AI vindt Windows-lekken sneller dan Microsoft ze kan dichten. De cyberoorlog krijgt een nieuwe dimensie

Een nieuwe generatie AI-systemen kan software kwetsbaarheden laten opsporen en soms zelfs exploiteren met een snelheid die menselijke beveiligingsonderzoekers nauwelijks kunnen bijbenen. Dat is goed nieuws voor de beveiliging — maar alleen zolang de verdedigers sneller zijn dan de aanvallers. Microsoft dreigt in die race een gevaarlijke achterstand op te lopen.

Er bestaat een ongemakkelijke paradox in cybersecurity: hoe beter je wordt in het vinden van beveiligingslekken, hoe meer problemen je aanvankelijk lijkt te creëren. Dat is precies wat zich nu lijkt af te tekenen door de opkomst van krachtige AI-systemen.

Kunstmatige intelligentie kan software razendsnel analyseren, verdachte patronen herkennen, fouten opsporen en onderzoeken of die fouten daadwerkelijk kunnen worden misbruikt. Waar een menselijke onderzoeker soms dagen of weken nodig heeft om een ingewikkelde kwetsbaarheid bloot te leggen, kan een geavanceerd AI-systeem delen van dat werk in veel kortere tijd uitvoeren.

Voor softwarebedrijven is dat in principe fantastisch nieuws. Totdat blijkt dat dezelfde technologie niet alleen beschikbaar is voor de verdediging.

Want als AI een kwetsbaarheid kan vinden, kan een aanvaller dat uiteindelijk mogelijk ook. En daarmee verandert de fundamentele dynamiek van cybersecurity.

De race is begonnen

Jarenlang was het uitgangspunt eenvoudig: een softwarebedrijf probeert beveiligingslekken te vinden voordat cybercriminelen dat doen. Dat spel bestaat nog steeds, maar de snelheid verandert.

Geavanceerde AI-systemen kunnen grote hoeveelheden broncode onderzoeken en zelfstandig op zoek gaan naar mogelijke aanvalspaden. Vervolgens kunnen ze helpen bij het schrijven van testcode, het analyseren van foutmeldingen en het onderzoeken van de vraag of een kwetsbaarheid daadwerkelijk exploiteerbaar is.

Daarmee wordt een deel van het werk dat traditioneel door hoogopgeleide beveiligingsonderzoekers werd gedaan, geautomatiseerd.

De gevolgen zijn potentieel enorm. Want cybersecurity is uiteindelijk geen statisch probleem. Het is een race.

Aan de ene kant staan softwarebedrijven en beveiligingsonderzoekers die kwetsbaarheden proberen te vinden en te repareren. Aan de andere kant staan aanvallers die precies dezelfde fouten willen ontdekken voordat ze zijn verholpen.

AI kan beide partijen versnellen.

Maar als de aanvallers sneller gaan dan de verdedigers, ontstaat een probleem dat met een traditionele patchstrategie nauwelijks is op te lossen.

Mythos laat zien hoe snel het kan gaan

Een van de meest spraakmakende ontwikkelingen is Mythos, een AI-systeem van Anthropic dat onder meer is ontwikkeld voor geavanceerd onderzoek op het gebied van cybersecurity en biologie.

Bij experimenten bleek hoe snel dergelijke modellen zich inmiddels door complexe software kunnen bewegen. In één geval wist het systeem binnen korte tijd een proof-of-concept te ontwikkelen voor een kwetsbaarheid in de Windows-kernel.

Dat is meer dan een indrukwekkende technische demonstratie.

Het laat zien dat AI steeds dichter komt bij een punt waarop het niet alleen code kan schrijven, maar ook zelfstandig kan redeneren over hoe software kan worden aangevallen.

Anthropic heeft daarbij gewaarschuwd dat moderne AI-systemen inmiddels in staat zijn kwetsbaarheden te vinden in uiteenlopende besturingssystemen, browsers en andere veelgebruikte software.

Dat betekent dat het probleem niet specifiek een Microsoft-probleem is.

Microsoft is slechts een van de grootste en meest zichtbare doelwitten.

Waarom Windows zo belangrijk is

Windows vormt een enorm aanvalsoppervlak.

Het besturingssysteem draait op een gigantisch aantal computers en wordt gebruikt door particulieren, bedrijven, ziekenhuizen, scholen en overheidsinstanties. Bovendien staat Windows vaak niet op zichzelf.

Een moderne Windows-computer kan verbonden zijn met Microsoft 365, cloudomgevingen, bedrijfsnetwerken, identiteitsdiensten, databases en andere kritieke systemen.

Een kwetsbaarheid in een dergelijke omgeving kan daarom veel meer betekenen dan een gehackte pc.

Een aanvaller die toegang krijgt tot één systeem kan proberen zich verder door een netwerk te bewegen, accounts over te nemen, vertrouwelijke informatie te stelen of toegang te krijgen tot systemen die veel belangrijker zijn.

Daarom is iedere ernstige kwetsbaarheid in een veelgebruikt platform potentieel een toegangspoort tot iets veel groters.

Het probleem zit niet alleen in kritieke bugs

Microsoft en andere technologiebedrijven werken al jaren met een systeem van risicobeoordeling. Niet iedere fout is even gevaarlijk. Een kwetsbaarheid waarmee een aanvaller op afstand volledige controle over een systeem kan krijgen, krijgt vanzelfsprekend een hogere prioriteit dan een fout die alleen onder uitzonderlijke omstandigheden kan worden misbruikt.

Dat klinkt logisch. Maar AI kan deze manier van denken onder druk zetten. Want wat gebeurt er als vier afzonderlijke kwetsbaarheden die ieder als "laag" of "gemiddeld" worden beschouwd, samen een complete aanval mogelijk maken?

Dan verandert het totaalbeeld. Een aanvaller hoeft niet noodzakelijk op zoek te gaan naar één spectaculaire "zero-click", kritieke kwetsbaarheid. Hij kan ook verschillende kleine zwakke plekken aan elkaar koppelen.

Vier onschuldige deuren kunnen samen een open raam vormen.

Dat maakt traditionele classificatiesystemen kwetsbaarder voor een tijdperk waarin AI grote hoeveelheden mogelijke combinaties automatisch kan onderzoeken.

De vraag zou daarom niet alleen moeten zijn hoe gevaarlijk een afzonderlijke bug is, maar ook:

Wat kan een aanvaller met deze bug doen in combinatie met alle andere bugs die al bekend zijn?

Microsoft kan niet alles tegelijk repareren

Daarmee ontstaat voor Microsoft een praktisch probleem. Stel dat AI duizenden kwetsbaarheden ontdekt. Dan is het technisch misschien wenselijk om ze allemaal onmiddellijk te repareren.

Maar in de praktijk kan dat niet. Iedere patch moet worden ontwikkeld, getest en uitgerold. Een verkeerde oplossing kan nieuwe problemen veroorzaken of bestaande software laten crashen.

Bij producten die wereldwijd door miljoenen organisaties worden gebruikt, is dat geen klein risico. Een beveiligingspatch moet bovendien rekening houden met talloze configuraties, softwareversies en afhankelijkheden.

Daarom moet Microsoft keuzes maken. Welke kwetsbaarheden krijgen vandaag aandacht? Welke kunnen volgende week? Welke kunnen wachten?

En misschien wel de lastigste vraag:

Welke kwetsbaarheden lijken nu onbelangrijk, maar kunnen over enkele maanden onderdeel zijn van een veel gevaarlijkere aanval?

Dat is precies waar AI de traditionele beveiligingsstrategie kan ontregelen.

Patch Tuesday wordt een race tegen de klok

Microsoft brengt iedere maand een omvangrijke reeks beveiligingsupdates uit tijdens Patch Tuesday.

Het aantal kwetsbaarheden dat in een dergelijke maand moet worden aangepakt, kan enorm zijn. In juli werd bijvoorbeeld een recordaantal van 622 kwetsbaarheden in één updatecyclus aangepakt.

Dat geeft een idee van de schaal van het probleem.

En dit is nog voordat de volledige impact van steeds krachtigere AI op het vinden van kwetsbaarheden zichtbaar is geworden.

Als AI het tempo waarin nieuwe kwetsbaarheden worden ontdekt verder verhoogt, kan de hoeveelheid werk voor softwareleveranciers sneller groeien dan hun capaciteit om patches te ontwikkelen.

Dan ontstaat een gevaarlijke situatie:

het beveiligingslek is bekend, maar de oplossing is er nog niet.

Dat tussenliggende tijdvak wordt steeds belangrijker.

Van 'zero-day' naar 'zero-time'

Cybersecurity kent het begrip zero-day: een kwetsbaarheid die nog niet of nauwelijks bekend is bij de leverancier en waarvoor nog geen patch beschikbaar is.

AI kan een nieuwe variant van dat probleem creëren.

Niet noodzakelijk doordat iedere AI-gevonden kwetsbaarheid een zero-day is, maar doordat de tijd tussen ontdekking, exploitontwikkeling en misbruik steeds kleiner kan worden.

De oude situatie was ongeveer:

kwetsbaarheid → onderzoek → exploit → aanval → patch

In een wereld met geavanceerde AI kan dat proces veel sneller verlopen:

kwetsbaarheid → AI-analyse → exploit → aanval

De patch komt dan mogelijk pas daarna. Dat is een fundamentele verschuiving.

Project Glasswing: proberen het probleem vóór te blijven

De industrie probeert zich daartegen te wapenen.

Onder initiatieven zoals Project Glasswing werken grote technologiebedrijven samen om de nieuwe AI-capaciteiten juist defensief in te zetten.

Het idee is logisch: als AI duizenden potentiële kwetsbaarheden kan ontdekken, laat dan dezelfde technologie zoeken naar beveiligingslekken voordat criminelen ze vinden.

Dat is waarschijnlijk een noodzakelijke stap. Maar het lost één fundamenteel probleem niet op.

Een kwetsbaarheid vinden is niet hetzelfde als hem repareren.

AI kan de ontdekking automatiseren.

Het patchen blijft uiteindelijk afhankelijk van softwareontwikkeling, testen, distributie en de bereidheid van gebruikers en organisaties om updates daadwerkelijk te installeren.

Daar zit mogelijk de nieuwe bottleneck.

Microsoft staat al onder een vergrootglas

Voor Microsoft is dit geen abstract theoretisch risico.

Het bedrijf ligt al langere tijd onder vuur vanwege ernstige cybersecurityincidenten waarbij Microsoft-technologie werd misbruikt.

Vooral aanvallen op systemen die door overheden worden gebruikt, hebben grote gevolgen.

De Verenigde Staten zijn diep verweven met het Microsoft-ecosysteem. Overheidsinstanties gebruiken Microsoft-software op grote schaal voor communicatie, documentbeheer, cloudcomputing en interne processen.

Daarmee ontstaat een strategische afhankelijkheid.

Als één technologieleverancier een belangrijk deel van de digitale infrastructuur van een overheid ondersteunt, wordt de beveiliging van die leverancier automatisch een kwestie van nationale veiligheid.

Dat is precies waarom eerdere incidenten zoveel politieke aandacht kregen.

SharePoint was een waarschuwing

De aanvallen op Microsoft SharePoint vormden daarvan een duidelijk voorbeeld.

SharePoint is niet zomaar een kantoorapplicatie. Organisaties gebruiken het voor documenten, samenwerking en interne informatie. In veel omgevingen bevindt zich daardoor zeer gevoelige informatie achter een SharePoint-server.

Toen aanvallers kwetsbaarheden in dergelijke systemen wisten te misbruiken, werden niet alleen bedrijven getroffen, maar ook overheidsorganisaties.

Dat maakte opnieuw duidelijk hoe groot het potentiële domino-effect van een kwetsbaarheid in veelgebruikte Microsoft-software kan zijn.

Een beveiligingsprobleem bij Microsoft blijft zelden beperkt tot Microsoft.

Washington heeft steeds minder geduld

De politieke druk kan daardoor verder toenemen.

Amerikaanse politici hebben eerder al gewaarschuwd voor de risico's van een te grote afhankelijkheid van Microsoft en hebben vragen gesteld over de cybersecuritypraktijken van het bedrijf.

Er zijn zelfs voorstellen geweest om overheidscontracten kritischer te bekijken zolang Microsoft onvoldoende zou aantonen dat zijn producten veilig genoeg zijn. Dat is niet alleen politieke retoriek.

De Amerikaanse overheid besteedt miljarden aan IT en cloudtechnologie. Wanneer een leverancier herhaaldelijk wordt geconfronteerd met ernstige beveiligingsincidenten, kan de vraag uiteindelijk worden gesteld of de voordelen van standaardisatie nog opwegen tegen het risico van concentratie.

Een nieuwe grote aanval zou dat debat onmiddellijk kunnen veranderen.

Het gevaarlijkste scenario: AI vindt de aanvalsketen

Het meest verontrustende scenario is niet dat AI één spectaculaire kwetsbaarheid vindt. Het is dat AI leert hoe verschillende kleine kwetsbaarheden samen een aanval mogelijk maken.

Stel dat een systeem vier afzonderlijke problemen ontdekt.

De eerste maakt beperkte toegang mogelijk. De tweede maakt het mogelijk om rechten uit te breiden. De derde helpt bij het omzeilen van een beveiligingsmechanisme. De vierde maakt het mogelijk om gegevens te benaderen.

Geen enkele kwetsbaarheid is op zichzelf noodzakelijkerwijs catastrofaal. Samen kunnen ze dat wel zijn. Voor menselijke onderzoekers is het tijdrovend om alle mogelijke combinaties te onderzoeken.

Voor AI is dat juist een van de gebieden waarin automatisering bijzonder krachtig kan zijn. Dat maakt de huidige ontwikkeling zo belangrijk.

AI kan cybersecurity dus zowel verbeteren als verslechteren

Het zou een vergissing zijn om AI uitsluitend als een bedreiging te beschouwen. Integendeel. AI kan een van de krachtigste defensieve technologieën worden die cybersecurity ooit heeft gehad.

Het kan:

• enorme hoeveelheden code analyseren;
• verdachte patronen herkennen;
• kwetsbaarheden sneller opsporen;
• beveiligingsonderzoek automatiseren;
• aanvalspaden simuleren;
• beveiligingsprofessionals ondersteunen;
• helpen bij het prioriteren van patches;
• nieuwe aanvalstechnieken sneller detecteren.

Dat kan software uiteindelijk veel veiliger maken. Maar daarvoor is één voorwaarde essentieel:

de verdediging moet sneller zijn dan de aanval.

Als AI aan beide kanten wordt ingezet, wint uiteindelijk niet degene met de beste AI, maar degene die het snelst kan reageren.

De nieuwe maatstaf voor cybersecurity

Dat betekent dat organisaties hun beveiligingsstrategie mogelijk fundamenteel moeten aanpassen.

De traditionele vraag:

"Hoe ernstig is deze kwetsbaarheid?"

is niet langer voldoende.

Daar moet minstens één andere vraag naast komen:

"Hoe snel kan een aanvaller deze kwetsbaarheid vinden, combineren en exploiteren?"

Daarmee verschuift cybersecurity van een statisch risicomodel naar een dynamische race.

Een kwetsbaarheid die vandaag weinig gevaarlijk lijkt, kan morgen plotseling zeer aantrekkelijk worden wanneer AI een nieuwe exploitmethode ontdekt.

Dat betekent ook dat "laag risico" niet hetzelfde hoeft te betekenen als "kan rustig blijven liggen".

Wat dit voor gebruikers betekent

Voor consumenten is er geen reden tot paniek. Een Windows-computer wordt niet plotseling onveilig omdat AI beter wordt in cybersecurityonderzoek.

Maar de ontwikkeling maakt één advies belangrijker dan ooit:

stel beveiligingsupdates niet onnodig uit.

Updates bevatten vaak oplossingen voor kwetsbaarheden waarvan aanvallers vroeg of laat kunnen ontdekken hoe ze moeten worden misbruikt.

Voor bedrijven en overheden ligt de situatie ingewikkelder.

Daar gaat het niet alleen om het installeren van patches, maar ook om:

• snelle detectie van verdachte activiteiten;
• goede netwerksegmentatie;
• sterke identiteitsbeveiliging;
• multifactor-authenticatie;
• betrouwbare back-ups;
• beperking van beheerdersrechten;
• continue monitoring;
• een snelle incidentrespons;
• en vooral een veel kortere periode tussen het beschikbaar komen van een patch en de daadwerkelijke installatie ervan.

De race die Microsoft niet mag verliezen

De discussie over AI en cybersecurity gaat uiteindelijk niet alleen over Microsoft. Vrijwel iedere grote softwareleverancier krijgt met hetzelfde probleem te maken.

Windows is echter bijzonder omdat het ecosysteem zo groot is en omdat Microsoft-producten diep zijn geïntegreerd in bedrijven en overheden.

Daarom kan Microsoft zich minder fouten permitteren dan veel kleinere softwarebedrijven. De komende jaren kan de strijd om cybersecurity steeds meer veranderen in een race tussen autonome systemen.

Aan de ene kant staan AI-systemen die zoeken naar zwakke plekken. Aan de andere kant staan AI-systemen die proberen diezelfde zwakke plekken te vinden, te classificeren en te repareren.

Daar tussenin zitten mensen, bedrijven en overheden die moeten beslissen welke risico's prioriteit krijgen. En precies daar zit de paradox.

AI maakt het mogelijk om software sneller dan ooit te onderzoeken. Maar als de menselijke en organisatorische capaciteit om die problemen te repareren niet even snel groeit, kan de technologie die onze beveiliging moet verbeteren juist een nieuwe bron van risico worden.

Voor Microsoft is dat een ongemakkelijke boodschap. Het bedrijf hoeft niet iedere kwetsbaarheid onmiddellijk te repareren. Dat is praktisch onmogelijk.

Maar het zal wel moeten aantonen dat zijn manier van prioriteren nog geschikt is voor een wereld waarin aanvallers niet langer uitsluitend uit menselijke hackers bestaan.

Want de cyberaanvaller van morgen zit misschien niet achter een toetsenbord en zoekt urenlang naar een fout.

Hij kan een AI-systeem opdracht geven om miljoenen regels code te onderzoeken en te vragen:

"Waar kan ik naar binnen?"

Als dat systeem binnen minuten een antwoord kan geven, terwijl Microsoft weken nodig heeft om de deur te sluiten, is het duidelijk wie in die race het voordeel heeft.

En dat is misschien wel de belangrijkste cybersecurityles van het AI-tijdperk:

het gevaarlijkste beveiligingslek is niet noodzakelijk het lek met de hoogste ernstclassificatie. Het kan het lek zijn dat een aanvaller als eerste ontdekt.

Door: Drifter