Nederlandse beveiligingsfunctionarissen en -experts waarschuwden vrijdag dat kunstmatige intelligentie (AI) de ontdekking van kwetsbaarheden in computersystemen drastisch versnelt. Dit leidt tot de vrees dat cybercriminelen de technologie binnenkort op grotere schaal als wapen zullen inzetten.
Matthijs van Amelsfort, directeur van het Nationaal Centrum voor Cyberbeveiliging (NCSC), zei tegen de Nederlandse omroep NOS dat AI-gestuurde systemen beveiligingslekken veel sneller kunnen opsporen dan mensen.
"Vroeger duurde het dagen voordat een aanvaller een kwetsbaarheid misbruikte; nu is dat nog maar een paar uur", aldus Van Amelsfort. "Dat zal nog minuten worden."
Cyberbeveiligingsexperts zeggen dat AI-tools nu in staat zijn softwarefouten te ontdekken die jarenlang onopgemerkt zouden zijn gebleven.
Zelfs goedkope AI-tools vinden gebreken
NOS geeft aan dat cyberbeveiligingsprofessionals vorige week bijeen kwamen om de groeiende risico's van AI-ondersteunde hacking te bespreken.
"Er is geen reden tot paniek, maar het is zeker urgent," aldus Dimitri van Zandvliet, voorzitter van het CISO Platform, een Nederlandse vereniging voor chief information security officers.
"Deze ontwikkeling betekent dat er kwetsbaarheden worden gevonden in systemen die al twintig jaar oud zijn. We moeten opschieten, zodat we deze fouten herstellen voordat ze worden misbruikt," voegde hij eraan toe.
Cybersecuritybedrijf Hadrian demonstreerde hoe goedkope AI-tools kunnen worden gebruikt om kwetsbaarheden in overheidssystemen te identificeren.
Rogier Fischer, een hacker die voor het bedrijf werkt, zei dat hij een AI-systeem gebruikte om de code van een overheidswebsite te analyseren en een fout te vinden die toegang gaf tot beveiligde bestanden.
"Hier zie je letterlijk de wachtwoorden," zei Fischer terwijl hij de exploit demonstreerde.
Hij zei dat de aanval werd uitgevoerd met een goedkoop AI-programma van OpenAI, het bedrijf achter ChatGPT, voor een totale kostprijs van ongeveer €10.
Een ander cybersecuritybedrijf, AISLE, meldde dat het sinds september meer dan 200 kwetsbaarheden in software heeft geïdentificeerd met behulp van verschillende AI-systemen.
Het is niet ‘plotseling’
Jaya Baloo zei dat zelfs oudere en goedkopere AI-systemen in staat waren om ernstige fouten te detecteren.
"Het verhaal was dat AI 'plotseling' heel goed was in het vinden van kwetsbaarheden," zei Baloo. "Maar we konden diezelfde fouten ook vinden met oudere AI-systemen. Dus waarom 'plotseling'? We doen dit al maanden."
Experts waarschuwden dat hoewel verdedigers momenteel een voordeel hebben, cybercriminelen waarschijnlijk dezelfde technologieën zullen overnemen.
"Technologie wordt vaak na een paar maanden door mensen met kwade bedoelingen gebruikt," zei Van Amelsfort, die waarschuwde dat landen zoals Nederland, met een sterk gedigitaliseerde infrastructuur, kwetsbaar blijven voor cyberaanvallen.
"We hebben al meegemaakt dat havens werden afgesloten of dat onze gegevens werden gestolen," zei hij. “Aanvallers en verdedigers zullen elkaar blijven bestrijden, ook met deze AI-ontwikkelingen. We moeten er echt voor zorgen dat onze verdediging op orde is.”
