengen, functieprofielen binnen organisaties te identificeren en ruwe data om te zetten in bruikbare doelprofielen. Hiermee creëren zij overtuigende voorwendselen en vermommingen voor phishingaanvallen, soms gecombineerd met deepfake-video's. Technisch gezien fungeren LLM's als een ontwikkelaar en securityonderzoeker op afroep, die helpt bij het schrijven, beoordelen en debuggen van code. Cybercriminelen richten zich daarbij vooral op bekende kwetsbaarheden (n-days) en delen kennisbestanden die het reproduceren van exploits platformonafhankelijk mogelijk maken. AI wordt ook ingezet om detectie van malware te ontwijken, wat de effectiviteit van aanvallen verder verhoogt.
