De aanvalsketen is autonoom geworden: waarom AI de economische fundamenten van cybersecurity verandert
De aanvalsketen is autonoom geworden: waarom AI de economische fundamenten van cybersecurity verandert
Een technische analyse van agentic cyberoffensives, de ConnectWise-supply-chaincompromittering, PHP-exposure, autonome security-agents en de erosie van digitale vertrouwensrelaties. Onderzoekspeildatum 24 oktober 2026.
De centrale these: niet intelligentie, maar schaalbare autonomie verandert het dreigingsmodel
De cybersecuritysector staat voor een structurele verschuiving. Waar aanvallers traditioneel afhankelijk waren van menselijke expertise, afzonderlijke exploitontwikkeling en handmatige laterale beweging, ontstaat nu een operationeel model waarin AI-agents complete aanvalsketens kunnen coördineren.
Het fundamentele probleem is niet dat taalmodellen plotseling nieuwe kwetsbaarheden kunnen ontdekken. Het probleem is dat bestaande kwetsbaarheden, vertrouwde integraties, gecompromitteerde identiteiten en geautomatiseerde besluitvorming worden samengebracht in één schaalbare aanvalsinfrastructuur.
Drie ontwikkelingen uit oktober 2026 illustreren deze verschuiving.
Ten eerste rapporteert Dark Reading over een campagne waarbij AI-gestuurde aanvalssystemen 105 e-commercewebsites aanvielen, ten minste 27 ondernemingen compromitteerden en volgens de onderzoekers minstens 600.000 betaalkaartgegevens buitmaakten bij twee slachtoffers.
Ten tweede documenteert Microsoft hoe de aan China gelieerde dreigingsactor Storm-0940 het agentische penetratietestframework ARTEX gebruikte bij grootschalige aanvallen en de compromittering van een ConnectWise-applicatie. In verschillende aanvallen werd binnen drie uur geprivilegieerde cloudtoegang verkregen.
Ten derde introduceert Microsoft Project Perception, waarin gespecialiseerde Guardian Agents beveiligingsrisico's onderzoeken en binnen beleidsgrenzen containmentacties kunnen uitvoeren. Daarmee ontstaat een nieuwe architecturale paradox: organisaties willen autonome agents inzetten om de risico's van andere autonome agents te beheersen.
De gemeenschappelijke factor is de verschuiving van menselijke naar machinale operationele snelheid.
De nieuwe beveiligingsvraag luidt daarom niet uitsluitend of een systeem bestand is tegen een aanval, maar of het zijn bevoegdheden, afhankelijkheden en herstelmechanismen kan beheersen wanneer een aanvaller sneller opereert dan de menselijke responsorganisatie.
1. De industrialisatie van AI-gestuurde cyberaanvallen
De cijfers uit de afzonderlijke campagnes geven de schaal aan:
- 105 e-commercewebsites aangevallen
- 27 of meer ondernemingen gecompromitteerd
- 600.000+ betaalkaartgegevens buitgemaakt, volgens de onderzoekers
- Minder dan 3 uur tot geprivilegieerde cloudtoegang in meerdere ARTEX-aanvallen
Dit zijn gecombineerde observaties uit afzonderlijke campagnes, geen statistieken van één aanval. Bronnen: Dark Reading en Microsoft Threat Intelligence.
1.1 Van exploitautomatisering naar autonome aanvalscampagnes
Traditionele aanvalstools automatiseren doorgaans specifieke handelingen: poortscans, kwetsbaarheidsdetectie, credential testing of post-exploitation.
Een agentisch systeem kan daar een beslislaag boven plaatsen. Het interpreteert waarnemingen, selecteert vervolgstappen, roept tools aan en past zijn strategie aan op basis van de resultaten. Dat levert een wezenlijk andere systeemarchitectuur op.
Waarneming → Interpretatie → Selectie van vervolgstap → Tool-aanroep → Resultaat
↑ │
└────────────────────── feedbacklus ─────────────────────────────────┘
De relevante innovatie is de gesloten feedbacklus. Een model hoeft geen perfecte exploit te genereren wanneer het duizenden hypothesen goedkoop kan evalueren en bruikbare resultaten automatisch kan selecteren.
Een eenvoudige economische benadering maakt dit zichtbaar:
C_succes = (C_compute + C_tools + C_operatie) / (N × p_succes)
Hierin is N het aantal doelwitten en p_succes de gemiddelde kans op een succesvolle compromittering per doelwit. Dit model is vereenvoudigd: het veronderstelt vergelijkbare doelwitten en laat detectie, operationele beperkingen en variërende aanvalskosten buiten beschouwing. Het illustreert echter waarom automatisering de economische drempel voor grootschalige aanvallen kan verlagen.
De cijfers maken dat concreet. Gambit Security schatte de campagne op gemiddeld $25,46 per afgerond doelwit. Silverfort toonde in een labtest dat een orkestrerende agent met publiek beschikbare Claude Opus-modellen volledige domeincontrole verkreeg in acht minuten voor $12. Flashpoint zag de gemiddelde prijs van verkochte initial access dalen van ruim $1.400 naar $429, terwijl ransomware-activiteit met 45% groeide en minder bedrijven losgeld betaalden.
De defensieve consequentie is belangrijk: ook organisaties die voorheen economisch onaantrekkelijke doelwitten waren, kunnen onderdeel worden van geautomatiseerde aanvalscampagnes.
2. ConnectWise en Storm-0940: wanneer vertrouwen het aanvalspad wordt
De ConnectWise-casus is technisch relevanter dan een conventionele softwarekwetsbaarheid. Hier staat de vertrouwensrelatie tussen een organisatie en haar externe dienstverlener centraal.
Microsoft rapporteerde op 21 oktober dat Storm-0940 ARTEX gebruikte voor geautomatiseerde aanvallen en voor activiteiten rond de gecompromitteerde ConnectWise Cloud Backup-integratie. Het Microsoft-onderzoek beschrijft onder andere:
- Pogingen tot authenticatie bij meer dan 2.250 klanttenants.
- Meer dan 151.000 mislukte aanmeldingen in een afzonderlijke password-spraycampagne.
- Een piek van meer dan 2.900 mislukte authenticaties per minuut.
- Verdachte Microsoft Graph-operaties, waaronder wijzigingen aan applicatiecredentials en privileges.
Belangrijk is het onderscheid tussen deze gebeurtenissen. De grootschalige password-sprayactiviteit leverde in de onderzochte subset geen succesvolle authenticatie op. In andere klantomgevingen observeerde Microsoft wel vervolgactiviteiten via gecompromitteerde applicatie-identiteiten.
2.1 De OAuth-vertrouwensrelatie als aanvalsvector
Een externe applicatie kan binnen Microsoft Entra ID via een service principal beschikken over vooraf verleende application permissions.
Wanneer een aanvaller de credentials van die applicatie verkrijgt, kan deze mogelijk gebruikmaken van de bestaande autorisatie zonder een interactieve gebruikersaanmelding.
De klassieke Zero Trust-vraag, wie is de gebruiker?, is hier onvoldoende. De relevante vragen zijn welke workload handelt, namens welke autorisatie, met welke credentials, binnen welke tenant en met welke effectieve bevoegdheden.
Een geldig access token is immers geen bewijs dat de onderliggende handeling legitiem is. Daarom moeten identity-securityarchitecturen nadrukkelijk onderscheid maken tussen authenticiteit, autorisatie en gedragsmatige legitimiteit.
2.2 Waarom herstel ingewikkelder is dan credentialrotatie
Het intrekken van de oorspronkelijke applicatiecredentials is noodzakelijk, maar mogelijk onvoldoende.
Een aanvaller die eerder nieuwe credentials, consent grants, applicatierollen of geprivilegieerde identiteiten heeft toegevoegd, kan alternatieve toegangspaden hebben gecreëerd.
Microsoft adviseert daarom onder meer de betrokken applicaties te inventariseren op basis van application ID, relevante Entra- en Graph-telemetrie veilig te stellen, onverwachte credentialwijzigingen te onderzoeken en ongeautoriseerde rechten en identiteiten te verwijderen. De leverancierverbinding moet volgens de gepubliceerde herstelrichtlijnen worden behandeld.
Dit leidt tot een belangrijk architectuurprincipe: een vertrouwde integratie moet niet alleen kunnen worden geautoriseerd, maar ook volledig kunnen worden geïsoleerd, onderzocht en aantoonbaar worden hersteld.
Voor MSP's, SaaS-leveranciers en organisaties met omvangrijke cloudintegraties is dat een supply-chainvereiste, niet uitsluitend een IAM-optimalisatie.
3. PHP2Shell: de kwetsbaarheid die het patchmodel onder druk zet
PHP2Shell vormt een tweede, complementair voorbeeld van de veranderende verhouding tussen aanvallers en verdedigers.
Op 21 oktober 2026 verschenen beveiligingsupdates voor twee kritieke kwetsbaarheden:
| Kwetsbaarheid | Technisch mechanisme | CVSS v4.0 |
|---|---|---|
| CVE-2026-109618 | Geheugencorruptie gerelateerd aan out-of-memory-afhandeling | 9,2 |
| CVE-2026-109619 | Onveilige hergebruikte globale toestand | 9,2 |
Onder bepaalde omstandigheden kunnen de kwetsbaarheden leiden tot remote code execution zonder voorafgaande authenticatie. De exploitbaarheid is afhankelijk van de runtimeconfiguratie en de specifieke aanvalsketen.
De combinatie van geheugenbeheer, proceslevensduur en gedeelde runtime-state maakt dit incident bijzonder interessant. Een beveiligingsprobleem kan ontstaan doordat aannames over de isolatie tussen opeenvolgende requests niet langer geldig zijn.
3.1 Het disclosureprobleem
Het traditionele responsible-disclosuremodel veronderstelt dat leveranciers tijd krijgen om patches voor te bereiden voordat technische details breed beschikbaar komen.
Bij PHP2Shell verschenen exploitgerelateerde signalen vóór de gecoördineerde publicatie. F5 Labs rapporteerde PHP2Shell-scanning op 21 oktober om 08:36 UTC, meer dan vijf uur voordat de beveiligingsupdates werden gepubliceerd. Daarmee ontstaat een race tussen exploitontwikkeling, exploitverspreiding, patchdistributie en operationele implementatie.
Er is wel een essentieel epistemisch onderscheid: een gedetecteerde exploitpoging bewijst niet dat een kwetsbaarheid succesvol is uitgebuit. CrowdStrike benadrukte op 23 oktober dat verschillende gepubliceerde proof-of-concepts wel crashes konden veroorzaken, maar niet noodzakelijk betrouwbare code-executie opleverden.
Dat onderscheid moet ook gelden voor AI-securityrapportages. Het aantal gegenereerde exploits, exploitpogingen en daadwerkelijk gecompromitteerde systemen zijn verschillende meetwaarden.
3.2 Waarom een software-update niet voldoende is
PHP2Shell maakt zichtbaar dat kwetsbaarheidsmanagement geen eenvoudige vergelijking tussen een versienummer en een CVE-database is.
Een kwetsbare PHP-runtime kan aanwezig zijn in webapplicaties, containers, hostingplatformen, appliances, beheerinterfaces en softwareproducten van derden. Bovendien kunnen Linux-distributies beveiligingspatches terugporteren zonder het upstreamversienummer wezenlijk te wijzigen. Een scanner die uitsluitend naar de weergegeven PHP-versie kijkt, kan daardoor zowel false positives als false negatives veroorzaken.
Voor ondersteunde upstreambranches zijn de gecorrigeerde versies gepubliceerd:
| PHP-branch | Gecorrigeerde versie |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Bij leveranciersspecifieke backports moet de exacte pakketbuild en het bijbehorende security-advisory worden gecontroleerd.
Een robuust remediationproces moet daarom vier bewijzen opleveren: dat het kwetsbare component is gevonden, dat de correctie daadwerkelijk is geïnstalleerd, dat alle relevante processen de gecorrigeerde code uitvoeren en dat eventuele eerdere compromittering is onderzocht.
Een succesvolle deployment is niet hetzelfde als aantoonbare remediatie.
4. Guardian Agents: wanneer beveiliging zelf agentisch wordt
Microsoft introduceerde op 19 oktober Project Perception als een architectuur waarin gespecialiseerde Guardian Agents beveiligingssignalen kunnen onderzoeken, risico's contextualiseren en beschermende acties voorbereiden of uitvoeren.
De architectuur combineert sensoren, beleidsgrenzen, playbooks en agents die binnen expliciete bevoegdheden opereren. Microsoft positioneert menselijke controle over doelstellingen en ingrijpende beslissingen als onderdeel van het ontwerp.
Dit is een relevante ontwikkeling, maar introduceert ook een tweede-ordeprobleem. Wanneer een beveiligingsagent toegang heeft tot identiteiten, netwerkbeleid, endpoints, logging en incidentresponsmechanismen, krijgt die agent zelf een potentieel groot operationeel aanvalsoppervlak. Een gecompromitteerde of verkeerd aangestuurde Guardian Agent kan in theorie meer schade veroorzaken dan de oorspronkelijke dreiging.
4.1 De control-planeparadox
Het risico kan worden beschreven als een afhankelijkheidsprobleem. Stel dat agent A toegang heeft tot een verzameling systemen S_A, en dat de agent zelfstandig acties kan uitvoeren met een bepaalde impact I(s). Dan kan de potentiële operationele impact worden benaderd als:
R_A = Σ (over s in S_A) P(ongewenste actie op s) × I(s)
Deze vergelijking is geen empirisch gevalideerde risicoscore. Zij maakt zichtbaar dat de totale impact niet uitsluitend afhankelijk is van de kwaliteit van het model, maar ook van het aantal bereikbare systemen, de toegekende bevoegdheden en de effectiviteit van onafhankelijke controles.
Het toevoegen van een beveiligingsagent kan het detectievermogen verbeteren en tegelijkertijd het potentiële schadebereik vergroten.
Daarom is het architecturaal onjuist om een LLM zelfstandig te laten bepalen welke bevoegdheden het nodig heeft, welke veiligheidsregels mogen worden uitgeschakeld of welke bewijslast voldoende is om een ingrijpende actie te rechtvaardigen.
4.2 Een veiliger model: intelligentie buiten de autorisatiekern
Voorgestelde architectuur: de AI interpreteert, maar een onafhankelijke, deterministische beveiligingslaag beslist over toelaatbare uitvoering.
AI-agent (interpreteert, correleert, formuleert hypothesen, stelt actie voor)
│
▼
Onafhankelijke autorisatielaag (deterministisch, policy-as-code)
checks: workload-identiteit, resource scope, actietype, policyversie,
tijdelijkheid, risico, verplichte goedkeuring
│
▼
Uitvoering (alleen wat door de autorisatielaag is toegestaan)
In dit ontwerp mag een agent verdachte gebeurtenissen correleren, incidenthypothesen formuleren en een containmentactie voorstellen. De feitelijke uitvoering loopt via een afzonderlijke autorisatielaag die onder andere controleert op workload-identiteit, resource scope, actietype, beleidsversie, tijdelijkheid, risico en eventuele verplichte goedkeuring.
Technisch kunnen hiervoor OAuth 2.0, OIDC, workload identity, kortlevende credentials en policy-as-code worden gecombineerd. Voor sterk geprivilegieerde machine-to-machineinteracties verdienen sender-constrained tokens en zorgvuldig begrensde application permissions aandacht.
Voor autonome systemen geldt daarbij een aanvullende eis: de audittrail moet niet alleen vastleggen wat er is gebeurd, maar ook welke agent, welke tool, welke policyversie en welk bewijs tot de actie hebben geleid. Dat maakt beslissingen reconstrueerbaar en ondersteunt zowel incidentonderzoek als AI-governance.
5. AI-social engineering: identiteit wordt een operationeel proces
De vijfde ontwikkeling raakt niet primair de softwarestack, maar de menselijke procedures waarmee digitale toegang wordt verleend.
AI-ondersteunde social engineering kan overtuigende tekst, spraak en gesprekspatronen produceren. Daardoor kunnen traditionele herkenningssignalen, zoals taalgebruik, toon, urgentie en schijnbare vertrouwdheid, minder betrouwbaar worden.
Het fundamentele risico ontstaat wanneer een helpdesk een menselijke overtuigingshandeling behandelt als voldoende bewijs van identiteit of bevoegdheid. Een aanvaller hoeft een cryptografisch authenticatiemechanisme niet te breken wanneer de organisatie een alternatieve herstelprocedure aanbiedt die op overtuigingskracht berust. Denk aan het resetten van MFA, wijzigen van herstelgegevens, opnieuw registreren van een apparaat of uitgeven van tijdelijke toegang.
De relevante beveiligingsgrens bevindt zich dan niet in het authenticatieprotocol, maar in het operationele proces dat dat protocol kan omzeilen.
5.1 Van vertrouwenssignalen naar verifieerbare bevoegdheden
Het verdedigingsmodel moet daarom verschuiven van persoonsherkenning naar aantoonbare autorisatie.
Een helpdeskmedewerker moet een verzoek om toegangswijziging kunnen valideren via een vooraf geregistreerd, onafhankelijk verificatiekanaal. Een inkomend telefoongesprek, overtuigende stem of correct genoemde persoonlijke informatie is daarvoor onvoldoende.
Bij gevoelige herstelacties zijn phishingresistente authenticatie, gescheiden goedkeuringsrollen, vertragingen bij hoogrisicowijzigingen en automatische signalering van afwijkende herstelpatronen relevante maatregelen.
Hetzelfde principe geldt voor AI-agents die namens medewerkers handelen. Een agent mag niet door middel van een overtuigend gegenereerde instructie meer bevoegdheden verkrijgen dan zijn geverifieerde identiteit en autorisatiecontext toestaan.
De bredere conclusie is dat vertrouwen geen eigenschap van een gesprek mag zijn. Het moet een verifieerbare eigenschap van een transactie worden.
Dark Reading beschrijft op 23 oktober dat aanvallers inderdaad helpdesks benaderen voor toegang en dat AI wordt ingezet voor identiteitsnabootsing, gepersonaliseerde communicatie en geautomatiseerde fraude. Het artikel verwijst daarnaast naar onderzoek van TransUnion waaruit blijkt dat 58% van de onderzochte organisaties zeer of extreem bezorgd is dat fraude zich sneller ontwikkelt dan hun detectie- en preventievermogen.
Deze bevinding verbindt social engineering rechtstreeks met de ConnectWise-casus: beide aanvallen exploiteren bestaande vertrouwensrelaties in plaats van uitsluitend technische beveiligingsmechanismen te doorbreken.
6. Een geïntegreerd dreigingsmodel: vijf incidenten, vier vertrouwensgrenzen
De vijf ontwikkelingen kunnen worden samengebracht in een architecturaal dreigingsmodel.
| Vertrouwensgrens | Primair risico | Verdedigingsprincipe |
|---|---|---|
| Publieke applicaties | Geautomatiseerde exploitatie op schaal | Exposure management, patching, runtime-isolatie |
| Externe leveranciers | Misbruik van vertrouwde applicatie-identiteiten | Least privilege, credentialbeheer, continue auditing |
| AI-agents en tools | Ongeautoriseerde autonome handelingen | Deterministische autorisatie, sandboxing, onafhankelijke controles |
| Menselijke herstelprocessen | Identiteitsnabootsing en frauduleuze toegang | Onafhankelijke verificatie, phishingresistente MFA, functiescheiding |
Het interessante is dat deze aanvalsvlakken elkaar versterken. Een gecompromitteerde publieke applicatie kan toegang geven tot credentials. Die credentials kunnen toegang verschaffen tot cloudresources. Een geprivilegieerde integratie kan vervolgens worden misbruikt voor persistentie. AI-automatisering kan iedere fase versnellen, terwijl social engineering aanvullende autorisatiepaden kan openen.
De beveiligingsarchitectuur moet daarom niet uitsluitend afzonderlijke kwetsbaarheden behandelen, maar de volledige keten van bevoegdheidsdelegatie en vertrouwensovergangen.
6.1 De kritieke tijdsvergelijking
Een bruikbaar analytisch concept is de verhouding tussen de tijd die een aanvaller nodig heeft om een relevant doel te bereiken en de tijd die een organisatie nodig heeft om die aanval effectief te stoppen.
ρ = T_containment / T_compromise
Wanneer ρ groter dan 1 is, duurt effectieve containment langer dan de compromittering. In dat geval kunnen preventieve bevoegdheidsgrenzen, automatische blokkades en vooraf voorbereide herstelacties belangrijker worden dan traditionele handmatige alertafhandeling.
Deze verhouding is geen universele security-KPI. Zij moet per aanvalsscenario worden gemeten, met expliciete definities van initiële toegang, succesvolle compromittering en effectieve containment.
Een organisatie die binnen vijftien minuten een alert detecteert, maar uren nodig heeft om een gecompromitteerde service principal te isoleren, beschikt mogelijk over goede detectie en onvoldoende operationele weerbaarheid.
7. Van klassieke Zero Trust naar verifieerbare agentische beveiliging
Voor enterprise-architecturen volgt hieruit een duidelijke ontwerpkeuze. AI-agents moeten worden behandeld als afzonderlijke workload-identiteiten met expliciete bevoegdheden, beperkte levensduur, controleerbare afhankelijkheden en een onafhankelijk afdwingbare policy.
Dat vraagt om meer dan prompt-instructies of een LLM-gebaseerde guardrail. Een volwassen architectuur combineert NIST CSF 2.0, ISO 27001, Zero Trust-principes en AI-risicobeheersing met concrete runtimecontroles.
Voor agentische systemen betekent dit onder andere:
- Elke agent en subagent krijgt een identificeerbare eigenaar, workload-identiteit en expliciete resourcebevoegdheden.
- Toolaanroepen worden gevalideerd door een onafhankelijke policy enforcement point.
- Geprivilegieerde acties vereisen contextgebonden autorisatie, met aanvullende goedkeuring waar de impact dat rechtvaardigt.
- Logs leggen modelversie, toolversie, policyversie, autorisatiebeslissing en uitvoeringsresultaat vast.
- Software- en modelsupplychains worden beoordeeld op herkomst, integriteit, afhankelijkheden en toegestane wijzigingen.
- Containment en herstel worden periodiek getest, inclusief het intrekken van credentials en het verwijderen van persistentie.
Voor MCP-gebaseerde agentarchitecturen moet diezelfde controle gelden op tool discovery, serveridentiteit, scopes en daadwerkelijke tooluitvoering. Een door een agent gevonden tool is niet automatisch een geautoriseerde tool.
Voor organisaties onder de AVG, BIO, NIS2 of sectorspecifieke regelgeving zijn bovendien dataminimalisatie, verantwoording, leveranciersbeheer en aantoonbare incidentrespons essentieel. De precieze verplichtingen hangen af van de organisatie en haar wettelijke toepassingsbereik.
8. Strategische prioriteiten voor de komende 90 dagen
De juiste respons is geen algemene opdracht om meer AI-securityproducten aan te schaffen. Organisaties moeten aantoonbaar verkleinen hoeveel schade een gecompromitteerde identiteit, integratie of agent kan veroorzaken.
| Periode | Technische prioriteit | Vereist bewijs |
|---|---|---|
| 0 tot 72 uur | PHP2Shell-exposure vaststellen, relevante ConnectWise-integraties onderzoeken, kritieke herstelprocessen controleren | Assetinventaris, patchstatus, IAM-onderzoek en vastgelegde uitzonderingen |
| Dag 4 tot 14 | Externe OAuth-applicaties, service principals en geprivilegieerde API-integraties inventariseren | Rechtenmatrix, eigenaren, authenticatielogs en credentialhistorie |
| Dag 15 tot 30 | Agent- en toolbevoegdheden koppelen aan onafhankelijke policy enforcement | Geteste allow/deny-beslissingen en volledige audittrail |
| Dag 31 tot 60 | Incidentrespons en geautomatiseerde containment beproeven | Reproduceerbare oefeningen, gemeten detectie- en containmenttijd |
| Dag 61 tot 90 | Supply-chain- en agentsecurity continu toetsen | Regression tests, onafhankelijke evaluaties en aantoonbare herstelbaarheid |
De eerste fase verdient onmiddellijke aandacht waar daadwerkelijk blootstelling bestaat. Voor PHP2Shell moet prioritering worden gebaseerd op bevestigde kwetsbaarheid, bereikbaarheid, exploitvoorwaarden en de aanwezigheid van compensatiemaatregelen. Voor ConnectWise moet het onderzoek beginnen bij de specifieke getroffen applicatie-identiteiten en niet bij een generieke aanname dat alle ConnectWise-producten gecompromitteerd zijn.
Voor AI-agents moet de nadruk liggen op gecontroleerde experimenten. Meet bijvoorbeeld het percentage ongeautoriseerde toolaanroepen dat daadwerkelijk wordt geblokkeerd, het aantal bevoegdheidsescalaties dat buiten de policy-engine kan plaatsvinden en de tijd die nodig is om alle actieve credentials van een agent in te trekken.
Een systeem is pas aantoonbaar veiliger wanneer deze uitkomsten verbeteren zonder dat essentiële bedrijfsprocessen onacceptabel worden verstoord.
9. Wat de beschikbare evidentie niet bewijst
Een wetenschappelijk verantwoorde analyse moet ook de grenzen van de beschikbare informatie expliciet maken.
De aangehaalde incidenten bewijzen niet dat AI alle cyberaanvallen goedkoper maakt. De kosten en resultaten van specifieke campagnes zijn niet zonder meer generaliseerbaar naar andere doelwitten, infrastructuren of verdedigingsniveaus.
De Storm-0940-casus laat zien dat agentische tooling grootschalige activiteiten kan versnellen. Zij bewijst niet dat ARTEX autonoom alle strategische beslissingen nam of dat iedere benaderde tenant daadwerkelijk werd gecompromitteerd.
De PHP2Shell-rapportages tonen kritieke kwetsbaarheden en waargenomen exploitpogingen. Ze rechtvaardigen niet de conclusie dat alle kwetsbare PHP-installaties succesvol zijn aangevallen. Ook mag de rol van AI bij kwetsbaarheidsonderzoek niet worden verward met bewezen AI-gestuurde exploitatie in iedere aanval.
Project Perception illustreert een opkomende defensieve architectuur. De publieke productbeschrijvingen leveren echter nog geen onafhankelijk, gecontroleerd bewijs dat Guardian Agents onder adversariële omstandigheden structureel betere veiligheidsuitkomsten produceren dan goed ontworpen deterministische automatisering.
Voor AI-ondersteunde social engineering geldt ten slotte dat de dreiging reëel is, maar dat de relatieve bijdrage van generatieve AI, traditionele impersonatie en bestaande proceszwakheden per incident moet worden onderzocht.
Deze onzekerheden verminderen de urgentie niet. Ze bepalen welke conclusies verantwoord zijn en welke hypothesen nog empirisch moeten worden getoetst.
10. Conclusie: de toekomst van cybersecurity draait om beheersbare autonomie
De gebeurtenissen van oktober 2026 markeren geen volledig nieuw type cybercriminaliteit. Ze tonen hoe bestaande aanvalstechnieken kunnen worden gecombineerd met agentische planning, goedkope compute, grootschalige automatisering en misbruik van bestaande vertrouwensrelaties. Dat is een fundamentele verandering in de operationele economie van cybersecurity.
De defensieve reactie moet verder gaan dan snellere detectie of het toevoegen van een AI-assistent aan een SOC. Organisaties hebben architecturen nodig waarin identiteiten, bevoegdheden, tooluitvoering, externe integraties en herstelacties voortdurend verifieerbaar blijven.
De meest robuuste systemen zullen niet noodzakelijk de systemen met de meeste autonome agents zijn. Het zullen de systemen zijn die autonomie kunnen benutten zonder de controle over bevoegdheden, bewijsvoering en herstel te verliezen.
De bepalende architectuurvraag voor 2027 is daarom niet hoeveel beslissingen AI zelfstandig kan nemen, maar hoeveel ongewenste beslissingen een organisatie aantoonbaar kan voorkomen, begrenzen en herstellen.
Dat is het verschil tussen autonome functionaliteit en betrouwbare autonomie.
Zie ook
- Attacks on AI Agent Systems: prompt-injection in single- en multi-agent, over het aanvalsoppervlak van AI-agents.
- Shutdown sabotage in multi-agentsystemen en EU AI Act artikel 14, over de grens van menselijk toezicht op agents.
Bronnen
- Storm-0940, ARTEX en ConnectWise, Microsoft Threat Intelligence, 21 oktober 2026
- Agents are your newest insiders, Microsoft Security, 19 oktober 2026
- AI Tools Are Generating Massive Attacks for Little Cost, Dark Reading, Robert Lemos, 23 oktober 2026
- PHP2Shell FAQ: CVE-2026-109618 en CVE-2026-109619, Tenable, 21 oktober 2026
- Exposed to PHP2Shell?, Dark Reading, Nate Nelson, 23 oktober 2026
- Trust Is Not What It Seems, And Fraudsters Are Counting on It, Dark Reading, 23 oktober 2026
- Project Perception documentation, Microsoft Learn
AI & Security Intelligence
Wekelijkse nieuwsbrief met AI updates, security alerts en compliance inzichten, direct in uw inbox.
Security & AI Operating Model
Advisory met executiekracht
Van BIO2 en NIS2 tot EU AI Act, embedded in uw operating model, niet als extern project. Maandelijks opzegbaar, met assessments als bewijsvoering.