AI die hackt? Dat woord bestaat niet

Hacken is geen technische term maar een juridische: computervredebreuk, artikel 138ab. Iets waarvoor je gedagvaard kunt worden, veroordeeld, misschien zelfs beroemd in de verkeerde kringen. Een AI-systeem heeft geen opzet, geen strafblad, geen advocaat die 'maar edelachtbare, mijn cliënt is een taalmodel' mag bepleiten. Dus 'AI hackt' is grammaticaal net zo correct als 'de wasmachine is jaloers'. Wat er wél gebeurt: het systeem lost een probleem op. En daar is het, tot onze stille frustratie, vaak beter in dan de stagiair die de firewall moest instellen.

Dat is geen woordgrapje, dat is een noodlottig gat in ons instrumentarium. Ons hele rechtssysteem is gebouwd om mensen te straffen: cel, boete, publieke schande. Probeer dat eens bij ChatGPT. 'Wij veroordelen u tot een taakstraf van 400, waarvan de helft voorwaardelijk'. Maar tegen wie is dat precies, de GPU? We proberen een schroef eruit te draaien met een hamer en zijn dan verbaasd dat de kop eraf knalt.

'Nog een keer'

En dan het tweede misverstand: geautomatiseerd inbreken is al ouder dan de meeste stagiairs. Scripts die het internet afstruinen op een bekend lek, dat is beveiligingsfolklore uit de jaren negentig. Wat AI verandert, is niet het idee maar het uithoudingsvermogen. Een script volgt een vast recept; een AI-systeem improviseert. Mislukt poging één, dan volgt poging twee, drie, veertig en dat zonder koffiepauze, zonder motivatieprobleem, zonder ooit een mailtje te sturen met "kan dit tot morgen wachten". Voor de aanvaller is falen gratis. Het is net zo'n irritant kind dat "nog een keertje" blijft roepen bij de kermisattractie, alleen wint dit kind uiteindelijk een prijs.

'Wat vaststaat: dit systeem is nooit fatsoenlijk getest voordat het de voordeur uit mocht'

Waar wordt dan echt ingebroken? Bijna altijd hetzelfde saaie rijtje: verkeerde instellingen, verouderde software, systemen die al sinds het WK 2014 niet zijn gepatcht. We roepen al twintig jaar dat beveiliging topprioriteit is en we het echt serieus moeten nemen, terwijl het onderhoud onderaan de begroting bungelt, ergens tussen de bedrijfsfeestbudget en de kantoorplanten. En die cognitieve dissonantie werkte prima tot nu. Maar het is geen AI-probleem. Het is gewoon onszelf betrappen in de spiegel met een spinnenweb op het hoofd. Kwaliteit was altijd het ondergeschoven kindje en nu moet het plots meedoen aan de sprint, maar zonder sportschoenen.

Hagel, sprinkhaan, AI

Dan de zin waar ik werkelijk allergisch voor ben: 'Het systeem ging dwars door de guardrails heen.' Alsof dat een natuurramp is, zoiets als hagel of een zwerm sprinkhanen. Welke guardrails er precies stonden, hoe ze werkten, of het eigenlijk meer een lintje was dan een hek? We horen het zelden. Met zo'n zin kun je dus vooral niets. Wat wél vaststaat: dit systeem is nooit fatsoenlijk getest voordat het de voordeur uit mocht. Geen noodlot, gewoon huiswerk dat niet is gemaakt.

De logica is bespottelijk simpel. Voordat je iets aan het open internet hangt, laat je het eerst in een zandbak spelen waar het niemand pijn kan doen. Je gooit er zelf aanvallen tegenaan, kijkt wat breekt, repareert dat, en pas dán zet je het buiten. Gedurende het onderzoek monitor je of het probeert internet te benaderen, terwijl het niet mag. Die monitoring is overigens onder gangbare Europese wetgeving een beetje de norm. En als het eenmaal live is, blijf je doorgaan met basale monitoring aan. Gewoon iets dat begint te piepen zodra het systeem zich gedraagt als een tiener die stiekem het huis uit sluipt. Dat is geen exotische rocket science, dat is basale beveiliging, hetzelfde recept dat we al dertig jaar prediken voor gewone software. Blijkbaar moet de klas dit nog eens overdoen, nu met een duurder cijferbriefje.

Dus nee, AI 'hackt' niet. AI lost problemen op, vasthoudender en geduldiger dan ons lief is, en loopt naar binnen via deuren die wijzelf al jaren op een kier laten staan. Het echte verhaal is niet dat de machine te slim was. Het is dat wij, wéér, iets te lui waren om de deur dicht te doen. Noem het gerust vooruitgang, als u wilt. Maar reken dan ook eindelijk af met de oude reflex om zorgvuldigheid pas serieus te nemen zodra het licht al uit is en de buit al lang over de schutting.