AI (Artificial Intelligence) is al een tijd in ontwikkeling. De afgelopen zes jaar is AI zo gegroeid dat het van een experimenteel onderzoeksveld is gegroeid naar technologie die bijna niet meer is weg te denken in het dagelijkse leven. In principe is AI een software die taken uit kan voeren, maar waar traditionele software vastgestelde regels volgt, doet AI dat niet. AI leert uit patronen van gegevens, past deze toe op nieuwe situaties en kan expliciete instructies opvolgen.
Het NCSC ziet zowel kansen als risico’s voor organisaties. Aanvallers kunnen AI gebruiken om cyberaanvallen efficiënter en op grote schaal uit te voeren. Maar wanneer je organisatie in de basis goed op orde is, kan AI juist helpen bij efficiënt werken en het vergemakkelijken van taken. De afgelopen periode zien we een enorme groei van (onbedoelde) aanvallen op websites, losgebroken AI-agents en hackorganisaties die steeds beter worden door het gebruik van AI.
Losgebroken AI-agent(s)
Een voorbeeld van een losgebroken AI-agent was de agent van OpenAI, ook wel bekend van ChatGPT. Een losgebroken AI-agent heeft bij de concurrent dagenlang zijn gang kunnen gaan zonder dat de concurrent of OpenAI zelf dit doorhad. Het programma was autonoom uitgebroken uit zijn testomgeving om zo een opdracht te voltooien die het van programmeurs had gekregen. Het ging zelfs zo ver dat AI-agents met elkaar informatie uitwisselde.
Maar ook een hack van een Australische overheidswebsite, waarbij een AI-agent van OpenAI toegang kreeg tot de statistieken van een overheidsprogramma rond ziektekostenverzekeringen is hier een voorbeeld van. De AI-agent onderzocht publieke uitgaven in de gezondheidszorg en bij het zoeken van antwoorden is hierbij de site van de Australische overheid gehackt. Ook Gemini, de AI-agent van Google heeft meerdere bedrijven onbedoeld gehackt door inloggegevens te raden en zich daarna toegang te geven tot het bedrijf en inzicht in de bedrijfsgegevens.
Doordat de ontwikkelingen van AI op dit moment zo snel gaan, zijn overheden in een rap tempo bezig om wet- en regelgeving op orde te krijgen zodat gegevens veilig blijven en medewerkers bewust omgaan met het gebruik van AI. Zie bijvoorbeeld de Europese AI-verordering die in 2024 in werking is getreden.
AI is niet de toekomst, het is er al.
Om in-control te blijven van AI hoeven er geen dure nieuwe technologieën of tools te worden ingekocht, de oplossing ligt verrassend dichtbij. Volgens ‘The Five Eyes’ (een samenwerkingsverband tussen de geheime diensten van de VS, VK, Canada, Australië & NZ) is de noodzaak duidelijk dat AI een risico is. AI is niet de toekomst, het is er al volgens hen. Zij roepen dan ook op om direct actie te ondernemen en maatregelen niet uit te stellen. The Five Eyes hebben vijf directe actiepunten opgesteld:
Verminder het aanvalsoppervlak: Beperk onnodige toegang(en) en externe verbindingen. Onderzoek of systemen überhaupt blootgesteld moeten worden naar de buitenwereld en isoleer gevoelige/kritieke systemen.
Versnel het patchproces: AI kan in zeer korte tijd een kwetsbaarheid ontdekken en exploiteren. Hoe langer er gewacht wordt met patchen hoe groter het risico, helemaal voor operationele systemen die enige tijd nodig hebben om te updaten. Prioriteer daarnaast security-patches om zo de risico’s te beperken.
Geef extra aandacht aan verouderde systemen: Systemen die niet meer ondersteund worden zijn een aantrekkelijk doelwit. Neem hiervoor gepaste maatregelen zoals het isoleren van dit soort systemen.
Versterk identiteits- en toegangscontroles (IAM): Beperk de toegang tot kritieke systemen. Handhaaf sterke authenticatiemiddelen en controleer regelmatig rollen & rechten.
Wees klaar voor een incident: Test crisisplannen, uitwijkplannen en continuïteitsplannen. Train en bereid medewerkers voor op een cyberincident en ga ervan uit dat dit een keer gaat gebeuren. Focus op een snelle beheersing van de crisis en snel herstel van de organisatie.
Bij Lemonshark willen we dat onze collega’s op de hoogte zijn van de ontwikkelingen, kansen en risico’s van AI. Daarom hebben we de training AI & Cyberbeveiliging opgezet, al onze collega’s hebben deze training al gevolgd. De cursus is bedoeld voor onze klanten en eenieder die geïnteresseerd is. Naast een training is er ook een AI Scan die we bij bedrijven en organisaties kunnen uitvoeren.
Geïnteresseerd geraakt in dit onderwerp? Luister dan ook eens deze aflevering van ‘ondertussen in de kosmos’ van de Volkskrant over AI en de toekomst van de mensheid.
Mocht je meer van dit soort artikelen willen lezen, of meer willen weten over Cyber Security, volg dan onze LinkedIn-pagina of bezoek onze website!
Dit artikel is geschreven door: Merel Kokkeler en Scott van der Toorn
