Wacht niet tot Spoetnik-moment zich aandient

Er was een wereld voor Spoetnik en een wereld erna. Niet omdat de satelliet zelf een aanval uitvoerde, maar omdat hij zichtbaar maakte wat voortaan mogelijk was. Binnen enkele maanden werden nieuwe organisaties opgericht, onderzoeksbudgetten vrijgemaakt en complete defensiestrategieën herzien. Afwachten tot de technologie daadwerkelijk als wapen werd ingezet, was geen optie. Cybersecurity beleeft nu zijn eigen Spoetnik-moment.

Cybersecurity maakt nu een vergelijkbare omslag door. In april dit jaar kreeg een testmodel van Anthropic, Mythos Preview, de opdracht om te ontsnappen uit een beveiligde testomgeving en een bericht te sturen naar de onderzoeker die toekeek. Binnen enkele uren bouwde het model een exploit, verschafte zichzelf toegang tot het internet vanaf een volledig afgesloten machine en mailde de onderzoeker terwijl die een boterham zat te eten in een park.

'Decennia oude kwetsbaarheden die menselijke audits nooit vonden, liggen nu binnen uren op straat'

Twee maanden later greep de Amerikaanse overheid in. Diezelfde Mythos-familie, samen met het net gelanceerde Fable 5, werd van de ene op de andere dag wereldwijd stilgelegd via een exportmaatregel. Een overheid die een AI-model tijdelijk verbiedt is zelf een signaal. Het zegt iets over hoe serieus de macht van dit soort modellen inmiddels wordt genomen, los van de vraag of de maatregel terecht was.

Beide gebeurtenissen laten hetzelfde zien. Een model dat autonoom kwetsbaarheden vindt en exploits bouwt in een tempo dat mensen onmogelijk kunnen bijbenen, tilt cybersecurity naar een ander niveau. Decennia oude kwetsbaarheden die menselijke audits nooit vonden, liggen nu binnen uren op straat. Dat is een sprong, geen geleidelijke verbetering.

Van muur naar protocol

Decennialang draaide cybersecurity om het kasteel met dikke muren. Budget, tijd en aandacht vloeiden naar firewalls, patches, toegangscontrole en mens als zwakke schakel. Denk hierbij aan anti-phishing. Waardevol, en dat blijft het. De aanname erachter was dat een sterke muur een aanval kan tegenhouden. Mythos laat zien dat die aanname wankelt zodra de aanvaller zelf een AI-model is dat structureel sneller werkt dan de verdediging.

De echte verschuiving zit in hoe een organisatie zich gedraagt op het moment dat de muur al is doorbroken. Zero trust vertaalt dat naar de praktijk. Elke gebruiker, elk systeem, elke AI-tool wordt behandeld alsof compromittering al heeft plaatsgevonden. Toegang wordt beperkt tot het strikt noodzakelijke. Processen worden zo ingericht dat een enkele fout nooit de hele keten platlegt.

Crisisresponsplan

Het crisisresponsplan dat de Cyberbeveiligingswet en de NIS2-richtlijn al verplicht stellen, verdient in dit licht een andere status. Het hoort geen document te zijn dat in een la ligt te wachten op de volgende audit. Het hoort het uitgangspunt te zijn waarop de dagelijkse bedrijfsvoering draait, elke dag, ook wanneer er niets aan de hand lijkt.

Organisaties die dit nu oppakken, bouwen een voorsprong op wie wacht tot het eigen Spoetnik-moment zich aandient. Want dat moment komt. De vraag is niet meer of een muur ooit valt. De vraag is hoe snel een organisatie zich herpakt zodra dat gebeurt.