BSI waarschuwt voor nieuwe AI-technologie voor het opsporen van kwetsbaarheden
Het Bundesamt für Sicherheit in der Informationstechnik (BSI) heeft zich intensief beziggehouden met het nieuwe AI-model “Mythos” van Anthropic en waarschuwt voor aanzienlijke gevolgen voor het cyberdreigingsbeeld en de nationale veiligheid. De technologie markeert een belangrijk keerpunt in het cybersecuritylandschap, omdat ze geautomatiseerd verborgen softwarekwetsbaarheden opspoort in wijdverbreide besturingssystemen en webbrowsers.
Wat is het AI-model Mythos?
Mythos is een door het Amerikaanse bedrijf Anthropic ontwikkeld kunstmatige-intelligentiemodel dat er specifiek op gericht is verborgen softwarekwetsbaarheden geautomatiseerd te herkennen. Het bedrijf maakte bekend dat het met deze tool al duizenden ernstige kwetsbaarheden heeft gevonden – onder meer in elk veelgebruikt besturingssysteem en elke veelgebruikte webbrowser. Deze vondsten onderstrepen de praktische slagkracht van de technologie in een reële omgeving.
Bijzonder opmerkelijk is dat Anthropic zelf waarschuwt dat zulke mogelijkheden van AI-tools bij de snelle vooruitgang van kunstmatige intelligentie al vrij snel ook beschikbaar zouden kunnen zijn voor online-aanvallers. Dat maakt de controle over en de beperkte beschikbaarheid van dergelijke instrumenten tot een centrale veiligheidsvraag.
Gecontroleerde toegang via toppartners
Anthropic is niet van plan Mythos algemeen openbaar beschikbaar te maken. In plaats daarvan vindt er een gecontroleerde samenwerking plaats met geselecteerde grote technologiebedrijven en beveiligingsspecialisten. Apple, Amazon en Microsoft behoren tot de samenwerkingspartners die toegang tot Mythos krijgen om beveiligingslekken in hun eigen software te identificeren en te dichten.
Naast de grote techconcerns zijn er nog andere partners bij dit project betrokken: de Linux-stichting, de IT-beveiligingsbedrijven Crowdstrike en Palo Alto Networks en de netwerkspecialist Cisco. Deze selectie wijst op een strategie die inzet op gevestigde en betrouwbare partijen in de beveiligingssector.
Het perspectief van het BSI: nationale veiligheid centraal
Brede herwaardering van het kwetsbaarhedenlandschap
BSI-presidente Claudia Plattner toonde zich bezorgd over de verstrekkende implicaties van de technologie. Het BSI heeft de nieuwe tool tot nu toe weliswaar niet zelf kunnen testen, maar heeft in een persoonlijk gesprek met de ontwikkelaars inzicht kunnen krijgen in de werking. De dienst neemt de aankondigingen van Anthropic zeer serieus en verwacht “omwentelingen in de omgang met beveiligingslekken en in het kwetsbaarhedenlandschap als geheel”.
Consequent doorgedacht zouden er op middellange termijn geen onbekende klassieke softwarekwetsbaarheden meer kunnen bestaan. Dat zou een fundamentele verschuiving van de aanvalsvectoren en een paradigmawisseling met het oog op het cyberdreigingsbeeld tot gevolg hebben. Aanvallers zouden zich gedwongen zien nieuwe methoden te ontwikkelen en andere zwakke plekken uit te buiten.
Soevereiniteit en strategische controle
Het BSI stelt daarnaast de vraag of, en zo ja hoe lang, dermate krachtige instrumenten op de vrije markt of überhaupt voor andere landen beschikbaar zullen zijn. Uit die vraag volgen direct overwegingen over de nationale en Europese veiligheid en over technologische soevereiniteit. Wie controle heeft over zulke krachtige beveiligingsinstrumenten, beschikt ook over een strategisch voordeel in het cybersecuritylandschap.
De kritieke context: waarom kwetsbaarheden zo gevaarlijk zijn
Toegangspoorten voor cybercriminaliteit en spionage
Kwetsbaarheden in software, hardware of netwerken zijn toegangspoorten voor cyberaanvallen door criminelen of hackers die in dienst van buitenlandse inlichtingendiensten opereren. Hoe langer een kwetsbaarheid bekend is maar niet gedicht, hoe groter het risico voor bedrijven, overheidsinstellingen en particuliere gebruikers om slachtoffer te worden van gegevensdiefstal of van afpersing na het plaatsen van malware.
Bijzonder kritiek zijn de zogeheten zeroday-kwetsbaarheden, die bij de fabrikanten nog niet bekend zijn. Deze worden vaak als eerste aanvalsdoel gebruikt door cybercriminelen en inlichtingendiensten, omdat bedrijven en overheden nog geen tegenmaatregelen kunnen treffen.
Historisch voorbeeld: WannaCry en het NSA-lek
De geschiedenis laat de dramatische gevolgen zien wanneer kwetsbaarheden niet tijdig worden gedicht. In 2017 maakten hackers gebruik van een bij de Amerikaanse inlichtingendienst NSA bekend beveiligingslek om op grote schaal computers te infecteren met de afpersingssoftware WannaCry. Zulke programma’s versleutelen de harde schijf en eisen geld voor het vrijgeven van de gegevens. Destijds waren onder meer Britse ziekenhuizen en informatieborden van de Deutsche Bahn getroffen. De NSA kwam onder vuur te liggen omdat zij het beveiligingslek niet liet dichten, hoewel het gevaar evident was.
Ook Duitse inlichtingendiensten en opsporingsinstanties gebruiken kwetsbaarheden echter voor bepaalde doeleinden – bijvoorbeeld om terreurnetwerken of zware misdrijven op te helderen of ter afwending van gevaar. Dit illustreert de complexe afweging tussen veiligheid en bepaalde opsporingsbevoegdheden.
Praktische relevantie voor beveiligingsverantwoordelijken
Patchen en regelmatige updates als kritieke praktijk
Uit de situatie volgt direct iets voor bedrijven en beheerders van kritieke infrastructuur: het installeren van beveiligingsupdates en het systematisch patchen moeten de hoogste prioriteit hebben. Met moderne AI-tools die kwetsbaarheden geautomatiseerd herkennen, worden deze eerder en in grotere aantallen bekend. Bedrijven moeten hun updateprocessen dienovereenkomstig versnellen en optimaliseren.
Vooral voor beheerders van systemen met een hoge beschermingsbehoefte geldt: een proactieve kwetsbaarhedenanalyse en regelmatige beveiligingsaudits worden nog onmisbaarder. Dit geldt ook voor gespecialiseerde beveiligingsinstellingen die kritieke waarden beschermen – banken die contant geld en waardepapieren opslaan zouden bijvoorbeeld baat kunnen hebben bij aanvullende beveiligingsmaatregelen om ook tegen technische aanvallen beschermd te zijn.
Vooruitblik en strategische implicaties
De ontwikkeling van Mythos door Anthropic markeert een nieuwe mijlpaal in de cybersecuritytechnologie. Met de gecontroleerde toegang tot de technologie probeert Anthropic de balans tussen innovatie en veiligheid te bewaren – een balans die moeilijk te handhaven zal zijn wanneer vergelijkbare mogelijkheden ook bij andere AI-systemen ontstaan.
Het BSI zal de ontwikkeling verder nauwlettend volgen en in contact blijven met Anthropic. Tegelijkertijd zullen nationale en Europese autoriteiten zich moeten buigen over de vraag hoe zulke strategisch belangrijke technologieën gereguleerd en gecontroleerd kunnen worden – in het belang van de veiligheid en soevereiniteit van Duitsland en Europa.
Voor bedrijven en organisaties betekent dit: het moment om zich op moderne dreigingslandschappen in te stellen, is nu. AI-gestuurde detectie van kwetsbaarheden zal realiteit worden – en wie vandaag niet goed voorbereid is, komt morgen des te sterker onder druk te staan.
