AI als apex predator in de Dev-wereld

Evolutionaire druk: een korte inleiding

Voordat we in het onderwerp duiken, zijn er een paar concepten die vastgesteld moeten worden. Het eerste is evolutionaire druk.

Evolutie is geen keuze. Dieren kiezen niet voor een bepaalde evolutie – hun omgeving dwingt hen ertoe, of hun omgeving elimineert hen. Dus als we praten over de manier waarop een dier is geëvolueerd, of waarom het bestaat zoals het nu doet, praten we niet over een reeks bewuste beslissingen. We praten over willekeurige mutaties en omgevingsdruk die een soort in een bepaalde richting duwden.

Op dit moment komen softwarebedrijven in een soortgelijke evolutionaire fase. AI-systemen die in staat zijn om autonomously kwetsbaarheden te identificeren, exploits te genereren en cyberaanvallen te versnellen, veranderen de druk waaronder ontwikkelaars en beveiligingsteams opereren.

AI creëert nu dezelfde soort omgevingsdruk voor softwarebedrijven. Modellen die in staat zijn om autonomously kwetsbaarheden te ontdekken, exploits te genereren en grootschalige aanvallen te automatiseren, veranderen het beveiligingslandschap veel sneller dan de meeste organisaties zijn voorbereid.

De specifieke evolutionaire druk die ik wil bespreken is de apex predator op aarde op dit moment: de mens. En de manier waarop drie heel verschillende dieren op die druk reageerden.

Wie deed het erger: de reuswombat of de kip?

De reuswombat

De reuswombat – ik ben de exacte naam vergeten, maar het leefde in Australië – woog ongeveer 6.000 pond. Voordat de mens arriveerde, was Australië een groen, bijna paradijselijk land. Waren we er maar nooit aan begonnen. Deze enorme wombats leefden grotendeels ongestoord. Sommige roofdieren namen af en toe een van hen te grazen, maar vanwege hun enorme formaat, de overvloed aan voedsel en hun vermogen om zich voort te planten, konden ze hun eigen tegen alles wat het continent te bieden had.

Toen de mens arriveerde.

Een paar dingen gebeurden meteen. Ten eerste zag de mens een enorme bron van proteïne die een groep voor weken kon voeden – langer, als ze het vlees konden conserveren. Ten tweede begonnen ze de bossen te kappen die de wombat nodig had, ofwel door bomen te kappen voor brandhout of door hele stukken land te verbranden om dieren uit te drijven die ze konden doden. De mens is buitengewoon goed in dit soort georganiseerde, efficiënte vernietiging.

In een zeer korte tijd – geologisch gezien, praktisch over een nacht – ontbosten de mensen grote delen van het continent en joegen elke laatste reuswombat uit het bestaan.

Het is de moeite waard om op te merken dat niet elk Australisch dier uitstierf. De kangaroe, kleine wombats, koala’s en anderen overleefden – omdat ze klein genoeg, snel genoeg of aanpasbaar genoeg waren om buiten bereik te blijven. Tegen de tijd dat de Europeanen arriveerden, was het continent gevormd tot iets wat ruw en meedogenloos was. Een kleinere menselijke bevolking, ruw en aangepast aan extreme omstandigheden. Dieren die ofwel heel klein, heel gevaarlijk of beide waren. Zoals ze zeggen: alles in Australië probeert je te doden.

Dat is versie één.

De kip

Nu, op zijn eigen manier, is de kip waarschijnlijk het meest succesvolle landdier op aarde. Ongeveer 70% van de totale vogelbiomassa op de planeet is domesticatiekip. Er zijn zelfs gebieden waar kippen in het wild zijn gegaan – op eilanden waar ze geen natuurlijke roofdieren hebben, zoals de Kaaimaneilanden – en ze hebben het goed gedaan.

Kippen evolueerden in iets wat de mens buitengewoon nuttig vindt: ze reproduceren snel, groeien snel, leggen eieren. De mens voedt ze, beschermt ze en moedigt ze actief aan om te vermenigvuldigen. Volgens bijna elke maatstaf van biologisch succes – populatiegrootte, geografische verspreiding, toegang tot middelen – wint de kip.

<p Behalve, natuurlijk, het deel waar we ze opeten.

Dus de kip slaagde erin door het perfecte voedsel te worden. Dat is niet niets. Maar er is een plafond aan dat soort succes.

De kat: het juiste antwoord

Er is één dier dat, zou ik zeggen, het bijna exact goed deed.

De kat.

Katten zijn geen apex roofdieren. Ze domineren de mens niet of jagen op hen. Maar in plaats van door de menselijke expansie te worden verpletterd of zich aan de menselijke eetlust te onderwerpen, deden ze iets anders: ze evolueerden samen met ons. Ze maakten zichzelf nuttig door ratten en kleine vogels te jagen die door menselijke nederzettingen werden aangetrokken en, ergens onderweg, maakten ze zich gewenst. Ze werden metgezellen.

Het resultaat? Katten reproduceren snel. Ze hebben overvloedige voedselbronnen, ofwel als huisdieren of als opportunistische jagers rond menselijke bewoning. Ze hebben weinig serieuze roofdieren. Ze zijn overal waar de mens is.

En weer, dit was geen keuze die ze maakten. Het was geen strategie. Het was gewoon hoe de evolutionaire druk uitwerkte. Maar het resultaat is opmerkelijk: in plaats van tegen de apex roofdier te vechten, of de apex roofdier te voeden, vriendden ze de apex roofdier.

Wat dit te maken heeft met AI

Waarom doet dit er iets toe?

De komst van modellen zoals Anthropic’s Mythos en Project Glass Wing is, zou ik zeggen, het equivalent van de dag dat de mens in Australië arriveerde. Behalve dat de tijdslijn dramatisch is samengeperst. Wat generaties duurde om uit te spelen op dat continent, zal in jaren gebeuren – misschien minder.

Er is veel geschreven over hoe beveiligingsteams moeten reageren op de dreiging van AI-geactiveerde hacking. Ik denk dat die kadering een fout is. Dit is geen primair beveiligingsprobleem. Het is een ingenieursprobleem.

Hier is wat verandert: voor deze nieuwe golf van AI, opereerden zowel verdedigers als aanvallers in een wereld met relatief beperkte inzet. Aanvallen gebeurden. Inbraken gebeurden. Maar het tempo en de complexiteit waren begrensd door de menselijke capaciteit. Dat is fundamenteel veranderd. Nu zijn er AI-modellen specifiek ontworpen om autonomously kwetsbaarheden te vinden en te exploiteren, op grote schaal, zonder vermoeidheid.

De meeste ontwikkelaarsteams zijn de reuswombat in dit verhaal. Ze hebben in een omgeving geleefd waarin er inderdaad bedreigingen waren, maar niets zoals dit. Ze bouwden systemen die redelijkerwijs beveiligd waren tegen de druk die ze daadwerkelijk tegenkwamen. Ze hadden nog nooit iets zoals wat er aankomt, meegemaakt.

Dat gaat veranderen.

De drie opties – en waarom alleen één werkt

Wanneer deze nieuwe bedreiging arriveert, zullen organisaties effectief drie keuzes hebben:

1. Wees de wombat. Pas niet aan. Word uitgeroeid. Dit zal gebeuren met veel bedrijven. Sommige zullen nooit meer terugkomen.
2. Wees de kip. Word reactief, worstel om elke nieuwe kwetsbaarheid te patchen zodra deze verschijnt. Dit is de “haal de speer en behandel de wond” benadering. Het is beter dan niets, maar wanneer er 45 speren van alle kanten op je afkomen, zal die ene vaardigheid je niet redden. Je bent nog steeds voedsel; je bent alleen langzamer om bij de tafel te komen.
3. Wees de kat. Verander fundamenteel je relatie met de bedreiging. Gebruik AI om je te verdedigen tegen AI. Integreer beveiliging in de ingenieursafdeling vanaf het begin. Ontwerp systemen alsof een inbraak is verwacht – niet om deze te voorkomen.

Het doel is niet om meer beveiligingsanalisten in te huren om de perimeter te bewaken. Dat is proberen om de olifanten op de savanne te beschermen. Het schaalt niet tegen deze soort bedreiging. Het doel is om de savanne opnieuw te ontwerpen.

Wat “de kat worden” werkelijk betekent

Dit is geen oppervlakkig werk. Het is niet het uitvoeren van een AI-beveiligingsscanner op je codebase een keer per kwartaal. Het vereist een heroverweging van hoe ontwikkeling wordt gedaan.

Praktisch gezien betekent dit dingen zoals:

• Eenvoudigere codebases die gemakkelijker zijn om te begrijpen en te controleren
• Uit libraries halen met bekende, gecontroleerde beveiligingspostures
• Infrastructuur bouwen op de veronderstelling dat een inbraak een wanneer is, niet een als – en laterale beweging zo moeilijk mogelijk maken zodra een kwaadwillige actor binnen is
• De roofdier vrienden door het te gebruiken, net zoals de aanvaller. AI-modellen kunnen ingenieurs- en beveiligingsteams versterken om hun verdediging te evolueren en voorop te lopen.

Bedrijven die morgen zijn opgericht, hebben een schone lei. Ze kunnen vanaf het begin op deze manier bouwen. Bedrijven die al bestaan, met klanten, met gevoelige gegevens, met live systemen, hebben die luxe niet. Ze moeten nu beginnen met de overgang.

De oproep tot actie

Anthropic heeft dit zelf gezegd: er zal een afrekening zijn. Er zal economische en sociale verstoring zijn van AI-geactiveerde aanvallen. Sommige bedrijven zullen het niet overleven. Ze zullen worden gecompromitteerd door mensen die deze tools gebruiken en ze zullen nooit volledig herstellen. Dat gaat gebeuren.

Dus hier is de boodschap: begin nu.

Engineering en beveiliging moeten in dezelfde kamer zitten. Ga samen door het bedreigingslandschap. Bouw een gedeelde roadmap. Eentje waarbij het primaire werk wordt gedaan door engineering- en ontwerpteams, gevalideerd door beveiliging, niet andersom. Beveiliging kan dit niet leiden. Beveiliging kan het werk controleren. Maar de fundamentele verandering moet komen van de mensen die de systemen bouwen.

De bedrijven die dit proces vandaag beginnen, zullen niet allemaal overleven. Maar ze zullen de voorwaarden hebben geschapen voor overleving. En in de omgeving die eraan komt, is dat het beste wat we kunnen doen.

Wees de kat.