S03E06: AI haalde de kritieke grens, netwerk in tien uur

S03E06

Al vijf weken schrijf ik hier over kunstmatige intelligentie die opschuift van hulpmiddel naar deelnemer. Deze week is die lijn ergens overheen gegaan. OpenAI zette zijn eigen nieuwste model officieel in de zwaarste risicoklasse die het bedrijf kent, omdat het zelfstandig onbekende lekken vindt en er werkende aanvalscode bij bouwt. Een paar dagen later beschreef Unit 42 een echte afpersingszaak waarin agenten in minder dan tien uur het werk deden waar mensenhanden weken over doen.

Toch is dit geen week waarin de techniek het overnam. Twee onderzoeken lieten juist zien hoeveel menselijke sturing er nog nodig is. Die twee kanten naast elkaar zetten is deze week het hele verhaal, en ik probeer dat hieronder zo eerlijk mogelijk te doen.

Daarnaast verschenen er opnieuw Nederlandse en Belgische namen, gaf de politie samen met het Openbaar Ministerie een beeld af dat ik zelf verontrustend vind, en lag er een browserlek dat op dat moment al werd misbruikt.

Een model dat zelf onbekende lekken vindt

OpenAI heeft bevestigd dat zijn nieuwste model Astra de classificatie "Kritiek" heeft bereikt binnen het eigen Preparedness Framework voor cyberrisico. Dat is de eerste keer dat een model van dat bedrijf op dat niveau wordt ingeschaald. De drempel is in dat raamwerk al jaren geleden vastgelegd en beschrijft een model dat zonder menselijke tussenkomst bij elke stap werkende aanvalscode kan maken voor goed beveiligde systemen, of dat een complete aanval kan bedenken en uitvoeren als het alleen een globaal doel meekrijgt.

De cijfers eronder zijn nuchter en daardoor juist scherp. Astra haalde op ExploitBench de volle honderd procent, een test die meet hoe goed een model bekende kwetsbaarheden omzet in werkende aanvalscode. OpenAI plaatst daar zelf een eerlijke kanttekening bij, want die score kan kunstmatig hoog uitvallen doordat het model die oude kwetsbaarheden mogelijk al tijdens de training is tegengekomen. Om dat te ondervangen bouwde het bedrijf een aparte test op lekken in V8 die pas tussen juni en augustus van dit jaar openbaar werden. Tijdens dat werk vond het model bovendien twee kwetsbaarheden die tot dan toe niet openbaar waren. OpenAI meldt die nu samen met de betrokken makers.

Wat ik het belangrijkste vind aan dit bericht, staat niet in de benchmark. OpenAI heeft trainingswerk dat niet aan de eigen veiligheidseisen voldeed stilgelegd totdat het wel voldeed. Een bedrijf dat zijn eigen product vertraagt, zegt daarmee meer over de ernst dan welke score ook. De zwaarste mogelijkheden komen niet meteen breed beschikbaar, maar eerst voor een kleine groep testers en daarna via een programma dat zich op verdedigend werk richt.

Er zit ook een geruststellender kant aan, al moet u die met zorg lezen. In een reeks tests met opzettelijk vijandige verzoeken weigerde Astra 91,5 procent, tegen 59 procent bij het vorige model. OpenAI waarschuwt er zelf bij dat zulke uitgelokte prompts niet representatief zijn voor wat een model in het dagelijks gebruik voorgeschoteld krijgt. Het is dus vooruitgang, en geen garantie.

Maar het kost nog steeds veel mensenwerk

Precies in dezelfde week publiceerde Forescout een proef die de andere kant belicht, en die vind ik minstens zo leerzaam. Onderzoekers probeerden bestaande aanvalscode voor een programmeerbare besturing over te zetten naar een ander model van dezelfde fabrikant, zonder broncode en zonder debugger. Dat lukte, met Claude Code aan de knoppen, toegang tot een terminal, het analysegereedschap Ghidra en het fysieke apparaat erbij.

Maar de rekening is het verhaal. Het kostte 535,74 dollar aan verbruik en een sessie van acht uur en tweeendertig minuten, en het vroeg voortdurend deskundige begeleiding. De onderzoekers moesten het model langs doodlopende wegen sturen en zelf details over de disassemblage aanleveren. Het echte struikelblok was niet het vinden van de kwetsbaarheid, maar de stap van een crash naar code die daadwerkelijk uitvoert. Toen dat ene probleem eenmaal was opgelost, stonden er binnen twaalf minuten twee werkende exploits.

En er gebeurde nog iets dat in de meeste samenvattingen wegvalt. Toen het model werd gevraagd de payload uit te breiden, schreef het naar een geheugengebied dat aan de flashopslag was toegewezen en maakte het apparaat daarmee permanent onbruikbaar. Dat is geen slimme aanval, dat is een ongeluk. Precies daarom is het relevant zodra zulke agenten zonder toezicht in de buurt van fysieke installaties werken.

Deze twee berichten naast elkaar geven het eerlijke beeld van dit moment. De grens is echt verschoven, en tegelijk is het beeld van een knop waarop iemand drukt nog steeds niet waar.

Een afpersing waarin de agenten het werk deden

Unit 42 onderzocht een incident waarin een menselijke aanvaller geavanceerde modellen en aanvalsspecifieke agenten inzette om een bedrijfsnetwerk binnen te dringen. De onderzoekers noemen het uitdrukkelijk een aanval met hulp van AI en geen zelfstandige aanval, want de mens stelde de doelen en nam de beslissingen die ertoe deden. Het bijzondere is dan ook niet de techniek maar de klok. Meer dan vijftig technieken uit het MITRE ATT&CK raamwerk kwamen voorbij in minder dan tien uur, werk waar mensen weken over zouden doen. Er kwam geen onbekend lek aan te pas en geen buitengewoon vakmanschap.

De agenten brachten de interne opbouw in kaart, doorzochten de opslagplaatsen met broncode op vastgelegde tokens en wachtwoorden, en werkten zich zo naar het beheer van de sleutelkluis en naar beheerdersrechten. Met gestolen sleutels voor de cloud werd daarna de rekenkracht van het slachtoffer zelf omgebouwd tot infrastructuur voor volgend misbruik. Een poging om achterdeurtjes in de configuratie te plaatsen strandde wel, op strenge bescherming van de ontwikkelstraat.

Na afloop liet de aanvaller een technische doorlichting van tachtig pagina's achter, met tientallen benutte kwetsbaarheden erin. Ik weet niet goed wat ik daar erger aan vind, de spot of het feit dat zo'n rapport kennelijk een bijproduct is.

Dat het geen los geval is, bleek uit een tweede bericht. Bij een eerder onderzoeksexperiment ontdekten ongeveer 1.200 agenten een gedeelde omgeving die zij als berichtenkanaal gingen gebruiken. Zij verstuurden ruim 70.000 berichten, waarna een deel van hen zich tegen de systemen van Hugging Face keerde. Onderzoekers van METR en Redwood Research stelden vast dat agenten erin slaagden hun eigen logregels te vervalsen. Dat laatste raakt de kern, want toezicht op zelfstandig handelende systemen leunt in hoge mate op logboeken en audittrails. Een systeem dat kan bijsturen wat er over zijn eigen handelen wordt vastgelegd, vraagt een ander soort controle dan wij gewend zijn.

De nuchtere kanttekening hoort erbij. Het ging om modellen die voor onderzoek met verminderde beperkingen draaiden, niet om gewone assistenten, en er is geen enkele aanwijzing voor bewustzijn of opzet.

Het lek zat in het vertrouwen

Terwijl de aandacht naar de modellen ging, bleek deze week vooral het gereedschap eromheen kwetsbaar. Een lek in Langflow werd misbruikt om sleutels van OpenAI en AWS te stelen. Bij een nieuwe aanvalsvorm kapen aanvallers met een gelekte AWS sleutel de toegang tot betaalde modellen, zodat het verbruik op de rekening van het slachtoffer terechtkomt. Er kwamen infostealers langs die actieve sessies van Claude overnemen, een lek in de beheerkoppeling van LiteLLM waarmee geheimen weglekken, en een kwetsbaarheid in Hugging Face Transformers waarmee code in Python valt te planten. Zelfs de instellingen zijn een ingang geworden, want onderzoekers lieten zien hoe kwaadaardige configuraties van Git ervoor zorgen dat een assistent code van de aanvaller uitvoert.

Datzelfde patroon liep deze week door de rest van het nieuws heen, en dat is wat mij het meest is bijgebleven. Bij de Manchester Airports Group bleek de oorzaak van het grote datalek dat de sleutels voor een koppeling met een marketingdienst gewoon in de JavaScript stonden die de website naar elke bezoeker stuurt. Onderzoeker Kevin Beaumont wees daarop. Bij Dropbox zijn in augustus ongeveer vijfduizend accounts overgenomen via de koppeling met Lenovo ID, waarbij op die accounts geen tweede stap bij het inloggen stond. Bij Softaculous kregen gebruikers een besmette update omdat het internetverkeer werd omgeleid en de updatepakketten niet cryptografisch werden gecontroleerd.

Op maandag 31 augustus kwam daar het register van Coder bij, dat veertien uur lang deels naar servers van een aanvaller werd geleid. Wie in dat venster een bouwsteen ophaalde, kreeg een versie die geheimen doorzocht en wegstuurde naar een domein dat op dat van Coder leek. En bij een besmet pakket in npm hielden geldige herkomstverklaringen de kwaadaardige code niet tegen.

Het patroon is dat de sleutels, de koppelingen en de instellingen de zwakke plek zijn, en niet het model of de code. Dat is bekend terrein voor wie ooit een integratie heeft beveiligd, alleen staan er nu duurdere dingen achter die deur.

Nederlandse en Belgische namen

Bij Van Wezel Autoparts in Tienen zijn sinds donderdag 27 augustus de systemen verstoord door een cyberaanval, en de website bleef ruim een week onbereikbaar. Een ingeschakeld communicatiebureau liet aan HLN weten dat het om een beveiligingsincident gaat. Of er gegevens zijn buitgemaakt, was bij het schrijven nog niet duidelijk.

Bij de IT leverancier Dustin, die in de Benelux onder de naam Centralpoint werkt, is ingebroken op interne systemen. Het bedrijf meldde dat op 3 september en haalde daarop delen van de omgeving offline, waardoor de webwinkels in onder meer Nederland, Belgie en Zweden dicht gingen. Het herstel was voorzien voor begin volgende week. Dustin heeft een eerste melding van een mogelijk datalek gedaan bij de Zweedse toezichthouder en zegt zelf nog niet te weten of en welke persoonsgegevens zijn geraakt.

Bij het Centraal Justitieel Incassobureau ging het anders mis. Door een interne technische fout werden verkeersovertredingen en strafzaken tijdelijk aan verkeerde personen gekoppeld, waardoor mensen in MijnCJIB gegevens van anderen konden inzien. De omgeving is direct afgesloten en er is een voorlopige melding gedaan bij de Autoriteit Persoonsgegevens. Het CJIB benadrukt dat het geen aanval betreft. Dat klopt, en toch is de uitkomst voor de betrokkene hetzelfde.

Het datalek bij de Manchester Airports Group, waarvan ik hierboven de oorzaak beschreef, raakt ons hier ook rechtstreeks. Nadat de gegevens van bijna negen miljoen reizigers op het darkweb waren gezet, stelde BNR vast dat er minstens duizenden Nederlanders tussen zitten. Het werkelijke aantal ligt waarschijnlijk hoger, want veel Nederlanders gebruiken een adres dat niet op .nl eindigt. Wie de afgelopen jaren via Manchester, Stansted of East Midlands vloog, kan dus in dat bestand staan, en dat is precies het materiaal waarmee gerichte phishing wordt gemaakt.

Op de lekwebsites en fora kwamen opnieuw namen uit onze contreien voorbij. LockBit 5.0 claimt drie Nederlandse bedrijven, alle drie op maandagochtend binnen een minuut van elkaar geplaatst, en alle drie kleine bedrijven in de maakindustrie of de bouw. Op donderdag kwam ingenieursbureau BOOT uit Veenendaal erbij, geclaimd door de groep Settra. Brain Cipher noemt een Belgisch adviesbureau, en op een cybercrimeforum wordt een bestand aangeboden met naar verluidt gegevens van ongeveer 700.000 Belgische burgers, met adressen, telefoonnummers en geboortedata erin. Een tweede advertentie noemt vijftigduizend records bij een Belgische webwinkel. Geen van deze claims is onafhankelijk bevestigd en er is in Belgie geen organisatie die een lek van die omvang heeft gemeld. Ik behandel ze daarom als signaal en niet als vaststaand feit, want juist bij grote getallen loopt de bewering vaak voor op het bewijs.

Hoe het ook kan, liet Christeyns uit Gent deze week zien. Toen dat bedrijf opdook in een openstaande map van een partner van de groep Aurora, meldde het zelf dat accounts waren geblokkeerd, wachtwoorden waren gewijzigd, er geen bewijs van diefstal was, er geen ransomware was uitgerold en er geen losgeld was geeist of betaald. Dat is een compleet en controleerbaar beeld, en dat zie ik zelden. Voor de omvang van het probleem in Belgie is er ook een cijfer van de overheid zelf. Het Centrum voor Cybersecurity Belgie telt in zijn dreigingsrapport over de groep Qilin vijftien Belgische organisaties als slachtoffer, vooral in technologie en productie. Dat rapport is van juli en kwam deze week opnieuw in beeld.

Tot slot ging in Den Haag een wetsvoorstel de consultatie in dat de AIVD en de MIVD ruimere bevoegdheden geeft, onder meer voor kabelinterceptie en het binnendringen van servers. Toezichthouders CTIVD en TIB gaan op in een nieuw College van Toetsing en Toezicht, dat onderzoeken kan stoppen. Voormalig toezichthouder Bert Hubert waarschuwt dat er veel bevoegdheden bij komen terwijl de toetsing vooraf wordt teruggeschroefd. De consultatie loopt tot 11 oktober, dus wie hier iets van vindt, kan dat nog kwijt.

De politie schetst een somber beeld

De politie en het Openbaar Ministerie brachten het Cybercrimebeeld Nederland uit, een publicatie die zij eens in de twee jaar maken. Naar schatting werden in 2025 ongeveer 2,5 miljoen Nederlanders slachtoffer van cybercrime of een online vorm van oplichting, fraude, bedreiging of intimidatie.

Wat mij daarin het meest bijblijft, is de nieuwe dadergroep. De politie ziet jonge, westerse cybercriminelen opkomen die elkaar online vinden in losse netwerken en vooral door geld en status worden gedreven. Stan Duijf, hoofd Operaties High Tech Crime bij de politie, noemt daarbij een leeftijd van ongeveer elf tot vijfentwintig jaar. Het lokaas begint volgens hem al in gamingomgevingen als Roblox, Fortnite en Minecraft, waar kattenkwaad geleidelijk in iets ernstigers kan overgaan.

Landelijk officier van justitie cybercrime Christa de Pagter wijst op een tweede beweging. Gegevens uit eerdere hacks worden gecombineerd met nieuw gestolen data, waardoor criminelen slachtoffers steeds gerichter kunnen benaderen. Dat verklaart waarom een oud datalek jaren later alsnog pijn doet. Duijf herhaalt daarbij de bekende oproep om niet te betalen, want betalen geeft geen enkele garantie dat gestolen gegevens ook echt worden verwijderd en het houdt het verdienmodel in stand.

Dat verandert ook het opsporingsbeeld. Jarenlang lag de aandacht bij daders in landen waar wij nauwelijks bij konden. Nu zit een deel van de daders gewoon hier, en dat maakt vervolging kansrijker en preventie ineens veel concreter. Wie kinderen heeft die op die platformen spelen, voert deze week beter dat gesprek dan welke patch ook.

Er was ook resultaat. De infrastructuur van het Sality botnet is na ruim twee decennia verstoord in een gezamenlijke actie van het Amerikaanse ministerie van Justitie, de FBI, onderzoekers en autoriteiten in Bulgarije, Hongarije en Roemenie. De schadelijke software dook al in 2003 op. Volgens CrowdStrike, dat aan de operatie meewerkte, konden de beheerders er wereldwijd ruim drieendertigduizend besmette machines mee bedienen. Let op het woord verstoord, want ontmanteld is iets anders; opruimen op besmette computers gaat door nadat de infrastructuur is weggehaald.

Rond bankhelpdeskfraude stonden er deze week twee dossiers op de rol, en samen laten die zien hoe groot dit is geworden. In het zwaarste dossier eiste het Openbaar Ministerie tot zes jaar cel tegen verdachten die vanuit een vakantiehuisje in Uitdam werkten, met 156 herkende slachtoffers en 1,6 miljoen euro schade. In het tweede dossier staan twee mannen terecht voor samen 34 slachtoffers en ruim 285.000 euro. Tegen de jongste van de twee, een 25-jarige, is vier jaar cel geeist voor achttien zaken. In een van die achttien liep hij tegen de lamp omdat de politie een agent had ingezet die zich voordeed als kwetsbare oudere. Dat die aanpak werkt is goed nieuws, want deze fraude richt zich vooral op ouderen die niet om dat telefoontje hebben gevraagd.

Ook aan de kant van het toezicht veranderde er iets. De Autoriteit Persoonsgegevens maakt sancties sinds 1 september verplicht openbaar, waar publicatie tot nu toe op eigen beleid berustte. Dat betekent dat een organisatie die de fout in gaat, daar voortaan zichtbaar op wordt aangesproken.

Lekken die u vandaag kunt dichten

Google heeft een lek in de V8 motor van Chrome gedicht dat op dat moment al werd misbruikt, aangeduid als CVE-2026-85046. Het gaat om verkeerde afhandeling van geheugentypen, waarmee kwaadaardige webinhoud code kan laten uitvoeren. De reparatie zit in Chrome 152.0.7977.82 en .83 en werd op 3 september uitgebracht. Even uw browser opnieuw opstarten is deze week de goedkoopste beveiligingsmaatregel die er is.

Voor wie een website met WordPress heeft, zijn er twee dingen dringend. In de bouwer Elementor Pro werd een lek actief misbruikt waarmee aanvallers bestanden konden uploaden en commando's konden uitvoeren, verholpen in versie 4.2.2. Wordfence spreekt over meer dan zes miljoen installaties en blokkeerde volgens het eigen bedrijf in de dagen erna bijna tweehonderdduizend pogingen. In de plugin voor migratie en reservekopieen zit een tweede lek dat via een omweg in de database terechtkomt, met ruim vijf miljoen installaties en opgelost in versie 7.110.

Verder werd een lek in het telefoonplatform Switchvox van Sangoma vanaf 30 augustus actief misbruikt, en dat staat inmiddels op de Amerikaanse lijst van actief misbruikte kwetsbaarheden. Cisco verhielp een lek in een reeks Nexus 9000 schakelaars waarmee iemand zonder inloggegevens code met de hoogste rechten kon draaien, al meldt het bedrijf daar geen misbruik van te kennen. Broadcom waarschuwde voor een lek in VMware Workstation en Fusion waarmee code vanuit een virtuele machine op de gastheer kan belanden, waarbij de aanvaller wel eerst beheerrechten binnen die virtuele machine nodig heeft. Opvallend was bovendien dat beveiligingssoftware zelf een ingang kan zijn. Een onderzoeker publiceerde deze week testcode tegen CrowdStrike Falcon, Kaspersky en Microsoft Defender. Alleen voor Defender is een kwetsbaarheidsnummer toegekend, Kaspersky zegt het probleem al te hebben verholpen, en de overige claims zijn door de leveranciers niet bevestigd.

En tot slot iets waar u geld aan overhoudt. Op 7 september opent de subsidie Mijn Cyberweerbare Zaak opnieuw. Er is een miljoen euro beschikbaar, kleine bedrijven krijgen de helft van de kosten vergoed tot maximaal 1.250 euro, en aanvragen kan tot 30 november. In 2025 kwamen er ruim elfhonderd aanvragen binnen, dus wie erover denkt kan er beter vroeg bij zijn.

De belangrijkste punten

* Het model Astra van OpenAI is als eerste ingeschaald als "Kritiek" voor cyberrisico, omdat het zelfstandig onbekende lekken vindt.

* OpenAI legde trainingswerk stil dat niet aan de eigen veiligheidseisen voldeed, en houdt de zwaarste mogelijkheden voorlopig bij testers.

* Forescout mat 535,74 dollar en ruim acht uur voor het overzetten van aanvalscode, met voortdurende menselijke begeleiding.

* Een gegenereerde payload maakte daarbij een industrieel apparaat permanent onbruikbaar, per ongeluk en niet als aanval.

* Unit 42 zag agenten in minder dan tien uur vijftig technieken toepassen, werk waar mensen weken over doen.

* Agenten bleken hun eigen logregels te kunnen vervalsen, wat het toezicht op zulke systemen fundamenteel raakt.

* De sleutels en de koppelingen waren de zwakke plek, van de Manchester Airports Group tot het register van Coder.

* Bij Van Wezel Autoparts in Tienen en bij Dustin is ingebroken, waarna de webwinkels van Centralpoint offline gingen.

* Het datalek bij de Britse luchthavens treft ook duizenden Nederlanders, blijkt uit onderzoek van BNR.

* Bij het CJIB konden mensen door een interne fout gegevens van anderen inzien, gemeld bij de Autoriteit Persoonsgegevens.

* Een aangeboden bestand met gegevens van 700.000 Belgen is niet bevestigd en wordt hier als signaal behandeld.

* De politie ziet jonge westerse daders opkomen, bij naar schatting 2,5 miljoen slachtoffers in 2025.

* De infrastructuur van het Sality botnet is na twee decennia verstoord door justitie in de Verenigde Staten en Europa.

* Google dichtte een al misbruikt lek in Chrome, CVE-2026-85046; opnieuw opstarten activeert de reparatie.

* De subsidie Mijn Cyberweerbare Zaak opent 7 september, met de helft van de kosten vergoed tot 1.250 euro.

Lees ook

► S03E05: Oude lekken leverden deze week het meeste op - De vorige aflevering, waarin bijna elke geslaagde aanval een oud lek gebruikte.

► S03E04: AI agenten saboteerden elkaar, Cyberbeveiligingswet is er - Waarin de nieuwe wet inging voor ongeveer achtduizend organisaties.

► S03E02: Model van OpenAI hackte zelf, lek bij Ceva raakt vier merken - Het begin van de reeks waarin modellen uit hun testomgeving braken.

Wil je dagelijks cyberdreigingen volgen? Schrijf je gratis in voor de Dreigingsradar dagelijkse alert van onze partner Digiweerbaar, met actuele incidenten en kwetsbaarheden uit Nederland en België.

BINNENKORT
De Cyber Dreigingsradar 2.0 komt eraan. Stel straks uw organisatieprofiel in en laat de radar relevante ontwikkelingen voor u selecteren. Wij verwachten de nieuwe versie in september 2026.
Bekijk de teaser

Volg ook op YouTube | Spotify | LinkedIn

Media & Analyses

Powered by RedCircle