Chaim Mazal, Chief AI & Security Officer van Gigamon – Interview Series

Chaim Mazal is Chief AI en Security Officer bij Gigamon, verantwoordelijk voor wereldwijde beveiliging, informatiebeveiliging, netwerkoperaties, governance, risicobeheer, naleving, interne bedrijfssystemen en productbeveiliging. Chaim leidt ook het strategische AI-programma van het bedrijf, dat governance, cross-functionele adoptie en veilig, verantwoord gebruik van AI bevordert. Hij wordt erkend door Security Magazine als een van de meest invloedrijke mensen in de beveiliging in 2025 en is een levenslange lid van de OWASP Foundation en zit in adviesraden, waaronder Cloudflare, GitLab (GTLB ) en Rapid7. Hij was eerder senior leider bij verschillende industrieleiders, meest recentelijk als SVP van Technologie en CISO bij Kandji.

Gigamon is een cybersecurity- en observabilitytechnologiebedrijf dat zich richt op het bieden van diepe zichtbaarheid in netwerkverkeer in hybride en multicloud-omgevingen. Het platform verzamelt en analyseert gegevens in beweging, waaronder pakketten, stromen en toepassingsmetadata, om actiegerichte inzichten te bieden aan beveiligings-, cloud- en IT-monitoringtools. Dit stelt organisaties in staat om verborgen bedreigingen te detecteren, prestaties te verbeteren, naleving te handhaven en complexiteit te verminderen door blind spots in steeds meer gedistribueerde en versleutelde systemen te elimineren. Gesteund door grote ondernemingen en overheidsorganisaties, helpt Gigamon moderne digitale infrastructuur op grote schaal te beveiligen en te beheren.

U hebt een unieke reis gehad van het doorbrengen van tijd in hackforums als tiener tot het worden van Chief AI en Security Officer bij Gigamon. Hoe hebben die vroege ervaringen uw manier van denken over moderne AI-gedreven cyberbedreigingen gevormd?

Ik kreeg mijn eerste computer op achtjarige leeftijd en leerde door experimenteren, namelijk door DOS te leren, handleidingen te lezen en uiteindelijk mezelf Visual Basic te leren. Toen ik dieper in internetgemeenschappen kwam, was ik gefascineerd door hoe software kon worden gemanipuleerd en waar systemen kwetsbaar waren. Die nieuwsgierigheid evolueerde in webapplicatiepenetratietesten en het beveiligen van SaaS-ontwikkelingslevenscycli.

Wat interessant is aan moderne bedreigingen is dat AI geen nieuwe zwakheden uitvindt, maar bestaande zwakheden ontdekt en exploiteert. Vanwege die vroege perspectieven, benader ik AI-beveiliging met de veronderstelling dat het vanaf dag één adversariaal zal worden gebruikt, wat me helpt om verdedigingen voor onze klanten bij Gigamon om te keren.

U hebt opgemerkt dat AI-gegenereerde phishing-, ransomware- en malwarecampagnes de tijd-tot-impact van weken tot uren terugbrengen. Wat zijn de concrete veranderingen die u ziet in de manier waarop deze aanvallen worden ontworpen en ingezet?

AI heeft de drempel voor cybercrime verlaagd. Het schrijven van malware, het creëren van overtuigende phishingcampagnes en het identificeren van kwetsbaarheden vereiste vroeger een grote technische expertise. Nu kunnen deze aanvallen worden versneld en zelfs volledig geautomatiseerd met behulp van AI-hulpmiddelen. Hackers hebben geen sterke technische achtergrond nodig om geavanceerde campagnes in te zetten, omdat AI code kan genereren, sociale engineeringsberichten kan verfijnen en operators in realtime kan helpen bij het oplossen van problemen.

Als gevolg van deze toegenomen toegang is het complete dreigingslandschap verschoven. Zonder governancekaders, nalevingsvereisten of ethische beperkingen om hen te vertragen, kunnen aanvallers experimenteren, aanpassen en implementeren met snelheid en tegen minimale kosten. Als gevolg daarvan is de tijd-tot-impact dramatisch verkleind en kan wat eerder weken duurde nu binnen uren gebeuren. Ondertussen zijn veel organisaties nog steeds in de vroege stadia van het defensief adopteren van AI, wat betekent dat sommige van de meest effectieve AI-use cases momenteel worden aangedreven door bedreigingsactoren.

Wat onderscheidt een AI-gedreven cyberaanval fundamenteel van traditionele geautomatiseerde bedreigingen, en kunt u een voorbeeld geven dat dat verschil duidelijk maakt?

Wat een AI-gedreven cyberaanval fundamenteel onderscheidt van traditionele geautomatiseerde bedreigingen, is autonomie en persistentie. In het verleden zouden hackers een script uitvoeren en stoppen wanneer het faalde. De “levenstijd” was beperkt tot de tijd die nodig was om het automatiseringsproces uit te voeren. Met AI worden agenten een doel gegeven en, als ze falen, stoppen ze niet. Ze blijven itereren, op zoek naar alternatieve paden om hetzelfde doel te bereiken. De levenstijd is effectief oneindig.

Als voorbeeld kan een productiebuild-afhankelijkheid worden gebruikt om iets zo kleins als twee regels script in te voegen, terwijl de bestandsgrootte ongewijzigd blijft, wat betekent dat de bytes identiek lijken. Wanneer het bestand wordt samengesteld en uitgevoerd, wordt een terminal-exemplaar gelanceerd dat een autonome agent in de bedrijfsomgeving installeert, die vervolgens een reeks kwaadaardige taken uitvoert die oneindig kunnen worden herhaald. In het verleden werden binaries beschouwd als post-implementatiebedreigingsvectoren. Nu worden ze constant gemanipuleerd, inclusief tijdens het buildproces zelf, om AI-geactiveerde acties binnen bedrijfsomgevingen uit te voeren.

Veel organisaties vertrouwen nog steeds op legacybeveiligingscontroles en gevestigde playbooks. Waarom falen deze benaderingen tegen AI-geactiveerde aanvallen, en waar ziet u de gevaarlijkste blind spots?

We zijn op een punt beland waarop, als u niet innoveert en AI niet zorgvuldig in uw beveiligingsoplossingen en -operaties integreert, u al achterloopt, en dat geldt voor zowel grote bedrijven als startups. Organisaties die falen om AI in hun beveiligingsstrategie te integreren, lopen het risico om door aanvallers te worden ingehaald die sneller en op grotere schaal opereren.

Dat gezegd hebbende, is het verdedigen tegen AI-geactiveerde bedreigingen niet noodzakelijkerwijs een complete heruitvinding van de technische stack. Veel van de tools die ondernemingen nodig hebben, zijn al aanwezig. De echte verschuiving is in hoe effectief die tools worden gebruikt. Het gaat erom de fundamenten te versterken, bestaande technologieën slimmer toe te passen en verdedigingen aan te passen om rekening te houden met ongetrainde maar AI-geactiveerde aanvallers.

Bedreigingsactoren gebruiken AI op een creatieve en strategische manier. Als ondernemingen niet op een soortgelijke strategische manier handelen, riskeren ze het creëren van enorme blind spots. Leiders moeten anders denken over hoe ze de tools die ze al hebben, inzetten, AI in hun operaties integreren en hun playbooks evolueren om zich te verdedigen tegen de snelheid en schaal van de aanvallen van vandaag.

AI lijkt de drempel voor cybercrime te verlagen. Hoe heeft deze verschuiving het profiel van de huidige aanvallers veranderd, en welke risico’s creëert dit voor ondernemingen?

AI heeft het mogelijk gemaakt voor bijna iedereen om een hacker te worden. Met AI-hulpmiddelen tot hun beschikking kunnen onervaren actoren, zelfs tieners, nu geavanceerde phishingcampagnes lanceren, rootkits implementeren en ransomware-aanvallen uitvoeren die eerder significante technische expertise vereisten.

Deze verschuiving voegt een nieuw niveau van onvoorspelbaarheid toe aan het dreigingslandschap. In plaats van een klein aantal hooggespecialiseerde groepen te enfrenten, enfrenten ondernemingen nu een bredere spectrum van actoren die snel experimenteren, in realtime leren en samenwerken via onlinegemeenschappen.

Voor ondernemingen betekent dit niet alleen meer aanvallen, maar ook een grotere variatie in de manier waarop ze worden uitgevoerd. Ondernemingen moeten zich voorbereiden op een dreigingsomgeving waarin capaciteit niet langer direct verbonden is met ervaring, en waar iedereen campagnes kan uitvoeren die die van historisch geavanceerde groepen evenaren.

Op basis van wat u ziet in aanvallergemeenschappen, welke AI-gedreven tools winnen aan populariteit, en hoe snel verbeteren deze capaciteiten?

Het gaat minder om enkele AI-hulpmiddelen die hackers helpen en meer om het delen van bronnen. In plaats van een enkel hulpmiddel dat een lineair proces uitvoert, gebruiken aanvallers gedecentraliseerde agenten die gegevens cross-referencen en informatie collectief delen via verschillende tooling. Het resultaat functioneert meer als een aanvalsmesh of een zwerm, in plaats van een eenmalige capaciteit.

Wat het meest opvallend is aan dit, is de snelheid van verbetering. Deze capaciteiten veranderen van dag tot dag, en veel van de tools die worden gebruikt, waren slechts weken geleden nog proof-of-concepts. Het tempo van innovatie en iteratie binnen aanvallergemeenschappen versnelt snel, met nieuwe technieken en tooling die bijna in realtime ontstaan.

Vanuit het perspectief van een verdediger, welke signalen duiden erop dat een organisatie te maken heeft met een AI-gedreven campagne in plaats van een meer conventionele aanval?

Vanuit het perspectief van een verdediger is een van de belangrijkste signalen dat verkenning niet langer sequentieel of compartimentaliseerd lijkt. Historisch gezien volgden aanvallers duidelijke stappen – informatie verzamelen in fasen, activiteit uitstellen en één oppervlak tegelijk aanvallen. Nu gebeuren al deze activiteiten tegelijk. E-mailgateways, extern beschikbare diensten, accountactiviteit, detectie- en ontwijktechnieken worden allemaal tegelijk uitgeoefend in plaats van sequentieel.

Een ander signaal is de unificatie en coördinatie van activiteit. Wat vroeger in stukjes werd gedaan, is nu gecondenseerd en collectief gedeeld via tooling, en functioneert meer als een zwerm dan als een eenmalige inspanning. Deze agenten itereren continu, passen aan en versnellen besluitvorming rondom dreigingsvectoren, en nemen geen nee voor een antwoord. Dat niveau van gelijktijdige activiteit, coördinatie en persistentie duidt sterk op een AI-gedreven campagne in plaats van een conventionele aanval.

U hebt betoogd dat veel huidige AI-beveiligingshulpmiddelen deze bedreigingen helemaal missen. Wat doen ze verkeerd, en welke capaciteiten zijn het meest dringend nodig?

Veel huidige AI-beveiligingshulpmiddelen zijn nog steeds gebouwd rond de verkeerde veronderstelling dat preventie het primaire doel is. Leveranciers blijven AI positioneren als een betere manier om bedreigingen aan de perimeter te blokkeren, maar aanvallers zijn sneller, adaptiever en steeds vaker geduldig, en gebruiken AI, deepfakes en geavanceerde malware die controles kan omzeilen en onopgemerkt kan blijven voor maanden.

Wat het meest dringend nodig is, is alomvattende, realtime-zichtbaarheid en sterker detectie- en responsvermogen. Organisaties moeten continue risicobeoordelingen uitvoeren, zichtbaarheid behouden in versleutelde verkeer waar veel bedreigingen zich verstoppen, en netwerkafgeleide telemetrie en API’s gebruiken om te begrijpen wat er op hun systemen draait en hoe gegevens worden verplaatst. Veerkracht vandaag is niet meer over het tegenhouden van elke bedreiging, maar over het zien, stoppen en leren van bedreigingen voordat ze escaleren.

Terwijl AI zowel de aanval als de verdediging versnelt, gelooft u dat defensieve AI realistisch de aanval kan bijhouden, of gaan we een periode in waarin aanvallers een structureel voordeel behouden?

AI versnelt beide kanten van de vergelijking, maar op korte termijn denk ik dat aanvallers het voordeel hebben. Zij hebben geen regelgevende beperkingen, geen nalevingsvereisten en geen ethische remmen. Dit betekent dat ze vrijelijk kunnen experimenteren en met verhoogde snelheid itereren. Aan de andere kant hebben ondernemingen de noodzaak om innovatie te balanceren met governance, privacy en operationeel risico, wat de adoptie en implementatie van AI natuurlijk vertraagt.

Dat gezegd hebbende, kan defensieve AI absoluut bovenaan komen als ondernemingen en leiders hun benadering veranderen. Succesvolle beveiligingstactieken zullen niet komen van het gebruik van AI puur voor preventie. Het zal de integratie van AI in detectie-, onderzoeks- en responsworkflows vereisen die worden ondersteund door realtime-zichtbaarheid. Het voordeel ligt niet permanent aan de kant van de aanvaller, maar het zal daar blijven totdat ondernemingen stoppen met het vertrouwen op preventie. De echte schade gebeurt wanneer een aanvaller het netwerk binnendringt, vaak levend van de land en wachtend om gegevens te extraheren. Leiders moeten verschuiven van “kunnen we een inbraak voorkomen” naar “hoe snel kunnen we indringers detecteren en verwijderen?”

Kijkend naar de toekomst, zes tot twaalf maanden, welke AI-gedreven aanvalstechnieken verwacht u te worden wijdverspreid, en wat moeten beveiligingsteams nu doen om zich voor te bereiden?

Zes tot twaalf maanden is een immense hoeveelheid tijd in deze omgeving. Dingen veranderen realistisch elke zes tot twaalf weken. De snelle vooruitgang van AI maakt het moeilijk om specifieke technieken te voorspellen die hackers in de toekomst zullen gebruiken, dus de focus moet liggen op hoe men zich kan voorbereiden.

Verdedigers moeten dezelfde AI-gedreven technologie gebruiken die aanvallers gebruiken, met een sterke nadruk op diepe verdediging. Dat betekent het gebruik van AI om constant stromen van gegevens over endpoints in realtime te cross-referencen, te vertrouwen op onveranderlijke netwerktelemetrie om transactiegedrag over private cloud, public cloud en on-premisesomgevingen te identificeren, en die telemetrie te voeden naar de juiste tooling, zodat beveiligingsteams actief op de hoogte zijn wanneer hun organisatie wordt gescand.

Tegelijkertijd moet de perimeter-georiënteerde defensieve mentaliteit worden afgeschaft. Het is geen vraag of een AI-gedreven inbraak plaatsvindt, maar wanneer. De prioriteit ligt nu bij vroege identificatie, impactreductie en tijdige mitigatie. Dit omvat het hebben van een solide incidentresponsplan, het toepassen van zero-trustprincipes, trust principles, enforcing network segmentation, maintaining access management with continuous reviews, and making dynamic adjustments as needed to protect customer data and limit impact.

Bedankt voor het informatieve interview, lezers geïnteresseerd in diepe observabiliteit en AI-gedreven netwerkbeveiliging kunnen Gigamon bezoeken.