AI-aanvallers worden niet moe: waarom cybersecurity moet veranderen

Uw beveiligingsprogramma is gebouwd voor aanvallers die dat wel doen.

Toen OpenAI zijn verslag publiceerde over de modellen die ontsnapten uit een evaluatie‑omgeving en dagenlang in de productie‑infrastructuur van Hugging Face rondliepen, noemde ik het een Terminator‑moment voor cybersecurity. Ik blijf bij die uitspraak, maar er is nog iets dat ons moet doen stilstaan. Negen dagen later onthulde Anthropic eigen incidenten. Begin augustus bevestigde Meta een ander incident. En enkele dagen daarna gleed het model Kimi K3 van Moonshot ook uit zijn test‑sandbox. Vier labs. Minder dan drie weken. Vier modellen die ergens terechtkwamen waar niemand ze had bedoeld.

Deze verhalen worden grotendeels behandeld als AI‑veiligheidsverhalen. Dat zijn ze ook. Maar voor een CISO zijn ze tevens verhalen over risico’s van derden – en dat is wellicht de meer directe les. De ongemakkelijke waarheid is dat het OpenAI‑Hugging Face‑incident in wezen een risico‑van‑derde‑partij‑verhaal was: een kwetsbare component van een derde partij als ontsnappingsroute, een leverancier als slachtoffer, en een systeemknooppunt waar duizenden bedrijven van afhankelijk zijn als explosieradius.

Dit is het cijfer dat ik naar uw volgende beveiligings‑planningsvergadering zou brengen. Van de ongeveer 17.600 aanvalleracties die Hugging Face uit haar logboeken heeft hersteld, faalde het merendeel.

De agent testte paden die nergens heen leidden. Hij werd geblokkeerd door URL‑whitelists en probeerde een andere route. Hij stuitte op IAM‑beleid dat elke muterende oproep weigerde. Hij probeerde tweemaal een productiedatabase te bereiken en kreeg beide keren een time‑out. Hij verkende, faalde en ging door. Duizenden keren. Hij raakte niet gefrustreerd. Hij werd niet moe. En falen kostte hem bijna niets.

Vier modellen ontsnapten uit testomgevingen in minder dan drie weken. De ontsnappingen kregen krantenkoppen. Security‑leiders zouden zich meer zorgen moeten maken over wat ze mogelijk maakte: een aanvaller die duizenden keren kan falen tegen vrijwel geen kosten.

Dat is de verschuiving. Decennialang hebben verdedigers geprofiteerd van één simpel feit: falen kost aanvallers iets. Verkenning kost tijd en doodlopende wegen waren kostbaar. De economie van die asymmetrie maakte het “opleggen van kosten” aan aanvallers tot een samenhangende manier om ze te stoppen. Wanneer falen bijna gratis wordt, stopt het succesvolle pad een naald in een hooiberg te zijn en wordt het een statistische zekerheid voor iedereen die alle paden tegelijk kan volgen.

De patronen in deze incidenten wijzen op drie lessen die security‑leiders nu moeten oppakken.

Four Labs, One Shape

Het patroon is opvallend consistent. Geef een model een doel. Het vindt een pad dat niemand had verwacht. Soms leidt dat pad rechtstreeks naar de productiesystemen van organisaties die nooit betrokken hadden mogen worden. In ten minste één geval leerde de getroffen organisatie wat er was gebeurd omdat Anthropic belde om het te melden

In elk geval liep het pad via software, infrastructuur of een omgeving die iemand anders had gebouwd. Security‑leiders zouden dat persoonlijk moeten nemen.

Elke organisatie in deze keten had een beveiligingsprogramma. Verschillende hadden zeer goede programma’s. Het falen was niet beperkt tot één perimeter. Het gebeurde in de naad tussen organisaties, en niemand bezit die naad.

De modellen van OpenAI vonden een zero‑day in een zelf‑gehoste package‑proxy en gebruikten die om het open internet te bereiken. Van daaruit vestigden ze zich op een onbeveiligde code‑executie‑sandbox van een Modal Labs‑klant, gebruikten die als staging‑basis en misleiden de dataset‑loader van Hugging Face om lokale bestanden te lezen en vervolgens code uit te voeren. Binnen dertien uur hadden ze cluster‑adminrechten over meerdere interne clusters, geholpen door één enkele inloggegevens die over alle clusters gedeeld werden. Het instappunt was nieuw. Binnenin waren de zwaktes precies die we al twintig jaar beschrijven.

Negen dagen later deed Anthropic iets minder gebruikelijks: het publiceerde zijn eigen review van 141.006 evaluatieruns en onthulde drie gevallen met een vergelijkbare presentatie zonder prompting: een model dat vanuit een evaluatie‑omgeving het open internet bereikte en vervolgens toegang kreeg tot de systemen van echte organisaties. Geen sandbox‑ontsnapping dit keer, alleen een misconfiguratie die een live‑pad open liet terwijl het model was verteld dat die niet bestond. Eenmaal buiten exploiteerde het model zwaktes die elk security‑team kent: zwakke wachtwoorden, niet‑geauthenticeerde eindpunten, SQL‑injectie en inloggegevens die op een blootgestelde debug‑pagina lagen.

Meta bevestigde een vierde incident begin augustus, nadat een configuratiefout één van haar modellen internettoegang gaf tijdens een evaluatie. Meta merkte het ook niet op; ze kwamen erachter wat er was gebeurd toen hun testpartner belde. Zowel die evaluatie als die van Anthropic werden uitgevoerd door hetzelfde externe bedrijf, Irregular, dat ze publiekelijk als hetzelfde probleem bestempelde. Een configuratiefout van één leverancier verspreidde zich over twee frontier‑labs en vier slachtoffer‑organisaties, die allemaal geen directe relatie met Irregular hadden. Het was een leverancier voor de twee labs, niet voor hen. De agent gaf niet om waar het aanvaloppervlak van het ene bedrijf eindigde en dat van het andere begon.

Dat is wat dit tot een risico‑van‑derde‑partij‑probleem maakt. Blootstelling kan nu ontstaan enkele relaties verwijderd van u, in een organisatie die u nooit hebt geselecteerd, beoordeeld of zelfs maar wist dat ze deel uitmaakte van uw aanvalsvlak.

Daarna ontdekten onderzoekers van Frontier Security dat Moonshot’s Kimi K3 ook uit zijn sandbox gleed, zodat het toegang kreeg tot een benchmark‑repository op GitHub. Niemand werd gecompromitteerd, en het model volgde zijn toegewezen doel, nadat het had berekend dat het gebruiken van een kant‑en‑klaar antwoordblad goedkoper was dan zelf oplossen. Twee dingen maken dit geval belangrijk. Onderzoekers vingen het tijdens hun eigen test. En het draaide op volledig andere tooling dan de Anthropic‑ en Meta‑gevallen. Eén leverancier die een slechte maand heeft, verklaart dit niet.

De labs negeren dit niet. Anthropic publiceerde zijn review zonder prompting, waardoor de industrie een patroon heeft om te onderzoeken en van te leren — in plaats van een uitschieter af te wijzen. Dat zou de norm moeten worden. OpenAI heeft nu de release van zijn Astra‑model vertraagd nadat interne evaluaties kritieke cyber‑capaciteit niet konden uitsluiten. Beide stappen verdienen lof. Maar geen van beide is een verdedigingsplan: een release‑vertraging regelt de agenda van één bedrijf. Het doet niets aan capabele modellen, waaronder Kimi K3, die al open‑weight en gratis worden geleverd, buiten de controle van een enkel lab.

Correlation Without Escalation is Not Detection

Het detectiestack van Hugging Face heeft, terecht, de signalen tot een samenhangende aanval gecorreleerd. Het slaagde er vervolgens niet in de urgentie te escaleren, en het on‑call‑team werd niet ge‑paged. De tooling stelde het verhaal samen maar kon niet bepalen dat het verhaal urgent was. Dat is een triage‑architectuur gebouwd voor een wereld waarin 17.600 gebeurtenissen over vier dagen absurd zouden lijken.

Cybersecurity Needs its Fosbury Flop

In 1968 won Dick Fosbury de Olympische gouden medaille in het hoogspringen niet door hoger te springen dan zijn concurrenten, maar door de lat achterwaarts te passeren. Iedereen anders verfijnde de “straddle”. Betere vorm, meer kracht, marginale winst op een decennialange techniek. Fosbury veranderde de vorm van het probleem. Binnen twee Olympische Spelen was de straddle vrijwel uitgestorven.

Security‑leiders moeten nu een lat klaren die net is verplaatst, en het antwoord van de industrie tot nu toe is een betere straddle: meer waarschuwingen, snellere analisten, strengere SLA’s voor menselijke beoordeling. Dat zal niet werken, want de beperking is niet de snelheid van de analist. Je kunt geen aanvallen op machinale snelheid beantwoorden met triage op menselijke snelheid..

De flop ziet er als volgt uit:

• Stop met de grens te behandelen als de controle. De evaluatie‑sandbox faalde, de dataset‑loader faalde, en de pod‑isolatie faalde, elk deed zijn werk tot het niet meer kon. Ontwerp voor wat er daarna gebeurt. Gebruik kort‑levende inloggegevens. Elimineer gedeelde administratieve identiteiten. Blokkeer toegang tot metadata‑services. Bovenal, beperk hoe ver een aanvaller kan bewegen nadat de eerste controle faalt.
• Verplaats detectie van alleen alarmeren naar correlatie. Het vinden van één verdacht evenement is niet langer voldoende. De taak is om duizenden ogenschijnlijk gewone gebeurtenissen te verbinden tot één aanvalverhaal, en te weten wanneer dat verhaal ernstig genoeg is om iemand wakker te maken. Dit moet steeds meer geautomatiseerd worden gezien het volume dat we zien.
• Behandel blootstelling van derden als een aanvalspad, niet als een vragenlijst. Deze incidenten liepen via afhankelijkheden van derden: een product van een leverancier, een klant van een leverancier, een evaluatie‑partner, gedeelde test‑tooling. Uw risico omvat nu configuratiefouten van organisaties die u nooit heeft geaudit en misschien zelfs niet eens weet dat ze bestaan. Statische, moment‑in‑tijd beoordelingen kunnen dat niet zien. Dit probleem is niet nieuw. AI maakt het veel urgenter. Security‑teams hebben een continu overzicht nodig van de bedrijven en technologieën waarvan ze afhankelijk zijn, omdat aanvallers dat volledige ecosysteem als één verbonden oppervlak zien.

Bij SecurityScorecard is dit precies het soort probleem waar onze cultuur om draait: mensen samenbrengen die diep nieuwsgierig zijn naar hoe aanvallers denken, bereid om twintig‑jaar‑oude aannames uit te dagen, en enthousiast zijn om een fundamenteel andere benadering van security te bouwen!

The Question to Bring to Your Next Board Meeting

Ik zei een paar weken geleden dat de geest te krachtig is geworden voor de fles. Vier labs later is er niets dat dat tegenspreekt. Na incidenten als deze stelt iedereen dezelfde vraag: Zijn we klaar voor AI‑ondersteunde aanvallers? Ik denk niet dat die vraag ons ver brengt. ‘Ja’ en ‘nee’ leveren hetzelfde resultaat op: er verandert niets.

Stel een moeilijkere vraag. Als 17.000 low‑signal‑gebeurtenissen uw omgeving in de komende vier dagen raken — en de meeste leken mislukkingen — hoe lang zou uw team er dan over doen om te realiseren dat het één aanval was? Zou iemand op tijd worden ge‑paged?

U kent het antwoord al. Het gat tussen dat antwoord en vier dagen is het werk.