AI-hackers vinden kritieke fouten in 10 seconden: bedrijven moeten in minuten reageren

Kunstmatige intelligentie verandert de spelregels van cyberbeveiliging fundamenteel. Waar hackers voorheen weken of maanden nodig hadden om kritieke beveiligingsfouten in computersystemen op te sporen, kunnen goedkope AI-tools dit nu in minuten doen. Voor Nederlandse bedrijven en organisaties betekent dit een existentieel risico: de tijd om op aanvallen te reageren krimpt van dagen naar uren, en binnenkort naar minuten.

De waarschuwing komt van Matthijs van Amelsfort, directeur van het Nationaal Cyber Security Centrum (NCSC). "Vroeger duurde het dagen voordat een aanvaller een fout misbruikte, nu is dat uren. Dat zal minuten worden." Deze verschuiving is niet theoretisch. Cybersecuritybedrijf Hadrian demonstreerde deze week hoe een AI-systeem van OpenAI (het bedrijf achter ChatGPT) in staat is om kritieke beveiligingsgaten in overheidswebsites op te sporen. De totale kostprijs van de aanval: ongeveer 10 euro.

Rogier Fischer, hacker bij Hadrian, liet zien hoe het AI-systeem een programmafout in een overheidswebsite identificeerde waarmee hij volledige databasetoegang kon krijgen. "Hier zie je letterlijk de wachtwoorden", zei Fischer terwijl hij op zijn scherm wees. Met die inloggegevens kon hij zich aanmelden op de database en alle gegevens inzien of aanpassen. "Er is niets dat me tegenhield", aldus Fischer. "Als je binnen bent, kun je bijvoorbeeld dingen aanpassen. Of in die database nieuwe aanvallen uitvoeren."

De implicaties zijn enorm. Voor 10 euro kreeg een hacker volledige controle over een overheidswebsite. Dit illustreert hoe laagdrempelig cyberaanvallen met AI zijn geworden. Niet alleen grote, goed gefinancierde criminele organisaties kunnen dit doen, maar ook individuele hackers met een creditcard. Dit maakt de beveiliging van Nederlandse bedrijven en organisaties aanzienlijk kwetsbaarder.

Honderden kwetsbaarheden ontdekt met goedkope AI-tools

De bevindingen van Hadrian zijn niet uniek. Cybersecuritybedrijf AISLE onderzocht of goedkope, algemeen beschikbare AI-systemen dezelfde beveiligingsfouten kunnen vinden als geavanceerde, dure tools. Het antwoord: ja, en veel sneller. Sinds september 2025 heeft AISLE meer dan 200 kritieke kwetsbaarheden gevonden met behulp van verschillende AI-systemen.

Jaya Baloo, een van de oprichters van AISLE, onthulde dat het bedrijf achter Mythos (een geavanceerde AI-tool voor beveiligingsonderzoek) twee beveiligingsfouten gebruikte om reclame te maken. Het bedrijf suggereerde dat deze fouten alleen met hun exclusieve, dure systeem konden worden gevonden. "Het verhaal was dat AI 'opeens' heel goed was in het vinden van kwetsbaarheden", zei Baloo. "Maar wij konden met oudere AI-systemen diezelfde fouten vinden. Dus hoezo 'opeens'? Wij doen dit al maanden."

Dit onderzoek toont aan dat de capaciteit om beveiligingsfouten te vinden niet nieuw is, maar dat de beschikbaarheid ervan explosief is gestegen. Waar deze mogelijkheden voorheen beperkt waren tot dure, gesloten systemen die alleen grote organisaties zich konden veroorloven, zijn ze nu beschikbaar voor iedereen met een internetverbinding en een creditcard.

Reactietijd verkort van dagen naar minuten

De kernproblematiek is niet dat AI beveiligingsfouten kan vinden — dat is eigenlijk gunstig voor verdedigers. Het probleem is de snelheid waarmee dit kan gebeuren, en het feit dat criminele hackers deze technologie snel zullen adopteren.

Van Amelsfort waarschuwt: "Technologie wordt vaak na een aantal maanden gebruikt door mensen met slechte bedoelingen." Dit patroon herhaalt zich in cyberbeveiliging. Een nieuw beveiligingshulpmiddel wordt eerst door defensieve onderzoekers gebruikt, maar binnen enkele maanden adopteren criminele hackers dezelfde technologie voor aanvallen.

De tijdlijn is alarmerend. In het verleden hadden bedrijven weken of maanden om een beveiligingsfout op te sporen en te repareren voordat een hacker deze kon misbruiken. Dit gaf beveiligingsteams tijd om patches te testen, uit te rollen en systemen bij te werken. Nu is die tijd drastisch verkort:

• **Vorig decennium**: weken tot maanden om een fout op te sporen en te herstellen
• **Huidige situatie**: uren om een fout op te sporen en te herstellen
• **Nabije toekomst**: minuten om een fout op te sporen en te herstellen

Deze versnelling betekent dat traditionele beveiligingsprocessen niet meer volstaan. Bedrijven kunnen niet meer wachten op maandelijkse patchdagen of kwartaalgewijze beveiligingsaudits. Ze moeten in staat zijn om in real-time bedreigingen op te sporen, te analyseren en te neutraliseren.

Gevolgen voor Nederlandse bedrijven en organisaties

Nederland is een digitale economie. Volgens het Centraal Bureau voor de Statistiek (CBS) werken meer dan 2,5 miljoen mensen in de ICT- en digitale sector, en bijna alle Nederlandse bedrijven zijn afhankelijk van digitale systemen voor hun operaties. Dit maakt Nederland kwetsbaar voor cyberaanvallen.

De gevolgen van een succesvolle cyberaanval kunnen verwoestend zijn. In 2022 werd de haven van Rotterdam getroffen door een ransomware-aanval die zendingen vertraagde en miljoenen euro's schade veroorzaakte. In 2023 leed KPN (de grootste telecomprovider van Nederland) een massaal datalek waarbij gegevens van meer dan 2,5 miljoen klanten werden gestolen. Deze incidenten illustreren hoe gevoelig kritieke Nederlandse infrastructuur is voor cyberaanvallen.

Voor mkb-bedrijven zijn de risico's nog groter. Veel kleine en middelgrote bedrijven hebben beperkte IT-budgetten en kleine beveiligingsteams. Zij kunnen niet snel reageren op bedreigingen en hebben vaak verouderde systemen met bekende beveiligingsfouten. Een onderzoek van het NCSC uit 2024 toonde aan dat 45 procent van de Nederlandse mkb-bedrijven geen formeel cybersecurity-beleid heeft, en 60 procent geen regelmatige beveiligingsaudits uitvoert.

De combinatie van AI-gestuurde aanvallen en zwakke verdediging in het mkb creëert een perfecte storm. Hackers kunnen snel kwetsbaarheden vinden, en mkb-bedrijven kunnen niet snel genoeg reageren. Dit maakt het mkb een aantrekkelijk doelwit voor criminele hackers.

Verdedigers hebben momenteel nog voordeel

Baloo en Fischer benadrukken dat verdedigers op dit moment nog in het voordeel zijn. Zij hebben toegang tot dezelfde AI-tools als aanvallers, en zij kunnen deze gebruiken om proactief beveiligingsfouten op te sporen en te repareren voordat criminelen ze kunnen misbruiken. Dit is een cruciaal voordeel dat bedrijven moeten benutten.

Het CISO Platform (de beroepsvereniging voor Chief Information Security Officers) erkent de urgentie. Dimitri van Zandvliet, voorzitter van het platform, zei: "Er is geen paniek, maar het is zeker urgent." Deze week kwamen honderden CISOs bij elkaar op een evenement om deze ontwikkeling te bespreken en strategieën te formuleren.

Van Zandvliet benadrukt: "Deze ontwikkeling betekent dat er kwetsbaarheden gevonden worden in systemen die al twintig jaar oud zijn. We moeten versnellen, zodat we die fouten oplossen voordat ze misbruikt worden." Dit wijst op een belangrijk probleem: veel Nederlandse bedrijven draaien op legacy-systemen die decennialang niet zijn bijgewerkt. Deze systemen bevatten waarschijnlijk talloze onbekende beveiligingsfouten die nu gemakkelijk kunnen worden opgespoord met AI.

Vooruitzicht: race tegen de klok

De komende maanden zijn cruciaal. Verdedigers moeten nu handelen om hun voordeel te behouden. Dit vereist:

**1. Versnelde beveiligingsaudits**: Bedrijven moeten onmiddellijk AI-tools gebruiken om hun systemen te scannen op bekende en onbekende kwetsbaarheden. Dit moet gebeuren voordat criminele hackers dezelfde tools gebruiken.

**2. Geautomatiseerde patchingprocessen**: Traditionele patchingprocessen zijn te traag. Bedrijven moeten investeren in geautomatiseerde systemen die patches kunnen testen en uitrollen zonder menselijke tussenkomst.

**3. Real-time monitoring**: Bedrijven moeten hun systemen 24/7 monitoren op verdachte activiteiten. Dit vereist AI-gestuurde anomaliedetectie en automatische respons.

**4. Incident response-teams**: Bedrijven moeten hun incident response-teams uitbreiden en trainen om in minuten (niet uren) op aanvallen te reageren.

**5. Legacy-systemen vervangen**: Bedrijven moeten hun verouderde systemen vervangen door moderne, veilige alternatieven. Dit is kostbaar, maar noodzakelijk.

Van Amelsfort waarschuwt: "We hebben al meegemaakt dat een haven platligt of dat onze gegevens worden gestolen. Nederland is heel erg digitaal. Dat maakt ons ook kwetsbaar. Aanvallers en verdedigers zullen met elkaar in gevecht blijven, ook met deze AI-ontwikkeling. We moeten echt zorgen dat onze verdediging op orde is."

De race is begonnen. Bedrijven die nu handelen, kunnen hun voordeel behouden. Bedrijven die wachten, riskeren catastrofale gevolgen.