Nationale Veiligheid Vereist het Beveiligen van Moderne AI-Werkbelastingen

Terwijl AI-gedreven codingspraktijken en workloadwijzigingen beweren de missieprestaties te versnellen, introduceren ze ook systeemkwetsbaarheden. De uitdaging is goed begrepen – de huidige beheerpraktijken voor kwetsbaarheden kunnen niet bijhouden met de snel evoluerende AI-hulpmiddelen, wat uiteindelijk het risico voor troepen die operationele missies uitvoeren verhoogt.

Weten dat uw hulpmiddelen zullen slagen, of het nu een M27 IAR is of de AI-gedreven tactische C2 die branden op het doelwit plaatst, geeft vertrouwen in het veld. Wanneer het gaat om software-systemen, kunnen ze de betrouwbaarheid verhogen door softwarecontainer-risico’s te elimineren via een uitgebreide Software Supply Chain (SSC)-beveiliging.

Kwetsbaarheden in Containers zijn een Toenemend Risico in Defensiesoftware

Elke software-gedreven organisatie kampt met beveiligingskwetsbaarheden die verband houden met containers. Het Ministerie van Oorlog (MoW) streeft ernaar de beste systemen in te zetten voor operationele troepen, maar dit verhoogt het risico. De reden hiervoor is dat de meeste missiesystemen afhankelijk zijn van kernsoftware van Linux-distributies en communitysoftwarebases met te grote softwarebaselines. Systemen die zijn gebouwd op deze open-source software bevatten meestal bekende en onbekende Kritieke Kwetsbaarheden en Blootstellingen (CVE’s).

Om dit probleem aan te pakken, reduceren gecuratede afbeeldingen die fixes voor deze CVE’s bevatten, het aanvalsoppervlak aanzienlijk. Bovendien vertegenwoordigt overbodige code extra risico, omdat deze code CVE’s kan verhullen. Het inzetten van verhardde software-afbeeldingen mitigeert dit risico door overbodige code te elimineren. Zonder verharding verhoogt overbodige code het kwetsbare aanvalsoppervlak en introduceert het verborgen CVE’s. Het is ook cruciaal om elke CVE te evalueren als onderdeel van de context waarin het zich manifesteert. CVE’s zijn uitvoerbaar in de omgevingen, besturingssystemen en hardware waarin ze zijn ontdekt om reproduceerbaar te zijn. Intelligent scannen, profileren en begrijpen van de productiesoftware zal bepalen of elke afzonderlijke CVE van invloed is op de doelomgeving en welke CVE’s zijn gedupliceerd en alleen maar verschijnen in meerdere pakketten.

AI-Codingshulpmiddelen Vergroten het Probleem

AI-codingshulpmiddelen zijn resource-intensieve motoren die worden gebruikt om modellen te ontwikkelen, trainen en inzetten, maar richten zich vaak op eindstaten in plaats van het optimaliseren van operationele berekeningen en opslag. Als gevolg hiervan verergeren ze beveiligingsproblemen door ongedifferentieerd open-source-distributies te gebruiken in plaats van gecuratede en verhardde afbeeldingen.

De AI-codingshulpmiddelen van vandaag veranderen constant, hebben veel open-source-afhankelijkheden en worden meer ingezet dan traditionele hulpmiddelen. Modellen, kaders en ondersteunende diensten worden dagelijks of wekelijks bijgewerkt in plaats van kwartaal of jaarlijks, en elke niet-verharde software-artefact die door deze hulpmiddelen wordt geïmplementeerd, verhoogt het risico. Dit zijn geen nieuwe risico’s, maar met AI zijn ze nu versneld. Als bewijs verhoogde de CVE-lijst in 2025 gemiddeld 132 nieuwe kwetsbaarheden per dag, een stijging van 20% ten opzichte van het voorgaande jaar, en driemaal het aantal van 2020.

Slecht Beheer van Kwetsbaarheden Leidt tot Operationele Consequenties

Operationele consequenties van slecht beheer van kwetsbaarheden omvatten:

• Beperkingen op ATO-toegankelijke technologieën, met minder AI-hulpmiddelen goedgekeurd voor productie
• Vertragingen in de inzet van AI doordat container-stacks falen bij het voldoen aan de missietijden
• Onvermogen om te concurreren met vijandelijke AI-tactieken, waardoor de missierisico’s toenemen
• Terugkerende hoge financiële kosten om backlogs van kwetsbaarheden te beheren
• Hooggeschoolde ingenieurs die zich richten op het najagen en patchen van CVE’s in plaats van het leveren van nieuwe mogelijkheden

Met of zonder AI moeten beheerpraktijken voor kwetsbaarheden voor MoW-oplossingen voldoen aan de missietijden. AI-geactiveerde platforms moeten de cyberdefensie verbeteren, niet de beveiligingsblootstelling verhogen. Oplossingen van keuze moeten runtime-relevante blootstelling aanpakken, het aantal CVE’s verminderen en authoriserende functionarissen in staat stellen om ruis van missie-impact te onderscheiden. Het oplossen van dit probleem houdt eenheden tegen om eenmalige verhardingsinspanningen na te streven, waardoor een consistente, gegevensgestuurde pijplijn ontstaat.

De Winnaarsaanpak voor Nationale Defensie

Het beste beveiligingsproces is er een dat snellere, veiligere AI-geactiveerde operaties mogelijk maakt, een sterker zero-trust-containerfundament en hoogwaardige software-supply-chain-risicogegevens voor commandanten.

Defensie-agentschappen moeten beginnen met near-zero-CVE-afbeeldingen en vervolgens extra kwetsbaarheden elimineren door ongebruikte componenten te verwijderen in plaats van ze te patchen om acceptabele risicopaden te reduceren. Verharde afbeeldingen resulteren in kleinere aanvalsoppervlakken en duidelijkere risiconarratieven om de accreditatie van AI-geactiveerde systemen te versnellen, waardoor cyber-teams zich kunnen richten op hogere prioriteitsmissies in plaats van eindeloze kwetsbaarheidstriage.

Bovendien geven software-facturen van materialen (SBOM’s), runtime-facturen van materialen (RBOM’s) en verharde afbeeldingen operators en beveiligingsteams een gelaagde, runtime-accurate weergave van gecontainerde AI-werkbelastingen. Deze aanpak ondersteunt rechtstreeks de zero-trust-principes en is in overeenstemming met de Enduring Security Framework (ESF) team’s software-supply-chain-zichtbaarheidsvereisten, die laten zien wat er in de software zit, hoe het zich gedraagt en via welke leveringsmechanismen.

Het rijpen van MoW-risicobeoordelings- en attestatiepraktijken moet worden vergezeld van containers met machine-leesbare artefacten en technische beveiligingsbulletins. Dit stelt ontwikkelaars en operators in staat om te abonneren op benodigde containers en om consistent risicoscores en waarschuwingen te ontvangen als er nieuwe problemen ontstaan. Voor Commandant fungeert dit als een praktisch “controleer de motor”-licht op kritieke software-stacks, waardoor beslissingen kunnen worden genomen om verder te gaan dan commerciële ontdekking naar directe missie-alignment op het tempo van AI-gedreven operaties.