AI kan meer kwetsbaarheden aan het licht brengen dan ooit. Mensen moeten nog steeds beslissen wat er daarna gebeurt.

Cybersecurityteams gingen jarenlang uit van een eenvoudige aanname: als we meer kwetsbaarheden sneller konden vinden, zouden we software veiliger maken.

Kunstmatige intelligentie stelt die aanname op de proef. Terwijl het bredere gesprek over AI verschuift van snelle invoering naar aantoonbare waarde, legt cybersecurity een uitdaging bloot die niet verdwijnt als de ontwikkeling van AI vertraagt. Organisaties worden nu al geconfronteerd met een groeiend aantal door AI gegenereerde bevindingen over kwetsbaarheden, die nog steeds door mensen moeten worden gevalideerd, geprioriteerd en verholpen.

Recente bevindingen van Project Glasswing vormen een van de duidelijkste voorbeelden tot nu toe. Naar verluidt heeft Claude Mythos Preview in slechts enkele maanden meer dan 26.000 kwetsbaarheden in softwareprojecten opgespoord. Toch heeft volgens een onafhankelijke analyse van het openbare openbaarmakingsregister van Glasswing slechts ongeveer 10% van die bevindingen het openbaarmakingsproces bereikt en is uiteindelijk minder dan 1% verholpen.

Die cijfers zijn opvallend, maar zouden niet moeten verrassen. De sector heeft decennialang geoptimaliseerd voor het opsporen van kwetsbaarheden. Wat ontbreekt, is de capaciteit om bevindingen over kwetsbaarheden op AI-schaal te verwerken.

Het knelpunt in cybersecurity is niet langer het opsporen van kwetsbaarheden. Het gaat om wat er daarna gebeurt.

Kwetsbaarheden opsporen was nooit het moeilijkste deel

In een vroege update van Project Glasswing merkte Anthropic op dat de voortgang steeds meer werd belemmerd, niet door het opsporen van kwetsbaarheden, maar door het menselijke werk dat nodig is om meldingen te verifiëren, openbaarmakingen te coördineren en herstelwerkzaamheden te ondersteunen. Het bedrijf merkte ook op dat sommige beheerders om een lager tempo van openbaarmaking vroegen, omdat ze niet over de capaciteit beschikten om de grote hoeveelheid gegenereerde bevindingen te verwerken.

Dit onderscheid is belangrijk, omdat het opsporen van kwetsbaarheden en het verhelpen ervan fundamenteel verschillende activiteiten zijn.

Opsporing is steeds meer een kwestie van patroonherkenning. Moderne AI-systemen zijn bijzonder goed in het analyseren van grote codebases, het herkennen van ongebruikelijk gedrag, het traceren van uitvoeringspaden en het aan het licht brengen van mogelijke zwakke plekken.

Kwetsbaarheden verhelpen is iets anders. Daarvoor is context nodig. Iemand moet vaststellen of het probleem echt is, de mogelijke impact begrijpen, mogelijke oplossingen beoordelen, ervoor zorgen dat wijzigingen geen regressies veroorzaken, tijdlijnen voor openbaarmaking coördineren, met belanghebbenden communiceren en uiteindelijk verantwoordelijkheid nemen voor het resultaat.

Dat laatste is cruciaal. AI kan een mogelijke kwetsbaarheid opsporen, maar kan geen verantwoordelijkheid dragen voor wat er daarna gebeurt. Validatie, triage, herstel en rapportage blijven altijd mensenwerk, uitgevoerd door iemand die verantwoordelijk is voor het project dat diegene beheert. Dat kost tijd van mensen die vaak een voltijdbaan en een gezin hebben, naast andere verplichtingen die om hun aandacht vragen. Bij veel opensourceprojecten is de beperkende factor niet het inzicht in de risico’s, maar het vermogen van beheerders en beveiligingsteams om een almaar groeiend aantal bevindingen op verantwoorde wijze te beoordelen en erop te reageren.

Dit is het fundamentele verschil tussen opsporing en herstel. AI kan ons steeds beter helpen om de opsporing op te schalen. Herstel blijft afhankelijk van mensen met de context, bevoegdheid en verantwoordelijkheid om op basis van AI-bevindingen actie te ondernemen.

De uitdaging voor opensourcesoftware

Deze dynamiek wordt nog duidelijker in het opensource-ecosysteem. Omdat opensourcecomponenten in 98% van de commerciële codebases voorkomen, is het overgrote deel van de digitale infrastructuur ter wereld afhankelijk van projecten die door relatief kleine groepen bijdragers worden onderhouden.

In veel gevallen zijn de mensen die deze cruciale software onderhouden vrijwilligers, of combineren ze hun verantwoordelijkheden voor het project met een voltijdbaan en privéverplichtingen. Naarmate AI de hoeveelheid software en het aantal daarin ontdekte kwetsbaarheden doet toenemen, wordt het vermogen van die beheerders om dat tempo bij te houden een steeds belangrijker onderdeel van de beveiliging.

Wanneer een AI-systeem plotseling honderden of duizenden potentiële bevindingen voor een projectecosysteem genereert, worden de beheerders de beperkende factor.

Dit is geen kritiek op beheerders. Het is een weergave van de werkelijkheid.

Zelfs voordat AI-gestuurde opsporing van kwetsbaarheden opkwam, hadden veel opensourceprojecten al moeite met beperkte middelen, toenemende beveiligingseisen en een groeiende onderhoudslast. AI vergroot de druk op een systeem dat al zwaar belast was.

De uitdaging is niet alleen vaststellen of er een kwetsbaarheid bestaat. De uitdaging is alles wat daarna gebeurt.

Iemand moet het rapport beoordelen. Iemand moet het probleem kunnen reproduceren. Iemand moet bepalen of het een beveiligingsrisico vormt. Iemand moet een oplossing ontwikkelen en testen. Iemand moet de openbaarmaking coördineren en updates uitbrengen. Die verantwoordelijkheden kunnen niet zomaar worden geautomatiseerd.

Naarmate het aantal door AI gegenereerde bevindingen blijft toenemen, zullen organisaties die afhankelijk zijn van opensourcesoftware steeds meer aangewezen zijn op de gezondheid en duurzaamheid van de mensen die deze software onderhouden.

Voorbereid zijn op de golf van AI-ontdekte kwetsbaarheden

Wat moeten ondernemingen dan doen? Ten eerste moeten organisaties erkennen dat door AI aangedreven ontdekking geen probleem van de toekomst is. Het gebeurt al. Project Glasswing heeft aangetoond dat geavanceerde modellen kwetsbaarheden kunnen opsporen op een schaal die enkele jaren geleden moeilijk voorstelbaar zou zijn geweest.

Ten tweede moeten beveiligingsverantwoordelijken nagaan of hun herstelprocessen kunnen meegroeien met de mogelijkheden om kwetsbaarheden op te sporen. Veel organisaties hebben fors geïnvesteerd in het opsporen van kwetsbaarheden, maar te weinig in de mensen en processen die verantwoordelijk zijn voor het verhelpen ervan.

Ten derde moeten ondernemingen meer aandacht besteden aan softwareonderhoud als beveiligingsfunctie. Beveiliging wordt vaak besproken in termen van preventie en detectie, maar onderhoud op de lange termijn blijft een van de belangrijkste en minst gewaardeerde onderdelen van risicobeheer. AI maakt kwetsbaarheden wellicht makkelijker te vinden, maar dat neemt de verantwoordelijkheid niet weg om cruciale software op de lange termijn veilig te houden. Organisaties hebben een strategie nodig voor het beheer gedurende de volledige levenscyclus, zodat ze hun systemen planmatig kunnen moderniseren in plaats van gedwongen te worden tot overhaaste migraties of reactieve herstelmaatregelen wanneer risico’s zich voordoen.

Tot slot moeten organisaties de bredere ecosystemen ondersteunen waarvan ze afhankelijk zijn. Doordat AI het opsporen van kwetsbaarheden in opensourcesoftware versnelt, krijgen beheerders steeds meer te verduren. De beveiliging van de softwaretoeleveringsketen hangt uiteindelijk af van de vraag of die beheerders over de middelen beschikken die nodig zijn om te reageren.

AI kan kwetsbaarheden sneller opsporen. Maar door ze te vinden, wordt software niet veilig. Het moeilijkere werk bestaat uit het beoordelen van risico’s, bepalen wat prioriteit heeft, geteste oplossingen uitbrengen en software op de lange termijn veilig houden. Naarmate het opsporen van kwetsbaarheden versnelt, hebben organisaties een doorlopende herstelcapaciteit nodig, ondersteund door expertise, verantwoordingsplicht en duidelijke serviceniveaus.

Want het moeilijkste probleem in cybersecurity is niet het vinden van de kwetsbaarheid. Het gaat erom wat er daarna gebeurt.