Vier mislukkingen. Vier lagen. De architectuur zelf is de kwetsbaarheid.

In een recente aflevering van de Hard Fork-podcast van The New York Times van 10 april 2026 werd de cybersecurity van geavanceerde AI-systemen onderzocht en werd een vraag gesteld die de industrie heeft vermeden: wat als cybersecurity niet onderpresteert, maar fundamenteel verkeerd is geframed?

De aflevering werd uitgezonden weken na een reeks incidenten die het antwoord moeilijk te negeren maakten. In één maand brak een autonome AI-agent de interne AI-platform van McKinsey in twee uur. Een aanval op een veelgebruikte open-source AI-bibliotheek had een kettingreactie in downstream-ondernemingen. Onderzoekers toonden aan dat de hardware die als laatste verdedigingslinie was bedoeld, met standaardonderdelen voor minder dan duizend dollar kon worden gebroken. En Anthropic maakte bekend dat een frontier-model duizenden zero-day-kwetsbaarheden in code had gevonden die de industrie als stabiel beschouwde.

Vier incidenten. Vier lagen van de AI-stack: applicatie, orkestratie, hardware en besturingssysteem. Elk onthulde significante beperkingen in de controles die waren ontworpen om ze te beschermen.

Het einde van de perimeterdenken

Traditionele cybersecurity rust op één premisse: met voldoende controles, monitoring en investeringen kunnen systemen worden beveiligd. Die premisse heeft decennialang de architectuur gevormd, waaronder firewalls, identiteitsbeheer, eindpuntbeveiliging en SIEM-platforms, allemaal gebouwd op het idee dat zichtbaarheid en strikte beheersing gelijk staan aan veiligheid.

De verschuiving van de industrie naar Zero Trust Architecture weerspiegelt het groeiende besef dat traditionele netwerkgrenzen niet langer betrouwbaar kunnen worden verondersteld. Toch introduceert AI-systemen een andere uitdaging: gevoelige gegevens worden routinematig geaggregeerd, verwerkt en gedeeld over meerdere lagen van infrastructuur.

Die aanpak had zin toen systemen relatief centraal waren en gegevens binnen duidelijk gedefinieerde grenzen bleven. Het wordt veel minder effectief wanneer gegevens continu over clouds, API’s, derde partijen en AI-pijpleidingen worden verplaatst, terwijl gebruikers en compute-resources wereldwijd worden verdeeld. De perimeter is geen grens meer. Het is een constant veranderend oppervlak, en we passen nog steeds controle-gebaseerd denken toe op systemen die niet realistisch kunnen worden gecontroleerd.

Applicatielaagfalen: McKinsey’s Lilli

Op 9 maart 2026 publiceerde security-startup CodeWall een openbaarmaking die de risico’s benadrukte waaraan organisaties worden blootgesteld bij het interne inzetten van AI.

De autonome offensieve agent van CodeWall, zonder credentials, zonder insiderkennis en zonder menselijke leiding, bereikte lees- en schrijftoegang tot de productiedatabase achter Lilli, McKinsey’s interne AI-platform, in minder dan twee uur. Lilli wordt gebruikt door meer dan 40.000 medewerkers voor strategiewerk, klantonderzoek en documentanalyse, en genereert honderdduizenden prompts per maand.

Het ingangspunt was niet geavanceerd. De agent vond openbaar blootgestelde API-documentatie met meer dan 200 eindpunten, waarvan 22 geen authenticatie vereisten. De kwetsbaarheden waren spiegelingen van de risico’s die in de OWASP Top 10 voor LLM-toepassingen worden benadrukt, met name rondom blootgestelde interfaces, onveilige integraties en overmatig vertrouwen in verbonden systemen.

Een van die eindpunten bevatte een SQL-injectiekwetsbaarheid verborgen in JSON-veldnamen in plaats van invoerwaarden, waar de meeste geautomatiseerde scanners naar kijken. Van daaruit itererde de agent door blind SQL-injectie totdat productiegegevens toegankelijk werden.

Wat het toegang kreeg: tientallen miljoenen chatberichten in plaintext, honderdduizenden bestanden, tienduizenden gebruikersaccounts en miljoenen RAG-documentfragmenten die jaren van propriëtaire onderzoek vertegenwoordigden. Het identificeerde ook de systeemprompts die bepaalden hoe Lilli zich voor elke gebruiker gedroeg.

De meest verontrustende bevinding was niet het volume. Het was dat de systeemprompts beschrijfbaar waren. Een aanvaller had de instructies die Lilli’s uitvoer bepaalden, stilzwijgend kunnen herschrijven, vertrouwelijke gegevens in antwoorden kunnen embedden of bewakingsmechanismen volledig kunnen verwijderen, met één database-update. Geen implementatie. Geen codeverandering. Geen spoor in toepassingslogboeken.

In een openbare verklaring zei McKinsey dat het het probleem binnen enkele uren had verholpen en, na een onderzoek door een derde partij, geen bewijs had gevonden dat vertrouwelijke klantgegevens waren toegankelijk. Die reactie is belangrijk. Maar het verandert de structurele les niet: een decennialange kwetsbaarheidsklasse onthulde het operationele geheugen van een modern AI-systeem omdat de gegevens erachter in leesbare vorm bestonden.

Orkestratielaagfalen: De LiteLLM-aanval

Drie weken later verscheen hetzelfde patroon vanuit een andere hoek en via een andere laag.

LiteLLM is een open-source AI-gateway die door duizenden bedrijven wordt gebruikt om verzoeken over AI-aanbieders te routeren. Zijn positie in de stack is kritiek: het zit op de orkestratielaag, met API-sleutels voor elke aangesloten aanbieder. Elke inbraak op deze laag maakt credentials over alle geïntegreerde diensten toegankelijk.

Volgens een PyPI-incidentrapport werd door de dreigingsactor TeamPCP misbruik gemaakt van credentials die waren gekoppeld aan een afhankelijkheid in de CI/CD-pijplijn van LiteLLM en werd met behulp van onderhoudertoegang een backdoored versie van het LiteLLM-pakket rechtstreeks naar PyPI gepubliceerd. De getroffen versies waren minder dan een uur live voordat ze werden verwijderd. De operatie werd alleen ontdekt omdat de malware een bug bevatte die een onderzoeker zijn machine liet crashen.

De toeleveringsketen was het vector. De orkestratielaag was het doelwit. Door één afhankelijkheid stroomopwaarts te compromitteren, bereikten aanvallers de laag waarop elke downstream-ondernemingsprovider sleutels leefden.

Het LiteLLM-team legde later de incidenten en mitigatie-inspanningen uit in een openbare GitHub-openbaarmaking.

Het effectgebied werd bijna onmiddellijk zichtbaar. TechCrunch, Fortune en The Register meldden dat Mercor, een AI-wervingsstartup van 10 miljard dollar die werkt met bedrijven zoals OpenAI, Anthropic, Meta en Google, een van de getroffen ondernemingen was. Aanvallers claimden grote hoeveelheden gegevens te hebben verkregen, waaronder kandidaatprofielen, persoonlijk identificeerbare informatie, contractvideo-interviews, broncode en API-sleutels. Meta pauzeerde het werk met Mercor in afwachting van een onderzoek. Latere rapporten gaven aan dat soortgelijke malwarepatronen in andere ontwikkelaarstools en -pakketten verschenen, wat suggereert dat de operatie mogelijk verder ging dan één project.

Het LiteLLM-incident was geen anomalie. Het was het systeem dat zich gedroeg zoals ontworpen. Elk onderdeel in een AI-pijplijn vereist toegang tot bruikbare gegevens om te functioneren, wat betekent dat elk onderdeel ook een potentieel extractiepunt is. Het vastmaken van afhankelijkheden en het roteren van credentials zijn noodzakelijke reacties, maar ze lossen het incident op, niet de architectuur.

Hardwareruimtefalen: TEE.fail

Als de inbraak bij McKinsey aantoonde dat de applicatielaag niet te vertrouwen is, en de LiteLLM-aanval aantoonde dat de toeleveringsketen niet te vertrouwen is, toonde het TEE.fail-onderzoek aan dat de hardware die als compensatie voor beide zou moeten dienen, ook niet volledig te vertrouwen is.

Op 28 oktober 2025 publiceerden onderzoekers van Georgia Tech, Purdue University en Synkhronix TEE.fail, een zijkanaalaanval die cryptografische sleutels uit vertrouwde uitvoeromgevingen haalt met fysieke geheugenbusinterpositie op DDR5-servers. De aanval heeft invloed op Intel SGX, Intel TDX en AMD SEV-SNP, inclusief op volledig bijgewerkte, vertrouwde systemen met AMD’s Ciphertext Hiding ingeschakeld. Dit zijn de technologieën die breed worden gepromoot als de basis voor vertrouwelijke computing.

De onderzoekers haalden attestatiesleutels: het cryptografische materiaal dat wordt gebruikt om te verifiëren dat workloads binnen beveiligde omgevingen worden uitgevoerd. Met die sleutels kan een gecompromitteerd systeem zich voordoen als vertrouwd terwijl het volledig buiten de verwachte bescherming werkt. De onderzoekers demonstreerden dit rechtstreeks: ze vervalsten TDX-attestaties op Ethereum’s BuilderNet om toegang te krijgen tot vertrouwelijke transactiegegevens en vervalsten Intel- en NVIDIA -attestaties om workloads buiten elke TEE uit te voeren terwijl ze legitiem leken.

De implicatie van NVIDIA is belangrijk voor AI in het bijzonder. Omdat GPU-attestatie afhankelijk is van CPU-attestatie, kan een gecompromitteerde CPU-vertrouwensketen de garanties die door vertrouwelijke AI-inferentieomgevingen worden geboden, ondermijnen. De hardwarebasis van vertrouwelijke AI-inferentie is, in dit bedreigingsmodel, afhankelijk van een CPU-TEE die aantoonbaar is gebroken.

Hardwareleveranciers reageerden met formele adviezen. AMD verklaarde dat fysieke toegangsaanvallen buiten hun standaardbedreigingsmodel vielen en gaf aan dat ze geen firmware-updates zouden uitgeven. Intel en NVIDIA erkenden de bevindingen en gaven aan dat ze mitigatie-inspanningen aan het doen waren. Deze reacties zijn redelijk binnen hun bedreigingsmodellen. Ze benadrukken ook een belangrijke grens: de garanties van hardwaregebaseerde beveiliging zijn afhankelijk van veronderstellingen, waaronder fysieke controle, die soevereine, gereguleerde en vijandige toepassingen niet altijd kunnen maken.

TEE.fail maakt hardware-isolatie niet irrelevant. Het toont aan dat het conditioneel is.

Besturingssysteemlaagfalen: De Mythos-onthulling

Als de eerste drie incidenten de applicatielaag, de orkestratielaag en de hardwareruimte in twijfel trokken, riep een vierde openbaarmaking in april 2026 de laag eronder in twijfel: de besturingssystemen en kernbibliotheken waarop elke andere laag draait.

Op 7 april 2026 kondigde Anthropic de Claude Mythos Preview aan, een frontier-model dat het niet openbaar uitbracht vanwege zijn offensieve beveiligingsmogelijkheden, en lanceerde tegelijkertijd Project Glasswing, een consortium met AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, de Linux Foundation, Microsoft, NVIDIA en Palo Alto Networks. Anthropic meldde dat Mythos in enkele weken duizenden eerder onbekende kwetsbaarheden in belangrijke besturingssystemen en webbrowsers had gevonden en in staat was om werkende exploits voor veel van hen te produceren.

De specifieke bevindingen zijn moeilijker te negeren dan elke samenvatting suggereert. Een 27 jaar oude bug in OpenBSD. Een 17 jaar oude externe code-uitvoeringskwetsbaarheid in FreeBSD’s NFS-server, nu getrackt als CVE-2026-4747, die root-toegang geeft aan een ongeauthenticeerde aanvaller. Een 16 jaar oude kwetsbaarheid in FFmpeg, een van de meest uitgebreid geïmplementeerde mediatheek op internet. In één geval vroeg een Anthropic-engineer zonder formele beveiligingstraining het model om naar externe code-uitvoeringskwetsbaarheden te zoeken en werd wakker met een complete werkende exploit.

Dit zijn besturingssysteemniveau-bevindingen. OpenBSD en FreeBSD zijn kernels. NFS is een kernnetwerksubsyssteem. FFmpeg is een systeembibliotheek die met de meeste Linux-distributies wordt geleverd en de mediapijplijnen op internet ondersteunt. De besturingssysteemlaag werd verondersteld veilig te zijn, niet omdat het was bewezen veilig te zijn, maar omdat het vinden van diepe kwetsbaarheden ervan schaarse en dure menselijke expertise vereiste. Die veronderstelling was de beste beschikbare heuristiek. Het was nooit een garantie.

Die beperking is nu losgelaten. Anthropic zelf kaderde dit als een dual-use-shift: dezelfde capaciteiten die een frontier-model in staat stellen om kwetsbaarheden op grote schaal te vinden en te patchen, stellen het ook in staat om ze op grote schaal te vinden en uit te buiten in verkeerde handen. De beslissing van Anthropic om toegang te beperken via Project Glasswing weerspiegelt die realiteit. Het lost het niet op. Soortgelijke capaciteiten zullen, naar verwachting van het bedrijf, zich verspreiden. De kosten van het auditen van legacy-code zijn ingestort, en met hen de impliciete verdediging dat dergelijke code te obscuur, te oud of te breed beoordeeld was om nog kritieke kwetsbaarheden te bevatten.

Dit is ook waar de vier incidenten samenkomen. De eerste drie incidenten beschrijven hoe AI-systemen momenteel worden aangevallen. Mythos beschrijft het tempo waarop alles eronder, inclusief besturingssystemen, kernelmodules en systeembibliotheken, opnieuw wordt gecontroleerd door machines. De inbraak bij McKinsey benutte een SQL-injectieklassieke kwetsbaarheid die meer dan twee decennia bestond. Kwetsbaarheden van die leeftijd zijn precies wat modellen in de Mythos-klasse aantoonbaar in staat zijn om op industriële schaal te vinden.

De drie eerdere incidenten beschrijven hoe AI-systemen momenteel worden aangevallen. Mythos beschrijft het tempo waarop alles eronder, inclusief besturingssystemen, kernelmodules en systeembibliotheken, opnieuw wordt gecontroleerd door machines. De inbraak bij McKinsey benutte een SQL-injectieklassieke kwetsbaarheid die meer dan twee decennia bestond. Kwetsbaarheden van die leeftijd zijn precies wat modellen in de Mythos-klasse aantoonbaar in staat zijn om op industriële schaal te vinden.

Het patroon

In elk geval waren de gegevens in plaintext op het moment dat het ertoe deed.

De applicatielaag verwerkte het in het openbaar. De orkestratielaag routeerde het in het openbaar. De hardwareruimte, ondanks de bescherming, vereiste uiteindelijk decryptie op het punt van uitvoering. De besturingssysteemlaag eronder werkte van nature in het openbaar. Vier lagen, vier mislukkingen, en op elke laag gold dezelfde voorwaarde: wanneer de inbraak plaatsvond, waren de gegevens leesbaar.

Dit is geen verzameling geïsoleerde mislukkingen. Het is de architectuur zelf.

Moderne AI-systemen zijn ontworpen om te werken met leesbare gegevens. Elke laag, inclusief ophalen, routeren, inferentie en tooluitvoering, vereist plaintext-toegang om te functioneren. Die ontwerpkeuze betekent dat elke inbraak op elke laag de gegevens erachter blootstelt.

De vraag is niet of een laag zal worden gecompromitteerd. Het is wat de aanvaller vindt wanneer het wordt.

Van veronderstelde inbraak tot nulblootstelling

De industrie is al begonnen met de verschuiving van “inbraak voorkomen” naar “inbraak veronderstellen”. Maar de meeste architectuur is niet gevolgd met de implicaties.

Als inbraak onvermijdelijk is, dan is de echte vraag niet hoe aanvallers buiten te houden. Het is wat er gebeurt wanneer ze binnenkomen. Op dit moment is het antwoord simpel: ze krijgen de gegevens. Omdat, ondanks alle investeringen in beveiligingsinfrastructuur, gegevens nog steeds worden blootgesteld op het exacte moment dat ze waardevol worden, wanneer ze worden gebruikt.

De reactie van de industrie was voorspelbaar: meer monitoring, snellere detectie, extra lagen van vertrouwelijke computing. Dit zijn verbeteringen. Maar ze lossen het kernprobleem niet op. Ze gaan er nog steeds van uit dat een laag – of het nu software, hardware of operationeel is – te vertrouwen is om plaintext veilig te houden.

De alternatief is om de plaintext volledig te verwijderen. Niet om de lagen rond de gegevens te beveiligen, maar om de gegevens zelf ontoegankelijk te maken voor iedereen die ernaar toegang krijgt. Berekening op versleutelde gegevens, waarbij prompts, modelgewichten en uitvoer de hele pijplijn door versleuteld blijven, adresseert de blootstelling die elk van deze incidenten benutte.

De vooruitgang in volledig homomorf encryptie en andere privacy-beschermende computingtechnieken maakt het steeds praktischer om architectuur te ontwerpen die plaintextblootstelling minimaliseert of elimineert voor echte AI-werklasten. Hoewel er nog significante prestatie-, schaalbaarheids- en implementatie-uitdagingen overblijven, is het doel fundamenteel anders dan traditionele beveiligingscontroles: het verkleinen van de waarde van een geslaagde inbraak in plaats van deze alleen minder waarschijnlijk te maken.

De verschuiving is niet van het ene beveiligingstool naar het andere. Het is van systeembeveiliging naar blootstelling reduceren. Van vertrouwde infrastructuur naar nulvertrouwen-gegevens. Van risicobeheer naar minimale aanvalsblootstelling.

Wat komt er hierna

De Hard Fork-discussie stelde de vraag of cybersecurity fundamenteel verkeerd is geframed. Het bewijs uit de afgelopen weken suggereert dat het antwoord ja is, tenminste voor AI.

Het oude model ging ervan uit dat systemen te beveiligen zijn, inbraken te beperken zijn en blootstelling te beheren is. De opkomende realiteit is dat inbraken moeten worden verondersteld en blootstelling moet worden geminimaliseerd. De incidenten die hier worden beschreven, suggereren dat het beveiligen van AI-systemen mogelijk meer en meer afhankelijk wordt van het reduceren van de hoeveelheid gevoelige gegevens die beschikbaar zijn wanneer controles falen.

De kwetsbaarheden die in deze vier incidenten aan het licht kwamen, zijn niet beperkt tot één laag. Ze zijn systemisch. Ze zullen meer dan incrementele verbeteringen vereisen om aan te pakken. Ze zullen een verschuiving vereisen van systeembeveiliging naar blootstelling reduceren, van perimeterverdediging naar het verwijderen van de plaintext die de perimeter was ontworpen om te beschermen.

AI-beveiliging gaat niet langer over het buiten houden van aanvallers. Het gaat over het waarborgen dat, wanneer ze binnenkomen, en dat zullen ze, er niets leesbaar voor hen is om te vinden.