AI-beveiliging vraagt om een second opinion

AI schrijft software sneller dan we die kunnen beveiligen. Houd je het tempo bij?

Tegen de tijd dat je deze zin hebt uitgelezen, hebben ontwikkelaars en hun AI-agents een paar duizend codecommits doorgevoerd. Rond deze tijd vorig jaar waren dat er ongeveer 150.

Het afgelopen jaar is de productie van AI-gegenereerde software in een verbazingwekkend tempo toegenomen. GitHub registreerde alleen al in september 2026 7,38 miljard commits, ruim vijf keer zoveel als in het hele jaar daarvoor. De gevolgen van deze explosie voor de beveiliging zijn ingrijpend. Al die commits bevatten code die iemand moet begrijpen, onderhouden en beveiligen. De Cloud Security Alliance stelde vast dat ontwikkelaars die AI gebruiken bij Fortune 50-bedrijven drie tot vier keer zoveel code committen als hun collega’s, terwijl het aantal beveiligingsbevindingen per maand ongeveer vertienvoudigde.

Bedenk nu wie met die toename te maken krijgt. Het team van de CISO is even groot als een jaar geleden, maar de achterstand is dat niet. Er worden steeds meer kwetsbaarheden gemeld, het aantal oplossingen per maand neemt af en het aantal onopgeloste kritieke kwetsbaarheden groeit. Het is dan ook niet verwonderlijk dat Gartner stelt dat een burn-out onder CISO’s een kritiek operationeel risico wordt.

De verleiding van het nieuwste model

Als het aantal zo hoog is, ligt het voor de hand om op een nog hoger aantal te mikken: meer bevindingen, meer dekking, meer scans. Maar dat is alsof je water uit een zinkende boot hoost en om een grotere emmer vraagt, terwijl je eigenlijk het lek moet vinden. De kwaliteit van een beveiligingsprogramma wordt niet afgemeten aan hoeveel het vindt. Het gaat erom hoeveel van die bevindingen echt zijn en hoeveel van de ernstigste problemen daadwerkelijk worden opgelost.

Geavanceerde AI-modellen zijn opmerkelijk goed in het opsporen van nieuwe exploits en nog niet gecatalogiseerde kwetsbaarheden met behulp van probabilistisch redeneren. De resultaten verschillen echter. Voer dezelfde scan vijf keer uit op dezelfde code en de bevindingen komen volgens onderzoek van Checkmarx slechts in ongeveer een derde van de gevallen overeen.

Juist daarom blijft analyse op basis van regels belangrijk. Die is minder flexibel dan geavanceerde AI, maar past bewezen logica elke keer op dezelfde manier toe, zodat teams de resultaten kunnen vertrouwen en verifiëren. AI ontdekt wat regels missen, zoals bekende zwakke plekken in onbekende vormen of fouten die pas misbruikbaar worden wanneer afzonderlijke delen van de code met elkaar samenwerken. Samen brengen AI en analyse op basis van regels meer relevante problemen aan het licht, met minder valse alarmen.

Dit is geen pleidooi tegen AI. Het is een pleidooi voor een second opinion op het gebied van beveiliging. Welke engine je ook kiest, stel die drie vragen.

Vraag één: getrouwheid

Als de scanner zegt dat er iets mis is, is het dan de moeite waard om daar tijd aan te besteden?

Getrouwheid draait om vertrouwen. Een bevinding die niet klopt, kost een ontwikkelaar een middag en tast het vertrouwen in het beveiligingsteam verder aan. Op grote schaal zorgen valse positieven ervoor dat teams niet meer luisteren. De meldingen roepen steeds weer ‘wolf!’ en verdwijnen uiteindelijk in de achtergrondruis.

Hier is consistentie van belang. Deterministische analyse geeft bij dezelfde code elke keer hetzelfde antwoord. Dat wekt vertrouwen en maakt de resultaten controleerbaar.

Vraag twee: nauwkeurigheid

Vind je alle problemen die er het meest toe doen?

Getrouwheid vertelt je of een bevinding je tijd waard is, maar niet wat de scanner over het hoofd heeft gezien. We gebruiken een gangbare meetmethode die zijn oorsprong vindt in de datawetenschap: de F1-score. De F1-score meet de prestaties op een schaal van 1 tot 0, aan de hand van twee factoren:

• Precisie: het aandeel gerapporteerde bevindingen dat echt is. Een hoge precisie betekent minder valse alarmen.
• Recall: het aandeel echte kwetsbaarheden dat de scanner daadwerkelijk vindt. Een hoge recall betekent dat er weinig door de mazen van het net glipt.

Een scanner kan heel precies lijken door bijna niets te signaleren, of grondig door alles te signaleren; in beide gevallen kan de F1-score laag zijn. Het branchegemiddelde ligt rond de 0,20. We werken hard aan deze uitdaging en hebben resultaten gezien die drie tot vier keer zo nauwkeurig zijn als die van een standaardscanner.

Met een hogere nauwkeurigheid wordt al het vervolgwerk voor ontwikkelaars eenvoudiger. Je team besteedt minder tijd aan valideren en meer tijd aan oplossen.

Vraag drie: rendement op investering (ROI)

Hoe halen we het maximale uit onze investeringen en middelen?

Deze vraag wordt tijdens de pilot het vaakst overgeslagen en in productie het pijnlijkst beantwoord.

Aanbieders van geavanceerde modellen rekenen per token, en tokens kosten geld, of een scan nu iets vindt of niet. Een repository met een miljoen regels scannen kost tegen de huidige gepubliceerde prijzen meer dan duizend dollar. Bovendien lopen de modellen sterk uiteen in hun tokenverbruik: de prijs verschilt afhankelijk van het model dat je kiest en hoeveel redeneerstappen nodig zijn om je taak uit te voeren.

Vermenigvuldig dat met elke commit, pull request en repository binnen een onderneming. Uber, dat jaarlijks 3,4 miljard dollar aan R&D besteedt, zou naar verluidt binnen enkele maanden na de introductie van AI-programmeertools zijn volledige AI-budget voor 2026 hebben opgebruikt.

We noemen dit de tokenbelasting. Het is alsof je met een Ferrari boodschappen gaat doen: je betaalt voor vermogen dat je voor die rit niet nodig hebt. Hardgecodeerde inloggegevens en SQL-injectie zijn voorspelbare patronen die met deterministische analyse betrouwbaar kunnen worden opgespoord.

Applicatiebeveiliging moet zich ontwikkelen

Dit is de gedachte achter de architectuur van Checkmarx Fusion. Regelgebaseerde engines stellen op reproduceerbare wijze een betrouwbare basis vast, tegen lagere kosten dan tokengebaseerde analyse. Geavanceerde modellen worden ingezet voor wat regels niet kunnen voorzien: nieuwe patronen, complexe logica en de misbruikbaarheid in context. Vervolgens voegt een analyselaag voor bevindingen de resultaten samen tot één betrouwbare set.

Deterministische analyse biedt zekerheid. AI vergroot het bereik. De dekking en het vertrouwen nemen samen toe. Vergeleken met een LLM die zelfstandig werkt, zien we tot vier keer zoveel getrouwheid, twee tot vier keer zoveel nauwkeurigheid en ongeveer een derde van de kosten.

Problemen opsporen is nog maar het begin. Dezelfde logica geldt voor preventie. Neem een voorbeeld. Door ontwikkelaars te ondersteunen op het moment dat ze code schrijven, in de IDE waarin ze werken, kunnen we problemen voorkomen voordat ze ontstaan. En voor kwetsbaarheden die toch worden ontdekt: waarom zouden we ontwikkelaars geen oplossingen bieden die klaar zijn om te mergen, voor de kwetsbaarheden die er het meest toe doen? Dit zijn de uitdagingen die we aanpakken, met als doel de bestaande achterstand stap voor stap weg te werken en zo snel mogelijk resultaat te boeken met zo min mogelijk moeite.

De code draait al. Kun jij het tempo bijhouden?

AI heeft aanvallers het voordeel van snelheid gegeven. Die achterstand inhalen doe je niet met nóg een tool. Het vraagt om een beslissing over de manier waarop je hele organisatie software bouwt en beveiligt. De code die vandaag wordt geschreven, zal je bedrijf jarenlang draaiende houden. Voor beveiligingsleiders is de vraag niet langer hoeveel sneller AI je helpt bouwen. De vraag is of je programma’s kunnen bijhouden wat AI voortbrengt.

Laat je dus niet verblinden door de cijfers. Stel bij elk programma drie vragen: kan ik vertrouwen op wat het opspoort? Vindt het genoeg van wat ertoe doet? Is het haalbaar om het in mijn hele organisatie in te voeren? Door deterministische precisie te combineren met het redeneervermogen van geavanceerde modellen, vergroot je de kans dat je op alle drie de vragen ‘ja’ kunt antwoorden.

Software wordt niet trager. Onze taak is nu om de risicokloof te dichten: het verschil tussen de snelheid waarmee software wordt gemaakt en de snelheid waarmee risico’s worden opgespoord en verholpen.