Cardinal Program brengt gratis AI‑gedreven beveiligingstesten naar Amerikaanse nutsbedrijven

Method Security en Palantir Technologies hebben op 10 september 2026 het Cardinal Program aangekondigd, een gezamenlijk initiatief dat geselecteerde Amerikaanse gemeenten, nutsbedrijven en exploitanten van kritieke infrastructuur opt‑in, continue autonome beveiligingsbeoordelingen kosteloos zal bieden.

In een gezamenlijke persverklaring met datum New York en Miami beschreven de bedrijven Cardinal als een initiatief om de nationale cyber‑veerkracht te versterken via veilige, autonome red‑team‑operaties. Ze stelden dat deze instellingen de systemen en diensten die het dagelijks leven ondersteunen beschermen en nu geconfronteerd worden met tegenstanders die steeds krachtigere AI gebruiken om kwetsbaarheden met ongekende snelheid en schaal te vinden en te exploiteren. Cardinal is, aldus, hun poging om die kloof te dichten door autonome cyber‑systemen, geavanceerde AI en deskundige operators te bundelen ter ondersteuning van de teams die essentiële Amerikaanse infrastructuur beschermen.

De officiële website van het programma stelt dat de missie is om nationale kritieke infrastructuur en gemeentelijke organisaties uit te rusten met continue, veilige, door tegenstanders geïnformeerde hardening‑richtlijnen om cyber‑tegenstanders voor te blijven. De site beschrijft deze instellingen vaak als onderbemand op het gebied van beveiliging en presenteert Cardinal als een technische coalitie van Amerikaanse technologie‑ en beveiligingsbedrijven die een gezamenlijk aanbod op de markt leveren.

“Aanvallers zetten deze mogelijkheden nu al in,” schreven de bedrijven in de gezamenlijke persverklaring. “Verdedigers zouden niet hoeven te wachten om hetzelfde te doen.”

Hoe de beoordelingen zullen worden uitgevoerd

Binnen het programma zullen het platform van Method en beveiligingsoperators de internet‑gerichte assets van deelnemende organisaties in kaart brengen, onderzoeken en veilig testen om aanvalspaden te identificeren. Frontier‑ en open‑weight‑modellen zullen de beoordelingen aandrijven, die volgens de bedrijven bedoeld zijn om verdedigers te helpen begrijpen hoe aanvallers met dezelfde capaciteiten hun systemen zouden kunnen benaderen.

Palantir Foundry, AIP en de Ontology for Cybersecurity zullen veilige infrastructuur bieden zodat Method de bevindingen kan integreren, leveren en samenwerking kan ondersteunen. Volgens de persverklaring maakt AIP validatie van herhaalbare, geautomatiseerde beoordelingsworkflows mogelijk voor deze missies met hoge consequenties, terwijl de Ontology de bevindingen contextualiseert in termen van reële missie‑impact om responsacties te richten.

De beoordelingen zullen het gedrag van echte tegenstanders nabootsen binnen de reikwijdte en regels van engagement die door de deelnemers zijn gedefinieerd, met waarborgen en menselijk toezicht om verstoringen te voorkomen, aldus de bedrijven. Beveiligingsexperts zullen de bevindingen beoordelen en door tegenstanders geïnformeerde hardening‑richtlijnen verstrekken.

Geschiktheid, controles en inschrijving

De website van het programma stelt dat elke Amerikaanse organisatie van kritieke infrastructuur op het gebied van energie, transport, communicatie, volksgezondheid of ziekenhuisoperaties, en elke gemeente die verantwoordelijk is voor water of veiligheid, in aanmerking komt voor gratis beoordelingen.

Volgens de site bestaat het gratis niveau uit semi‑frequente autonome red‑team‑beoordelingen van het externe aanvalsvlak van een organisatie, met direct geleverde strategische hardening‑richtlijnen, plus de mogelijkheid om maandelijks met een beveiligingsexpert te overleggen over die richtlijnen. Het resultaat heeft de vorm van door tegenstanders geïnformeerde hardening‑richtlijnen, zoals het aanpassen van een netwerkcontrole of het verwijderen van permissieve toegang, geleverd met bijbehorend bewijs.

Elke deelnemende organisatie stelt zelf de doelreikwijdte van toegestane en verboden assets vast en kan fijnmazige regels van engagement definiëren die bepalen welke acties mogen worden uitgevoerd, op welke momenten en met welk niveau van menselijke goedkeuring. Reikwijdte en regels kunnen na aanmelding worden aangepast via een portaal dat alle instellingen en resultaten van de deelnemer bevat. De site meldt dat de bevindingen van deelnemers toegangsgereguleerd zijn en dat details nooit openbaar worden gemaakt, behalve aan een support‑engineer.

Inschrijving begint met het indienen van een formulier, waarna een Method‑engineer de kwalificatie beoordeelt. Gekwalificeerde deelnemers ondertekenen vervolgens een red‑team‑overeenkomst voordat ze aan het programma worden toegevoegd.

Buiten het gratis niveau kunnen grotere ondernemingen rechtstreeks met de operationele partners van het programma samenwerken voor toegewijde betaalde commerciële programma’s die op hetzelfde model zijn gebaseerd, meldt de site. Overheidsinstanties kunnen Cardinal gebruiken als een technisch platform voor uitgebreidere beveiligingsinitiatieven, zoals het leveren van een continu beoordelingsprogramma voor hun eigen systemen of geautoriseerde derden, gebouwd op federale financiering of een ander overeengekomen economisch model. De bedrijven zeiden dat hun doel is om nu capaciteiten aan verdedigers te leveren terwijl ze een schaalbaar model demonstreren, en dat ze hopen dat Cardinal overheidsinstanties een beproefd technisch voertuig kan bieden om deze capaciteiten te richten op systemen binnen hun mandaat. Nationale cyber‑veerkracht, voegden ze toe, zal dringende samenwerking tussen industrie en overheid vereisen.

De bedrijven achter het programma

Method beschrijft zichzelf als een bouwer van autonome cyber‑systemen voor de Amerikaanse overheid en de Fortune 500, en de website van het bedrijf vermeldt een missie om cyber‑veerkracht te leveren aan de Amerikaanse overheid en kritieke ondernemingen. De site stelt dat Method full‑spectrum beveiligingsproducten ontwikkelt om cyber‑operators een doorslaggevend voordeel te geven, en noemt twee: Bastion, dat de totaliteit van resources en mogelijke aanvalspaden in de context van de bedrijfsvoering van een klant in kaart brengt, valideert en beheert, en Reaper, dat red‑team‑operaties en tegenstander‑emulatie‑oefeningen plant en uitvoert op autonome en software‑gedefinieerde command‑and‑control‑infrastructuur. Method noemt OpenAI, Palantir, Andreessen Horowitz, General Catalyst en Blackstone als partners.

De persverklaring nodigt organisaties die kritieke systemen of openbare diensten beschermen uit om via de Cardinal‑Programma‑site een beveiligingsbeoordeling aan te vragen. Ze vermeldt Lisa Gordon als mediacontact van Palantir en MR Snell als contactpersoon voor Method Security.