KnowBe4 wil aanvallers met agentic AI een stap voorblijven

Martin J. Kraemer is security awareness advocate in Europa en het Midden-Oosten bij KnowBe4. Hij legt uit hoe hij het grote verschil tussen generative AI en agentic AI ziet. “Bij agentic AI wordt toegewerkt naar een doel dat je opgeeft, in plaats van dat je zelf de regels en parameters moet opgeven. Voorheen gaf je bijvoorbeeld aan dat de mensen van de financiële afdeling toegang hadden tot een bepaald document, en de mensen van de IT-afdeling niet. Nu stel je als doel dat iedereen die aan een project werkt, op het juiste moment de juiste toegangsrechten moet hebben. Het is veel dynamischer.”

Combinatie van vragen

Op het terrein van human risk management, waarop KnowBe4 zich begeeft, is agentic AI volgens Kraemer van grote waarde. “Verschillende AI agents nemen taken van je over. De agents verzamelen informatie op basis van een combinatie van vragen die je stelt. Ze gebruiken large language models om logisch na te denken over de verzamelde informatie, passend bij de taak die ze hebben gekregen. Vervolgens komen ze weer bij je terug en stellen ze een bepaalde actie voor. Ze leren daarbij ook zelfstandig.”

Omdat het dreigingslandschap steeds complexer wordt, is dat soort technologie misschien wel broodnodig. “We zien bijvoorbeeld veel zogeheten polymorphic phishing e-mails. Dat zijn mails waarbij bijvoorbeeld de onderwerpregel steeds verandert, waardoor traditionele oplossingen ze minder goed herkennen. Zelfs cloudoplossingen die gebruik maken van AI hebben daar moeite mee. Je moet die mails beoordelen op een combinatie van eigenschappen, waaronder het taalgebruik en het tijdstip waarop de mail verstuurd is.”

Goede trainingen

Om dat soort aanvallen af te kunnen slaan is technologie, hoe goed ook, niet voldoende. De mens is nog altijd de meest aangevallen factor en dus blijft bewustwording cruciaal, zo benadrukt Kraemer. Voor goede trainingen zijn er volgens hem drie belangrijke factoren. “Ten eerste moet de training gepersonaliseerd, relevant en adaptief zijn. Daarnaast moet het materiaal voor een ervaring zorgen die mensen onthouden en die ze de juiste kennis geeft. Tot slot moeten er individuele risicoprofielen worden opgebouwd, waardoor medewerkers blijven leren.”

Hij behandelt die drie factoren één voor één, om te beginnen bij de gepersonaliseerde training. “Iedereen reageert anders op bepaalde soorten media. Als ik het beste reageer op droge tekst, dan moet ik geen video’s in de stijl van een dramafilm voorgeschoteld krijgen. Ook het kennisniveau is belangrijk. Als ik niet weet wat een cookie is, dan heeft het geen zin dat ik uitleg krijg over gedragsanalyse op basis van online tracking.”

Om trainingen te kunnen personaliseren is agentic AI een zeer waardevol hulpmiddel, zegt Kraemer. “Je kunt dat niet handmatig doen, zeker niet in grote organisaties. Meestal wordt er dan geprobeerd om tachtig procent van de organisatie tevreden te stellen. De andere twintig procent ook bereiken kost dan te veel moeite. Maar met gepersonaliseerde training op basis van agentic AI kun je veel verder komen. De AI agents analyseren het gedrag van individuen. Als ik een e-mail met een groot attachment stuur naar iemand naar wie ik normaal nooit iets stuur, herkent de AI agent dat als een rode vlag voor een mogelijk datalek. Vervolgens krijg ik trainingen die zijn toegespitst op datalekken. De agents houden rekening met het risicoprofiel van een individu, maar ook met het actuele dreigingslandschap. Het geeft een geheel nieuw niveau van inzichten, dat we tot nu toe nog niet hadden. AI zorgt dus niet alleen voor meer schaalbaarheid, maar ook voor betere bescherming.”

1.500 verschillende contentmodules

Het tweede punt, het niveau van de trainingen, is volgens hem minstens zo belangrijk. “We hebben ruim 2500 verschillende contentmodules met verschillende smaken. Die bestaan uit onder meer tekst, video, posters, podcasts en vormen van gamificatie. Die moet je op de juiste manier bij de juiste takken van de organisatie zien te krijgen. Het is extreem waardevol wanneer AI daar suggesties voor geeft. Je bepaalt eerst een doel, zoals: ervoor zorgen dat mensen cybersecurity niet langer als een probleem van de IT-afdeling zien. Vervolgens gaan de AI agents op zoek naar de juiste content voor de juiste personen, passend bij het doel dat je hebt.”

Het derde punt is het opbouwen van individuele risicoprofielen. Kraemer legt aan de hand van een voorbeeld uit wat KnowBe4 daarmee bedoelt. “Hoe tackel je de grote uitdaging van aanvallen vanuit de waardeketen, die vaak via e-mail gebeuren? Dat begint met het bijhouden van het netwerk van individuen. Zo kun je zien hoe waarschijnlijk het is dat twee mensen met elkaar communiceren. Op die manier wordt een verdachte inkomende of uitgaande e-mail sneller herkend. Dat is ook heel belangrijk in het tegengaan van business email compromise. Met agentic AI kun je aanvallers een stap voorblijven.”

Steeds meer agents

KnowBe4 heeft een roadmap voor agentic AI, met als doel om een absolute koploper te kunnen zijn. Het lanceert stap voor stap steeds meer agents, die het AIDA (Artificial Intelligence Defence Agents) noemt. “Op dit moment hebben we onder meer een training agent, die gebruikers de meest relevante content aanbiedt. Er is een template generation agent, die realistische phishing templates maakt, gebaseerd op bestaande aanvallen. We hebben een knowledge refresher agent, die op het juiste moment opfristrainingen voorstelt, rekening houdend met de trainingen die je al gevolgd hebt en de eventuele gaten die daarin zitten. Daarnaast is er een policy agent, die rekening houdt met het specifieke security en compliency-beleid van een organisatie. Tot slot is er de smart risk agent die alles aanstuurt op basis van het individuele risicoprofiel van een gebruiker. Dat profiel is gebaseerd op 316 indicatoren.”

Er zullen de komende tijd meer AI agents bijkomen, maar Kraemer maakt wel duidelijk dat de mens cruciaal blijft. “Die neemt nog altijd de beslissingen. We werken niet richting een toekomst waarin alles geautomatiseerd is, maar uiteraard willen we wel meer agents toevoegen, om mensen beter te kunnen ondersteunen bij hun werk.”