AI in cybersecurity: versnelling zonder sentiment

Een recente illustratie daarvan is Mythos, een geavanceerd AI‑model dat kwetsbaarheden niet alleen opspoort, maar ook in samenhang kan analyseren. Het Nationaal Cyber Security Centrum (NCSC) gebruikte dit voorbeeld onlangs om te benadrukken dat het tempo in het dreigingslandschap structureel omhoog gaat. Niet vanwege één specifiek model, maar omdat deze ontwikkeling breder is en blijvend.

Wat is Mythos?

Mythos is een AI‑model dat zich richt op het vinden en combineren van kwetsbaarheden. Waar traditionele scanners vaak afzonderlijke kwetsbaarheden signaleren, is Mythos ontworpen om deze automatisch te koppelen tot complete aanvalsketens. Daarmee wordt zichtbaar hoe ogenschijnlijk kleine tekortkomingen gezamenlijk kunnen leiden tot een serieus beveiligingsincident. 

Belangrijk detail: de technische werking van Mythos is niet publiek. Toegang is voorlopig beperkt tot een kleine groep grote technologiebedrijven. Dat maakt het lastig om claims onafhankelijk te verifiëren, maar onderstreept tegelijk het strategische belang dat Anthropic en anderen eraan toekennen. Tegelijkertijd is het belangrijk om te realiseren dat Mythos niet het enige model is dat tot het vinden en combineren van kwetsbaarheden in staat is.

De kernvraag voor bestuurders is dan ook niet: wat doet Mythos?
Maar: wat betekent deze nieuwe generatie AI voor onze beveiligingsstrategie?

Van losse signalen naar samenhang

Traditionele beveiligingstools zijn sterk in het signaleren van afzonderlijke issues: een kwetsbare service, een verkeerd ingestelde rechtenstructuur, een achterstallige patch. De beoordeling van samenhang “wat kan hier in combinatie misgaan?” ligt grotendeels bij mensen.
Geavanceerde AI‑modellen veranderen dit. Ze kunnen:

• grote hoeveelheden technische bevindingen tegelijk analyseren
• verbanden leggen tussen kwetsbaarheden
• plausibele aanvalspaden reconstrueren

Mythos is daar een duidelijk voorbeeld van, maar zeker niet het enige. Vergelijkbare capaciteiten worden door meerdere partijen ontwikkeld en zullen steeds vaker onderdeel worden van commerciële security‑oplossingen.

Voor organisaties betekent dit: meer inzicht, maar ook meer snelheid….aan beide kanten van het speelveld.

Voordelen: betere prioritering en snellere besluitvorming

Voor verdedigende teams biedt deze ontwikkeling reële voordelen, denk aan betere focus, snellere cycli en extra capaciteit.

In plaats van lange actielijsten helpt AI om te laten zien welke kwetsbaarheden er werkelijk toe doen. Dat ondersteunt bestuurders en CISO’s bij het maken van onderbouwde keuzes, zeker in complexe IT‑landschappen en met beperkte capaciteit. Bovendien verkort AI de tijd tussen ontdekking en duiding. Minder analysetijd betekent sneller handelen, mits uiteraard de processen daarop zijn ingericht. Belangrijke kanttekening: dit type AI, ook Mythos, vervangt de menselijke expertise niet! Wat het wel doet? Het verschuift het werk. Minder handmatige correlatie, meer aandacht voor architectuur, governance en response. 

De keerzijde: versnelling werkt ook voor aanvallers

Dezelfde versnelling geldt echter ook voor kwaadwillenden. Dat is geen hypothetisch risico, maar een logisch gevolg. Complexiteit wordt toegankelijker, tijdsvensters tussen kwetsbaarheid en het uitbuiten ervan worden korter en ketenafhankelijkheid wordt zichtbaarder. Waar het combineren van kwetsbaarheden voorheen specialistisch werk was, kunnen AI‑modellen dit steeds verder automatiseren. Daarmee daalt de drempel voor complexere aanvallen en kunnen ook minder technisch onderlegde aanvallers toch kwaad aanrichten. 

Organisaties die hun patch‑ en responstijden niet aanpassen, lopen ongeacht hun sector een risico. Bovendien legt AI niet alleen zwakke plekken in eigen systemen bloot, maar ook in de samenhang tussen leveranciers, clouddiensten en partners. Dat vergroot het belang van ketenbeveiliging en duidelijke verantwoordelijkheden.

Wat vraagt dit van directieleden en bestuurders?

Deze ontwikkeling vraagt geen fundamenteel nieuwe benadering van cybersecurity, maar wel een strakkere uitvoering. Snellere aanvallen vragen om snellere interne besluitvorming. AI verandert het speelveld, maar niet de fundamenten. Identiteitsbeheer, monitoring, segmentatie en back‑ups zijn niet “ouderwets”, maar juist essentieel in een versneld landschap. AI beïnvloedt bovendien risicobeoordelingen, aansprakelijkheid en scenario‑denken. Dat maakt het een onderwerp voor de directiekamer. Het is een onderwerp dat de hele organisatie aangaat, niet alleen IT.

Conclusie

Mythos is geen kantelpunt op zichzelf, maar wel een helder signaal. Geavanceerde AI maakt zichtbaar wat al langer geldt: het verschil tussen organisaties zit steeds minder in technologie, en steeds meer in snelheid, discipline en samenhang.

Voor bestuurders ligt de uitdaging niet in het volgen van elke nieuwe AI-ontwikkeling, maar in het voldoende voorbereid zijn op de uitdagingen die AI meebrengt. Dat betekent investeren in een cybersecuritystrategie en tooling die meegroeit om een organisatie veilig te houden, zeker met het huidige tempo waarin AI ontwikkelt.

Zonder sentiment, maar met realisme.

Door: Erik de Jong, Chief Research Officer bij Tesorion