De cyberbeveiligingsindustrie gaat er decennialang van uit dat offensieve capaciteiten kunnen worden geschaald met technische expertise.
Die veronderstelling begint te breken.
Beveiligingsteams schatten de risico’s al lang in door de verfijning van aanvallers te rangschikken. Aan de ene kant zaten de actoren van de natiestaten. Georganiseerde criminele groepen volgden. Aan de andere kant zaten onervaren aanvallers, afgedaan als ‘scriptkiddies’, met openbare tools die ze niet helemaal begrepen.
Generatieve AI laat die ranglijst instorten.
De volgende generatie aanvallers zal niet noodzakelijkerwijs jarenlange ervaring met exploitontwikkeling of reverse engineering met zich meebrengen. In plaats daarvan zullen ze AI gebruiken om kennislacunes te dichten door onderzoek te versnellen, onbekende concepten uit te leggen, code te genereren, fouten op te lossen en bekende technieken aan te passen aan nieuwe omgevingen.
De toetredingsdrempel daalt snel.
De economie van cyberaanvallen is aan het veranderen
Elke grote technologische verschuiving verandert de economie, net zoals de oplossingen waarop we vertrouwen veranderen.
Cloud computing heeft de kosten voor het bouwen van infrastructuur verlaagd. Open-sourcesoftware verlaagt de kosten voor het ontwikkelen van applicaties. LLM’s verlagen de kosten van offensieve beveiligingskennis.
Een aanvaller die ooit weken nodig had om een nieuw onthulde kwetsbaarheid te begrijpen, kan nu AI gebruiken om technische documentatie samen te vatten, exploitmechanismen uit te leggen, getroffen technologieën te identificeren en binnen enkele minuten prototypecode te genereren.
Dat betekent niet noodzakelijkerwijs dat AI zelfstandig geavanceerde aanvalsketens ontdekt of ervaren operators vervangt. Complexe inbreuken vereisen nog steeds deskundig oordeel, creativiteit en doorzettingsvermogen.
Wat er veranderd is, is de hoeveelheid expertise die nodig is om operationeel te worden. Het resultaat is een grotere populatie van meer capabele aanvallers.
Van Script Kiddies tot AI-samenwerkers
De term ‘scriptkiddie’ geeft niet langer weer wat er gebeurt.
De opkomende aanvaller van vandaag werkt vaak samen met een AI-assistent, stelt iteratieve vragen, verfijnt de payloads, debugt code en past technieken aan een specifieke omgeving aan. De dynamische weerspiegelt wat ontwikkelaars nu ‘vibe-codering’ noemen, waarbij natuurlijke taal het grootste deel van de handmatige inspanning achter werkende software vervangt.
De offensieve beveiliging begint dezelfde verschuiving te zien. Noem het ‘vibe hacking’: het vermogen om intenties te vertalen in effectieve aanstootgevende activiteiten door middel van interactie in natuurlijke taal met AI.
Of dat label blijft hangen, doet er minder toe dan de trend eronder. In positieve of negatieve zin wordt expertise op aanvraag toegankelijk.
De verdediging kan niet afhankelijk zijn van de schaarste aan aanvallers
Veel organisaties bouwden hun beveiligingsprogramma’s op de impliciete veronderstelling dat zeer capabele aanvallers relatief schaars waren. Maar vandaag verdient die veronderstelling een tweede blik.
Als AI meer mensen aanvallende taken laat uitvoeren waarvoor voorheen gespecialiseerde ervaring nodig was, zouden verdedigers meer experimenten, snellere aanpassing en een groter aanvalsvolume moeten verwachten. De vraag is niet meer of aanvallers over geavanceerde technische vaardigheden beschikken. Het gaat erom of organisaties voortdurend kunnen bewijzen dat hun verdediging nog steeds standhoudt, terwijl aanvallers efficiënter worden in het verkennen, exploiteren van aanpassingen en het aanpassen van de payload.
Validatie is belangrijker dan ontdekking
De meeste ondernemingen hebben al een sterke zichtbaarheid in hun omgeving. Beveiligingsteams volgen kwetsbaarheden en bewaken cloudconfiguraties, eindpunttelemetrie, identiteiten en risico’s van derden, ondersteund door aanvalsoppervlakbeheer via tientallen gespecialiseerde tools.
Bewustzijn is nooit de beperkende factor geweest. Weten welke zwakke punten er daadwerkelijk toe doen voordat een aanvaller ze vindt, is dat wel.
Nu AI de tijd tussen de openbaarmaking van kwetsbaarheden en de exploitatie ervan comprimeert, zijn periodieke penetratietests en het scannen van kwetsbaarheden op zichzelf niet meer voldoende. Organisaties hebben voortdurend bewijs nodig dat kritieke aanvalspaden gesloten blijven, dat compenserende controles blijven functioneren en dat beveiligingsuitgaven de exploiteerbare risico’s verminderen in plaats van alleen maar meer bevindingen te genereren.
Dit is de logica achter Continuous Threat Exposure Management: ontdek, prioriteer, valideer en mobiliseer op een doorlopende cyclus in plaats van op een momentopname. Adversarial Exposure Validation en Penetration Testing as a Service (PTaaS) zijn de manier waarop de validatiefase daadwerkelijk wordt uitgevoerd, waarbij dezelfde paden worden getest die een door AI ondersteunde aanvaller zou proberen, op dezelfde tijdlijn als zij deze zouden proberen. Het verschuift de vraag van ‘wat hebben we gevonden’ naar ‘geldt dit nog steeds’.
Menselijk oordeel wordt waardevoller
De opkomst van AI kan uiteindelijk de waarde van ervaren beveiligingsprofessionals vergroten.
Automatisering blinkt uit in het verwerken van informatie, het genereren van mogelijkheden en het versnellen van analyses. Beslissen of een kwetsbaarheid een betekenisvol bedrijfsrisico vertegenwoordigt, is nog steeds een menselijke beslissing. Er is inzicht nodig in de operationele afhankelijkheden, bedrijfsprioriteiten, doelstellingen van aanvallers en de organisatorische context die een model niet heeft.
De organisaties die dit goed doen, zullen de menselijke expertise versterken.
Het nieuwe concurrentievoordeel
Elke grote technologische verschuiving brengt de strijd tussen aanvallers en verdedigers opnieuw in evenwicht.
Generatieve AI zal de behoefte aan zeer bekwame aanvallende operators waarschijnlijk niet wegnemen, maar zal wel het aantal mensen vergroten dat in staat is geloofwaardige aanvallen uit te voeren, terwijl de snelheid waarmee ze leren, zich aanpassen en herhalen dramatisch wordt versneld.
Dat verandert hoe verdediging eruit moet zien. Technische complexiteit alleen ontmoedigt tegenstanders niet langer. Veerkracht hangt nu af van het voortdurend valideren van beveiligingscontroles, het begrijpen van echte aanvalspaden en het prioriteren van exploiteerbare risico’s boven theoretische blootstelling.
Het tijdperk van AI-ondersteunde aanvallers is al begonnen. Het is tijd om beveiligingsprogramma’s te bouwen die sneller kunnen gaan dan waar de hedendaagse tegenstanders nu toe in staat zijn.
Over BreachLock
BreachLock is een wereldleider op het gebied van offensieve beveiliging en levert schaalbare en continue beveiligingstests. BreachLock wordt vertrouwd door internationale ondernemingen en biedt door mensen geleide en AI-aangedreven Attack Surface Management, Penetration Testing as a Service (PTaaS), Red Teaming en Adversarial Exposure Validation (AEV)-oplossingen waarmee beveiligingsteams tegenstanders een stap voor kunnen blijven.
Met een missie om van proactieve beveiliging de nieuwe standaard te maken, geeft BreachLock vorm aan de toekomst van cyberbeveiliging door middel van automatisering, datagestuurde intelligentie en deskundige uitvoering.
