Uw AI-beveiligingstool beschermt u niet – het maakt u alleen maar beter

In juni 2025 heeft Microsoft CVE-2025-32711 gepatcht, beter bekend als EchoLeak: een zero-click kwetsbaarheid in Microsoft 365 Copilot, gescoord met 9,3 op CVSS. Een geknutselde e-mail, nooit geopend door het slachtoffer, kon Copilots retrieval-engine ertoe brengen om stilzwijgend gevoelige context te exfiltreren. Het detail dat u zou moeten storen: de payload liep rechtstreeks voorbij XPIA, Microsofts eigen prompt-injectieclassificatie, die aanwezig was, draaide en exact zoals ontworpen werkte.

Bruce Schneier gaf ons de vocabulaire hiervoor in 2009. Security theater, schreef hij, beschrijft maatregelen die mensen meer veiligheid geven zonder hun veiligheid te verbeteren. Het gevoel en de realiteit zijn verschillende dingen, en ze divergeren.

Zeventien jaar later heeft AI de divergentie geïndustrialiseerd, aan beide kanten van de vergelijking. AI-gebaseerde beveiligingstools worden verkocht op basis van capaciteiten die ze niet kunnen demonstreren onder meting, en beveiligingstools voor AI worden verkocht als oplossingen voor een probleem dat hun eigen documentatie onoplosbaar noemt. Gartners 2025-hypecyclus plaatste AI-vertrouwen, risico- en beveiligingsbeheer op de top van de verwachtingscurve. De analisten vertellen u waar we zijn. De vraag is wat u eraan moet doen.

Het gat tussen de datasheet en de meting

Begin met wat er gebeurt als iemand geïmplementeerde controles test in plaats van hun marketing te lezen.

De Picus Blue Report 2025 analyseerde meer dan 160 miljoen real-world aanvalsimitaties die in de eerste helft van 2025 tegen productieomgevingen werden uitgevoerd. Picus verkoopt de simuleringsplatform, dus weeg de bron dienovereenkomstig, maar de cijfers zijn moeilijk te weerleggen. De gemiddelde effectiviteit van preventie was 62%, een daling van 69% een jaar eerder. Ondanks een loggingsdekking van 54% genereerde slechts 14% van de gesimuleerde aanvallen een alarm. Aanvallen met geldige referenties slaagden 98% van de tijd. En van de gegevensexfiltratiepogingen die werden gesimuleerd, blokkeerden de controles ter plaatse 3%.

Drie procent. Dit zijn omgevingen met moderne, vaak AI-gebaseerde beveiligingsstacks, en de exfiltratietest is degene die het meest rechtstreeks in kaart brengt wat een aanvaller wil doen.

De benchmarkscores die in vendordecks verschijnen, verdienen hetzelfde scepticisme. Toen vendors beweerden perfecte scores op de MITRE ATT&CK-evaluaties te hebben behaald, publiceerde Forrester-analist Allie Mellen een scherpe herinnering: de evaluaties hebben geen winnaars of verliezers, en de claims van 100% zijn meestal gebaseerd op onrealistische configuraties, gekozen subresultaten of detectie-instellingen die een echte SOC in lawaai zouden begraven.

Dit is niets nieuws, wat het deprimerende deel is. In 2019 namen onderzoekers van Skylight Cyber Cylance’s “pure AI”-antivirus uit elkaar door tekenreeksen van de videospel Rocket League toe te voegen aan malwaremonsters, waardoor de classificatie van de classifier voor 100% van de top tien malwarefamilies van die dag en 83% van een bredere steekproef veranderde. De les, dat statische machine learning-modellen falen tegen tegenstanders die ze bestuderen, werd zeven jaar geleden gepubliceerd. De marktreactie was om meer statische machine learning-modellen te verschepen.

Het guardrailprobleem is erger

Als AI-gebaseerde detectie overschrijdt, zijn de tools die worden verkocht om AI zelf te beveiligen in een vreemde positie: de standaardorganisatie die de bedreiging definieert, zegt dat de bedreiging mogelijk niet oplosbaar is.

Prompt-injectie staat op nummer één in de OWASP Top 10 voor LLM-toepassingen, en OWASP’s eigen richtlijnen zijn ongebruikelijk bot: gegeven de stochastische aard van de modellen, “is het onduidelijk of er bewezen methoden van preventie zijn voor prompt-injectie.” Fine-tuning en RAG, voegt het toe, mitigeren het niet volledig. Dat is het probleem dat de prompt-schildmarkt bestaat om op te lossen, beschreven als mogelijk onoplosbaar door de organisatie die het heeft gecatalogiseerd.

De empirische werkzaamheden ondersteunen het pessimisme. Onderzoekers van de Lancaster University en Mindgard testten zes productiegardrail-systemen, waaronder Microsofts Azure Prompt Shield en Meta’s Prompt Guard, en bereikten tot 100% eenvoudige succes met behulp van karakterinjectie- en adversarial perturbatietechnieken, terwijl de onderliggende aanvallen functioneel bleven. HiddenLayer ging verder en publiceerde een enkele overdraagbare “Policy Puppetry”-promptsjabloon dat, naar eigen zeggen, elk groot model op de markt omzeilt. Dat is vendoronderzoek en niet peer-reviewed, dus behandel “alles” met zorg, maar onafhankelijke kanalen reproduceerden de kernclaims.

De meest geloofwaardige getuige heeft niets te verkopen. Het AI Safety Institute van het VK, dat vijf toonaangevende LLM’s evalueerde, rapporteerde dat “alle modellen zeer kwetsbaar waren voor onze basisaanvallen”, met elke model dat minstens één keer in vijf pogingen voor bijna elke schadelijke vraag voldeden toen in-house aanvallen werden toegepast. Basisaanvallen. Geen nationale handel. Een overheidsbeoordelingsorgaan, dat beleefd opmerkt dat de keizers invoerfilter geen kleren heeft.

Unite.AIs eigen dekking heeft de kwetsbaarheidsklassen en de injectietechnieken voor jaren gedocumenteerd. Niets hiervan is geheim. Het komt alleen niet op datasheets voor.

Het gevaarlijke deel is het gevoel

Hier wordt de titel van dit artikel ophoudt retorisch te zijn. Als deze tools alleen onderpresteren, zou het verlies budgettair zijn. Het onderzoek suggereert iets ergers: het vertrouwen dat ze genereren, degradeert het gedrag actief.

Veiligheidsonderzoekers noemen het risicocompensatie, of het Peltzman-effect: beveiligde mensen nemen meer risico’s. Bestuurders met veiligheidsgordels rijden sneller. En organisaties met AI-beveiligingsdashboards, blijkt, stoppen met het doen van saaie dingen.

De cijfers lijnen op een ongemakkelijke manier op. Cisco’s 2025 Cybersecurity Readiness Index, waarin 8.000 beveiligingsleiders werden ondervraagd, toonde aan dat 86% van de organisaties in de afgelopen twaalf maanden een AI-gerelateerde beveiligingsincident had meegemaakt, terwijl slechts 10% AI als het moeilijkste beschouwde dat ze moesten beschermen, en 60% toegeven dat ze geen zicht hebben op hoe werknemers generatieve AI gebruiken. Incidenten zijn bijna universeel; zorg, een afrondingsfout.

IBMs 2025 Cost of a Data Breach-rapport voltooit het beeld. Van de organisaties die inbreuken op AI-modellen of -toepassingen leden, ontbrak het bij 97% aan een goede AI-toegangscontrole. Een op de vijf inbreuken kwam van schaduw-AI, waardoor de gemiddelde inbreukkosten met ongeveer $670.000 toenamen, en 63% van de gehackte organisaties hadden helemaal geen AI-beleid. Lees die cijfers samen en een patroon verschijnt: de fouten zijn saai. Afwezige basisbeginselen, in organisaties die zich beschermd voelden.

Het dashboard functioneerde niet defect. Het leverde zijn werkelijke product, dat was vertrouwen.

Wat de eerlijke versie eruit ziet

Niets hiervan beweert dat AI-beveiligingstools waardeloos zijn, en het beste tegenbewijs verdient aandacht. Anthropics Constitutional Classifiers overleefden meer dan 3.000 uur van red teaming door 183 onderzoekers zonder universele jailbreak, waardoor de jailbreaksucces van 86% op het onverdedigde model tot 4,4% daalde, tegen een stijging van 0,38 punten in over-weigeringen en ongeveer 24% rekenkundige overhead. Toen voerde Anthropic een openbare uitdaging uit, en van de 339 deelnemers slaagden vier voor elk niveau en vond één een werkende universele jailbreak.

Dat is de eerlijke vorm van het hele veld in één resultaat: een goed gebouwd guardrail verhoogde de aanvalskosten enorm, droeg een meetbare belasting, en viel nog steeds voor een voldoende gedetermineerde mens. Als ik dit artikel moest samenvatten in een aankoopprincipe, is het dit: een controle die wordt verkocht als een kostenverhoger met gepubliceerde foutmodi is waard om te evalueren; een controle die wordt verkocht als een opgelost probleem verkoopt u het gevoel.

Controle of comfortdeken: drie vragen

U kunt er een van het andere scheiden zonder onderzoeksbudget. Drie vragen, gesteld aan elk AI-beveiligingstool dat u bezit of gaat kopen.

Wat is zijn gemeten omzeilingspercentage in mijn omgeving? Niet de benchmark van de vendor. Die van u. Continue validatie en purple-team-oefeningen bestaan precies omdat, zoals de Picus-gegevens laten zien, geïmplementeerde controles stilzwijgend naar falen neigen. Een nummer dat u niet heeft gemeten, is een nummer dat u op goed geluk neemt.

Wat gebeurt er als het faalt? Niet als. OWASP’s praktische richtlijnen wijzen dezelfde kant uit als elke incident hierboven: minste-privilege-toegang voor modellen, menselijke goedkeuringspoorten voor gevoelige acties en segmentatie die ervan uitgaat dat het filter uiteindelijk iets doorlaat. EchoLeak was overleefbaar voor organisaties waarvan Copilot eenvoudigweg niets kon bereiken dat het waard was om te stelen.

Is de claim van de vendor een feit of een hypothese? Zelfs de vendors geven meer toe dan hun datasheets doen. Vectra’s eigen onderzoek onder 2.000 SOC-professionals, vendoronderzoek opnieuw, toonde aan dat teams slechts 38% van de door hun tools gegenereerde alarmsignalen konden afhandelen, terwijl 60% zei dat vendors tools verkopen die lawaai in plaats van duidelijkheid creëren, en de helft hun tooling meer hinder dan hulp noemde. Wanneer de industrie zelf zegt dat, “vertrouw de datasheet” ophoudt een strategie te zijn.

Het patroon overleeft de patch

EchoLeak werd in een Patch Tuesday opgelost. Het patroon dat het demonstreerde, een productiegardrail die de voordeur filtert terwijl de aanval via de brievenbus binnenkomt, was dat niet, en het onderzoeksrecord hierboven zegt dat het niet snel zal gebeuren.

Schneiers onderscheid is zeventien jaar oud en is nooit duurder geweest om te negeren. Het gevoel van veiligheid is een product, en de AI-tijdperk verkoopt het in abonnementsniveaus. De realiteit van veiligheid is een meting, en niemand kan het u verkopen, omdat u ernaar toe moet gaan en het moet nemen.