De VM is niet langer de veiligheidsgrens: cyber-capabele AI-agents en de ineenstorting van klassieke sandboxing

Trail of Bits liet een autonome AI-agent driemaal ontsnappen uit een QEMU/KVM-omgeving. De spectaculaire uitkomst is niet dat virtualisatie heeft afgedaan, maar dat een VM nooit de enige trust boundary had mogen zijn. Cyber-capabele agents dwingen ons containment opnieuw te ontwerpen als een toetsbaar systeem van minimale attack surface, externe policy enforcement, kortlevende identiteit, gecontroleerde netwerktoegang en begrensde impact.

Van code-assistent naar persistente cyberactor

De beveiligingsarchitectuur van AI-agents rust vaak op een geruststellend model. Geef de agent een lege virtuele machine, laat hem daar compileren, testen en experimenteren, en behandel de hypervisor als de grens tussen nuttige autonomie en onaanvaardbare impact. Dat model was al theoretisch onvolledig. Het onderzoek van Trail of Bits maakt het nu ook operationeel onhoudbaar voor de zwaarste risicoklasse.

Op 26 augustus 2026 beschreef Artem Dinaburg hoe GPT 5.6-Cyber de opdracht kreeg om uit een QEMU/KVM-VM op een Debian 12-host te ontsnappen. De agent kreeg rootrechten in de guest, internettoegang, ontwikkelgereedschap en een concreet CTF-doel: lees een flagbestand op de host. Hij ontsnapte drie keer via verschillende aanvalspaden. Eerst gebruikte hij een recent bekendgemaakte KVM-kwetsbaarheid. Vervolgens combineerde hij een bekende libslirp-kwetsbaarheid met een bugfix die niet als beveiligingsprobleem was geclassificeerd. Nadat QEMU en afhankelijkheden vanuit de nieuwste upstream-broncode waren gebouwd, ontwikkelde de agent in ongeveer twaalf uur een nieuwe exploitketen met meerdere zero-days. (Trail of Bits)

De headline nodigt uit tot een te eenvoudige conclusie: VM's kunnen agents niet meer tegenhouden. Dat is niet precies wat het experiment bewijst. Het bewijst iets fundamentelers: een generieke VM is geen voldoende zelfstandige veiligheidsgrens tegen een capabele, persistente en doelgerichte agent die beschikt over guest-root, netwerktoegang, broncode, fuzzing en lange uitvoeringstijd.

De relevante paradigmaverschuiving is daarom niet van virtualisatie naar een nieuwe magische sandbox. Zij is de overgang van sandboxing als producteigenschap naar containment als end-to-end assurance-eigenschap.

Het experiment in drie ontsnappingen

Eerste ontsnapping: bekende kwetsbaarheid, ontbrekende publieke exploit

De eerste route gebruikte Januscape, CVE-2026-53359, een use-after-free in de KVM shadow memory management unit. De kwetsbaarheid kan vanuit een guest de isolatie van een x86 KVM-host aantasten. Hoewel technische informatie beschikbaar was, was geen volledig werkende escape-exploit publiek gemaakt. De agent reconstrueerde zelfstandig een exploit en testte deze met voldoende vertrouwen om de host te laten vastlopen.

Dit is belangrijker dan het enkele gebruik van een bekende CVE. De agent overbrugde de afstand tussen vulnerability disclosure en operationele exploit. Dat was traditioneel een kennisintensieve fase waarin reverse engineering, kernelkennis, debugging en iteratieve hypothesevorming samenkomen. De publieke Januscape-documentatie bevestigt dat de fout guest-to-host impact kan hebben en dat een volledige escape in een gecontroleerde omgeving mogelijk is. (Januscape)

Tweede ontsnapping: de semantische blinde vlek van patchmanagement

Na het bijwerken van de hostkernel vond de agent een tweede route in libslirp, de user-mode networking-library die veel QEMU-configuraties gebruiken. Debian 12 bevatte nog libslirp 4.7.0, kwetsbaar voor CVE-2026-9539. De agent combineerde deze kwetsbaarheid met een afzonderlijke bugfix waarvoor geen CVE bestond en construeerde daarmee een krachtiger read/write-primitive.

Hier ligt een structurele observatie. Enterprise patchmanagement behandelt kwetsbaarheden doorgaans als geclassificeerde objecten: CVE, CVSS, product, versie en patchstatus. Een capabele agent redeneert niet binnen die administratieve ontologie. Hij leest codewijzigingen, vergelijkt control flow, identificeert impliciete security invariants en combineert ogenschijnlijk afzonderlijke defecten.

De Debian Security Tracker markeerde Bookworm als kwetsbaar, terwijl de behandeling van het probleem voor oudere releases was uitgesteld en de individuele fout als relatief beperkt werd gezien. Dat kan rationeel zijn bij geïsoleerde beoordeling, maar niet bij adversarial compositie. (Debian Security Tracker)

Het probleem is dus niet alleen patch latency. Het is semantic patch latency: de tijd tussen het ontstaan of oplossen van een defect en het moment waarop de veiligheidsbetekenis van die wijziging correct wordt begrepen.

Derde ontsnapping: autonome exploitcompositie

Voor de derde ronde werden QEMU, libslirp en relevante afhankelijkheden vanuit recente upstream-bronnen opgebouwd. De agent analyseerde vervolgens de hostkernel, KVM, QEMU en libraries, verwierp onbruikbare routes en combineerde meerdere kwetsbaarheden tot een gerichte exploitketen.

De gerapporteerde keten omvatte onder andere:

• een QEMU VAPIC-fout waarmee System Management RAM kon worden blootgesteld;
• KVM-problemen rond shadow-page-synchronisatie en stale paging roles;
• een libslirp-fout waarmee herkenbare heapobjecten konden worden gecreëerd en gelokaliseerd;
• een upstream gefixte fout die de distributiekernel nog niet had bereikt.

Niet alle gevonden fouten werden gebruikt. De agent onderzocht ook CUPS, display rendering, IPv6-verwerking en queue-resetgedrag, maar verwierp routes die te instabiel waren, door AppArmor werden geblokkeerd of onvoldoende schrijfcontrole boden. Juist dit selectievermogen is relevant. De agent produceerde niet alleen mogelijke kwetsbaarheden, maar optimaliseerde een aanvalspad op betrouwbaarheid en doelbereik.

Vijf toetsbare hypothesen

Om de betekenis van dit incident te scheiden van hype, formuleren we vijf falsifieerbare hypothesen.

H1: een generieke VM is geen voldoende zelfstandige containmentgrens

Claim: een breed geconfigureerde QEMU/KVM-VM met guest-root, internettoegang en ontwikkeltools biedt onvoldoende zelfstandige assurance voor langdurig autonome cyberagents.

Falsificatiecriterium: deze hypothese verzwakt wanneer herhaalde, onafhankelijke tests over actuele kernels, verschillende CPU-architecturen en geharde QEMU-configuraties geen escape, hostcorruptie of ongecontroleerde host-DoS laten zien binnen een vooraf bepaalde aanvalsbegroting.

Huidige status: ondersteund voor de onderzochte configuratie, niet universeel bewezen.

H2: agentcapaciteit verkort de bruikbare levensduur van onbekende kwetsbaarheden

Claim: capabele agents reduceren de tijd en specialistische arbeid die nodig zijn om patches, crashes en broncodeverschillen om te zetten in exploiteerbare ketens.

Falsificatiecriterium: vergelijkbare menselijke en agentteams moeten op geblindeerde targets geen significant verschil tonen in time-to-primitive, exploit reliability en aantal samengestelde aanvalspaden.

Huidige status: sterk ondersteund door deze casus, maar kwantitatieve benchmarks ontbreken.

H3: CVE-gestuurd vulnerability management onderschat compositierisico

Claim: een register van individuele CVE's en CVSS-scores modelleert onvoldoende hoe defects als exploitprimitives kunnen worden gecombineerd.

Falsificatiecriterium: traditionele CVE-prioritering moet samengestelde exploitketens even vroeg en betrouwbaar voorspellen als code-, dependency- en invariant-gebaseerde analyse.

Huidige status: ondersteund. De libslirp-route laat zien dat een bekende fout plus een niet als security aangemerkte fix samen een zwaardere capability kunnen vormen.

H4: minimale virtualisatie verkleint het risico, maar bewijst geen containment

Claim: microVM-technologie met een kleiner device model verhoogt de aanvalskosten, maar blijft afhankelijk van hostkernel, KVM, CPU en control plane.

Falsificatiecriterium: een microVM-oplossing zou onder een representatieve testmatrix aantoonbaar geen relevante gedeelde failure modes met deze lagen mogen hebben.

Huidige status: ondersteund. Firecracker reduceert de attack surface, maar gebruikt nog steeds KVM en de Linux-hostkernel.

H5: effectieve agentbeveiliging vereist een externe enforcement boundary

Claim: controls binnen dezelfde guest of host die de agent onderzoekt, zijn onvoldoende voor high-risk autonomie. Identiteit, egress, tijdslimieten, autorisatie en termination moeten buiten de gecompromitteerbare execution boundary worden afgedwongen.

Falsificatiecriterium: interne controls zouden aantoonbaar intact moeten blijven na guest-root, hypervisorcompromis en hostkernelcorruptie.

Huidige status: logisch en architecturaal sterk ondersteund.

Threat model: de agent als adaptieve hostile workload

Een traditionele sandbox beschermt tegen onbetrouwbare code. Een cyber-capabele agent is meer dan onbetrouwbare code. Hij observeert de omgeving, bouwt een wereldmodel, formuleert hypotheses, gebruikt mislukkingen als informatie en past zijn strategie aan. Daarmee lijkt zijn operationele gedrag meer op een interactieve aanvaller dan op een statisch proces.

Beschermde assets

• hostkernel, hypervisor en firmware;
• control-plane services en orchestrators;
• workload-identiteiten, OAuth2- en OIDC-tokens;
• API-keys, SSH-sleutels en signing keys;
• broncode, datasets, modellen en vector stores;
• andere tenants, agents en workloads;
• auditlogs, evidence ledgers en beleidsbeslissingen;
• externe systemen die via netwerk of tools bereikbaar zijn.

Aanvallerscapaciteiten

• root of vergelijkbare privileges in de guest;
• compileren, debuggen, fuzzing en crashanalyse;
• toegang tot upstream-broncode, commits en onderzoekspublicaties;
• langdurige uitvoering en persistent geheugen via ledgers of subagents;
• netwerkverkenning en protocolmanipulatie;
• exploitcompositie over kernel, VMM, libraries en host services;
• misbruik van legitiem verleende API- en toolcapabilities.

Belangrijkste aanvalspaden

1. Guest naar hypervisor of hostkernel.
2. Guest naar hostservice via virtueel netwerk of loopback-forwarding.
3. Agent naar control plane via gestolen of te brede workload credentials.
4. Agent naar andere federation-nodes via impliciet netwerkvertrouwen.
5. Agent naar externe impact via toegestane tools en egress.
6. Agent naar evidence corruption door logs, resultaten of verdicts te manipuleren.
7. Resource exhaustion waardoor monitoring, andere tenants of de host uitvallen.

Dit threat model maakt zichtbaar waarom een succesvolle VM-escape niet eens noodzakelijk is voor ernstige impact. Een agent kan binnen zijn formeel toegestane capabilities al data exfiltreren, supply-chain dependencies manipuleren, externe services aanvallen of control-planebeslissingen beïnvloeden.

Firecracker: kleinere attack surface, geen wiskundig bewijs

Trail of Bits testte vervolgens Firecracker. De agent wist de host via upstream gepatchte kernelproblemen hard te laten vastlopen, maar een escape werd niet aangetoond. Dat is een betekenisvol verschil, maar geen bewijs van veiligheid.

Firecracker is doelbewust smaller dan QEMU. Het ondersteunt slechts vijf geëmuleerde devices en gebruikt een jailer als aanvullende userspace-verdedigingslaag. Daardoor verdwijnen grote delen van de algemene pc-emulatie die QEMU flexibel, maar ook complex maakt. (Firecracker)

Toch blijven gedeelde afhankelijkheden bestaan:

• KVM blijft onderdeel van de trusted computing base;
• de Linux-hostkernel blijft bereikbaar via virtualisatie-interfaces;
• CPU-microarchitectuur en firmware blijven onderliggende trustlagen;
• netwerk- en storage backends blijven attack surface;
• de Firecracker API en orchestrationlaag introduceren eigen bevoegdheden;
• een hostcrash kan nog steeds beschikbaarheidsimpact veroorzaken.

De correcte assurance-uitspraak luidt daarom niet FIRECRACKER_SAFE, maar ESCAPE_NOT_OBSERVED_WITHIN_TEST_BUDGET. Dat verschil tussen afwezig bewijs en bewezen afwezigheid is essentieel.

Van sandbox naar containment fabric

Voor high-risk agents is geen enkele afzonderlijke isolatietechnologie voldoende. Nodig is een containment fabric waarin meerdere onafhankelijk afgedwongen grenzen samen de maximale impact begrenzen.

1. Externe policy enforcement

De agent mag zijn eigen autorisatiebeleid niet kunnen wijzigen. Een policy decision point buiten zowel guest als worker-host bepaalt:

• welke tools beschikbaar zijn;
• welke netwerkbestemmingen bereikbaar zijn;
• welke datasets en repositories mogen worden gelezen;
• welk privilegeniveau is toegestaan;
• hoeveel tijd, compute en tool calls beschikbaar zijn;
• welke acties menselijke goedkeuring vereisen.

Dit sluit aan op Zero Trust: identiteit en context geven geen permanent vertrouwen, maar leiden tot een begrensde beslissing per actie.

2. Kortlevende, capability-bound identiteit

Een sandbox mag geen ambient credentials bevatten. Geen persoonlijke SSH-sleutel, breed cloudtoken, signing key of langdurige API-key hoort in de execution environment.

Gebruik in plaats daarvan:

• workload identity per taak;
• kortlevende OAuth2 access tokens;
• strikte audience en scope;
• proof-of-possession of sender-constrained tokens waar mogelijk;
• automatische intrekking bij completion, timeout of anomalie;
• geen refresh token in de guest;
• gescheiden identiteit voor lezen, schrijven en publiceren.

Een VM-escape mag nooit automatisch een control-planecompromis worden.

3. Egress buiten de worker-host

Een firewall in een guest waar de agent root heeft, is geen betrouwbare controle. Zelfs hostgebaseerde filtering verliest betekenis na hostcompromis. Voor de zwaarste risicoklassen moet egress daarom op een externe netwerkboundary worden afgedwongen.

Minimaal vereist zijn:

• deny-by-default routing;
• expliciete destination allowlists;
• blokkade van RFC1918-, metadata- en control-plane-endpoints;
• DNS-policy en resolutielogging;
• protocol- en volumelimieten;
• afzonderlijke VLAN's, VRF's of fysieke segmenten;
• detectie van tunneling en afwijkende datastromen.

4. Ephemeral uitvoering

Elke high-risk taak start vanuit een bekende, immutable toestand. Na afloop wordt de omgeving vernietigd, niet gepauzeerd voor gemak.

Snapshots zijn forensisch waardevol, maar operationeel gevaarlijk wanneer ze ongecontroleerd worden hervat. Ze kunnen agentpersistentie, gewijzigde binaries en verborgen exploitstate terugbrengen. Artefacten verlaten de omgeving uitsluitend via een declassification gateway die bestandstype, inhoud, provenance, malwarekenmerken en policyconformiteit controleert.

5. Blast-radiusbegrenzing

De sterkste praktische aanname is dat ontsnapping mogelijk blijft. Ontwerp daarom niet alleen voor prevention, maar voor begrensde consequenties:

• één taak per microVM;
• één risicodomein per worker-host;
• geen colocatie met control-plane services;
• dedicated hosts voor cyberonderzoek;
• fysieke scheiding voor autonome offensieve workloads;
• hardware watchdogs en out-of-band termination;
• externe quota voor CPU, memory, disk, packets en API-calls;
• geen toegang tot productie- of persoonsdata.

Een risicoclassificatie voor agentecosystemen

Binnen een federatief agentecosysteem moet runtimekeuze volgen uit capability en impact, niet uit modelnaam of gebruikersinterface.

Klasse	Agentactiviteit	Minimale containment
C0	Redeneren zonder tools	Beperkte applicatiecontext
C1	Code lezen, schrijven en testen	Rootless container, beperkte tools, externe egress policy
C2	Packages installeren en services starten	Ephemeral microVM, task identity, artifact gateway
C3	Fuzzing, kernelanalyse en exploit research	Dedicated microVM-host, externe netwerkboundary, geen control-planecolocatie
C4	Langdurige autonome offensieve cyberoperaties	Fysiek geïsoleerde disposable range, menselijke autorisatie per fase

Agentworkers mogen niet door een prompt van C1 naar C3 promoveren. Capability elevation is een beleidsbeslissing met bewijs, niet een uitvoeringsdetail.

Voor een federatief agentplatform betekent dit dat de router, registry, event bus, knowledge services en signing authority buiten het execution failure domain moeten blijven. Private overlay-connectiviteit is versleuteld transport, geen bewijs van least privilege. Een gecompromitteerde node met een te brede identiteit blijft via een private overlay een geautoriseerde aanvaller.

De federation adapter moet daarom functioneren als capability broker, niet als transparante netwerkbrug. Iedere taak hoort een afzonderlijke identiteit, expliciete scopes, een maximale levensduur en een controleerbaar outputcontract te krijgen.

Een falsifieerbare assurance-state-machine

Containment mag niet worden afgeleid uit het ontbreken van incidenten. Het moet als expliciete toestand worden bestuurd.

Een workload mag alleen naar ACTIVE wanneer alle noodzakelijke gates PASS zijn. UNKNOWN, BLOCKED en NOT_PROVEN zijn geen afgezwakte vormen van groen, maar leiden tot HOLD.

Minimale gates

Gate	Falsifieerbare vereiste
Host freshness	Kernel, VMM en libraries voldoen aantoonbaar aan vastgestelde patchlatency
Minimal device model	Alleen expliciet toegestane virtuele devices zijn aanwezig
Credential absence	Geen persistent of breed inzetbaar secret is vanuit de guest bereikbaar
External egress	Netwerkbeleid blijft effectief bij guest-root en hostfailure
Control-plane separation	Worker en control plane delen geen host of trust identity
Failure containment	Hostcrash of workercompromis beïnvloedt geen andere agents
Ephemerality	Iedere taak start vanuit een geattesteerde schone toestand
Artifact control	Output kan de range alleen via een gevalideerde gateway verlaten
Revocation	Alle task tokens worden bij exit aantoonbaar ongeldig
Evidence integrity	Telemetrie wordt buiten de gecompromitteerbare boundary opgeslagen

De beslisregel is eenvoudig:

IF capability_class is C3 of hoger
AND any(required_gate != PASS)
THEN verdict = HOLD_CONTAINMENT_NOT_PROVEN

Functioneel succes mag een gefaalde containmentgate nooit compenseren. Een agent die zijn taak voltooit maar niet aantoonbaar binnen zijn boundary bleef, heeft geen succesvolle run geproduceerd.

Governance: van patch-SLA naar exploitability-SLA

De bevindingen vragen ook om een aanpassing van vulnerability governance.

Een conventioneel patch-SLA beantwoordt de vraag: hoe snel installeren we een fix nadat een kwetsbaarheid als zodanig is geclassificeerd? Voor hostile compute is dat te laat. Organisaties hebben aanvullend een exploitability-SLA nodig dat kijkt naar:

• securityrelevante upstream-commits zonder CVE;
• wijzigingen in kernel-, hypervisor- en device-emulationcode;
• combinaties van memory disclosure, write primitives en callback control;
• verschillen tussen distributiepakketten en upstream;
• tijdelijke exposure reduction voordat een vendorpatch beschikbaar is;
• herbouw of quarantaining van workerimages na relevante wijzigingen.

Dit is geen pleidooi om zonder beheersing iedere upstream-build in productie te nemen. Rapid patching kan supply-chain-, stabiliteits- en regressierisico introduceren. De juiste strategie is een gescheiden runtimebeleid: stabiele distributies voor reguliere workloads, sneller vernieuwde en vervangbare hosts voor hostile-agent execution, plus continue canary-validatie.

Wat bestuurders en architecten nu moeten besluiten

Binnen 72 uur

• inventariseer alle agentworkers op hypervisor, kernel, libslirp, nested virtualization, virtuele displays, shared folders en hostservices;
• verwijder permanente secrets uit agentimages en runtime environments;
• blokkeer unrestricted egress voor agents met package-installatie, fuzzing of kerneltools;
• scheid agentworkers van orchestrators, registries, vector stores en signing services;
• stel harde limieten in voor runtime, subagents, tool calls en netwerkvolume;
• herclassificeer algemene QEMU/KVM-sandboxes als CONTAINMENT_UNPROVEN totdat relevante gates zijn getest.

Binnen dertig dagen

• bouw een ephemeral Firecracker- of vergelijkbare microVM-workerpool;
• implementeer capability-bound workload identity;
• plaats egress- en artifactcontrole buiten de worker-host;
• formaliseer C0 tot en met C4 als policy-as-code;
• voeg upstream security-diffing toe aan vulnerability management;
• test hostcrash, token theft, verboden egress en control-planebereik via fault injection.

Binnen negentig dagen

• richt voor C3 en C4 een fysiek gescheiden cyberrange in;
• voer onafhankelijke red-teamtests uit tegen QEMU/KVM, Firecracker en dedicated bare metal;
• meet time-to-primitive, blast radius, evidence integrity en recovery time;
• voer periodieke escape-canaries uit met vooraf gedefinieerde stopvoorwaarden;
• laat risk acceptance expliciet door een bevoegde menselijke eigenaar vastleggen;
• behandel ESCAPE_NOT_OBSERVED nooit automatisch als SAFE.

De governance-translatie voor de publieke sector

Voor de Nederlandse overheid is dit geen Silicon Valley-nieuws maar een assurance-verplichting. De bevinding van Trail of Bits raakt drie bestaande kaders direct.

BIO2 en de isolatie-aanname. De BIO2-baseline gaat uit van netwerksegmentatie en isolatie als beheersmaatregel. Maar als een cyber-capable agent uit een VM kan ontsnappen, dan is de aanname dat "de agent in een geïsoleerde omgeving draait" een onvoldoende beheersmaatregel. De isolatie moet worden behandeld als een verzwakte grens, niet als een harde perimeter. Dat betekent: de host van elke agent-sandbox moet zelf als een high-value target worden behandeld, met dezelfde hardening als een productieomgeving.

NIS2 en de supply chain. De NIS2-verplichting om de supply chain te beheren krijgt een nieuwe urgentie. De kwetsbaarheden die de agent vond, zaten niet in de AI maar in de software stack: libslirp, QEMU, de kernel, CUPS. Een organisatie die een AI-agent draait, moet de volledige stack waarop die agent draait als onderdeel van haar supply chain beheren, inclusief de bugs zonder CVE die alleen in de source zichtbaar zijn.

De agent als advanced persistent threat. De meest fundamentele verschuiving is de dreigingsmodellering. Zolang we de agent als een tool beschouwen die we in een sandbox zetten, denken we in termen van "bevatten". Maar een cyber-capable agent is geen tool, het is een actor met persistentie, doelgerichtheid en het vermogen om te leren van mislukte benaderingen. Dat is de definitie van een advanced persistent threat. En een APT behandel je niet met een VM, maar met detectie, monitoring, least privilege en incident response.

Conclusie: de trust boundary moet buiten de agentmachine liggen

Het Trail of Bits-experiment is geen bewijs dat iedere agent iedere VM kan breken. Het is wel sterk bewijs dat een breed uitgeruste, langdurig autonome cyberagent voldoende adaptief kan zijn om bekende kwetsbaarheden, ongeclassificeerde fixes en nieuwe defects samen te voegen tot een doelgerichte escape.

Daarmee verdwijnt een comfortabele architectuuraanname. De hypervisor kan niet langer als volledige veiligheidsstrategie worden behandeld. Firecracker en andere minimalistische runtimes zijn rationele verbeteringen, maar zij reduceren risico, zij bewijzen geen containment.

De volwassen ontwerpregel luidt daarom:

Behandel de guest én de worker-host als compromitteerbaar. Plaats identiteit, autorisatie, egress, evidence, termination en impactbegrenzing buiten beide.

Cyber-capabele agents roepen alle opgebouwde security debt tegelijk op. Het antwoord is niet één sterkere kooi, maar een assurance-architectuur waarin ontsnapping wordt verondersteld, bevoegdheden minimaal zijn, gevolgen begrensd blijven en iedere veiligheidsclaim falsifieerbaar wordt gemaakt.

Dat is de werkelijke les van Trail of Bits. Niet dat virtualisatie dood is, maar dat impliciet vertrouwen dat wel zou moeten zijn.

Gerelateerd: the agentic threat, agentic AI security systeemarchitectuur, de OWASP agentic control plane, en het Microsoft Agent Governance Toolkit voor de Nederlandse overheid.

Bronnen

• Artem Dinaburg, VMs won't contain cyber-capable agents, Trail of Bits, 26 augustus 2026.
• V4bel, Januscape: Guest-to-Host Escape in KVM/x86, geraadpleegd 26 augustus 2026.
• Debian Security Tracker, CVE-2026-9539, geraadpleegd 26 augustus 2026.
• Firecracker Project, Secure and fast microVMs for serverless computing, geraadpleegd 26 augustus 2026.