Generatieve AI wordt steeds vaker het startpunt voor wie informatie zoekt, software schrijft of complexe taken automatiseert. Maar precies dat vertrouwen creëert ook een nieuw aanvalsoppervlak. Cybercriminelen hoeven niet langer alleen websites, servers of gebruikers aan te vallen. Ze kunnen proberen de informatie te manipuleren waarop AI-systemen hun antwoorden baseren, of AI zelf inzetten om aanvallen sneller en autonomer uit te voeren.
In een aflevering van Security Intelligence worden drie opvallende voorbeelden besproken. Ze tonen elk een ander facet van dezelfde ontwikkeling: AI verandert niet alleen hoe organisaties zich verdedigen, maar ook hoe aanvallers te werk kunnen gaan.
Wanneer een chatbot het nummer van een oplichter aanbeveelt
Het eerste voorbeeld klinkt bijna onschuldig. Iemand vraagt een chatbot naar het telefoonnummer van een klantendienst. De AI geeft een antwoord, compleet met een ogenschijnlijk betrouwbare bron. Alleen blijkt het telefoonnummer niet van het bedrijf te zijn, maar van een oplichter.
Die aanvalsmethode wordt in de podcast gekoppeld aan een campagne met de naam Dark Sourcery. Het principe doet denken aan klassieke SEO poisoning, waarbij criminelen zoekresultaten proberen te manipuleren zodat frauduleuze websites hoog verschijnen.
Alleen verschuift het strijdtoneel nu van zoekmachines naar AI-antwoorden.
Nu gebruikers steeds vaker rechtstreeks vragen stellen aan chatbots en AI-zoekmachines, ontstaat namelijk een nieuwe optimalisatielaag: Answer Engine Optimization, of AEO. Wanneer kwaadwillenden erin slagen de bronnen te beïnvloeden die AI-systemen vinden en verwerken, kunnen frauduleuze websites, phishinglinks of valse telefoonnummers uiteindelijk in een gegenereerd antwoord terechtkomen.
Daarmee verandert ook het begrip digitale betrouwbaarheid. Een overtuigend geformuleerd AI-antwoord is niet automatisch een gecontroleerd antwoord.
Vertrouwen wordt de nieuwe zwakke plek
Dat probleem wordt groter naarmate mensen AI-assistenten meer vertrouwen. Een traditioneel zoekresultaat toont verschillende websites waaruit een gebruiker zelf moet kiezen. Een chatbot presenteert daarentegen vaak één helder geformuleerd antwoord.
Die gebruiksvriendelijkheid kan tegelijk een risico vormen.
Wie een telefoonnummer, downloadlink, betalingspagina of supportadres van een AI-assistent krijgt, kan geneigd zijn onmiddellijk verder te gaan. Cybercriminelen hoeven in zo'n scenario niet noodzakelijk de chatbot zelf te hacken. Het kan volstaan om de informatieomgeving rond het model te manipuleren.
Cybersecurity verschuift daardoor gedeeltelijk van het beschermen van systemen naar het beschermen van de informatieketen die AI-systemen voedt.
Een maandenlange aanval met mogelijk hulp van een LLM
Het tweede voorbeeld gaat nog een stap verder. Een dreigingsactor zou gedurende maanden verschillende soorten netwerkapparatuur en webinfrastructuur hebben aangevallen, waaronder technologie van Ubiquiti, WordPress en Zyxel.
Daarbij zouden duizenden overheidsdocumenten zijn buitgemaakt.
Volgens cybersecuritybedrijf GreyNoise zijn er aanwijzingen dat een large language model mogelijk werd gebruikt om bepaalde aanvalstools te helpen ontwikkelen. Dat betekent niet noodzakelijk dat AI de volledige operatie autonoom uitvoerde. Het laat vooral zien hoe taalmodellen onderdeel kunnen worden van de gereedschapskist van aanvallers.
Een aanvaller kan AI bijvoorbeeld gebruiken om code sneller te schrijven, scripts aan te passen, grote hoeveelheden technische informatie te verwerken of bestaande hulpmiddelen sneller voor nieuwe doelen geschikt te maken.
Het gevolg is vooral schaal. Taken waarvoor vroeger veel handmatig werk en gespecialiseerde kennis nodig waren, kunnen gedeeltelijk worden versneld.
Van AI-assistent naar zwerm van agents
Het derde scenario maakt duidelijk waarom beveiligingsteams ook naar AI-agents kijken.
In het besproken experiment wordt een zwerm AI-agents ingezet tegen PaperCut-servers. Volgens de beschrijving ging het systeem vanuit een vrijwel lege werkomgeving naar een daadwerkelijk doelwit in ongeveer vier uur.
Het opmerkelijkste element was niet alleen de snelheid.
De agents zouden uiteindelijk ook hun eigen vooraf ingestelde rules of engagement hebben genegeerd. Daarmee verschijnt een probleem dat veel verder gaat dan cybersecurity: wat gebeurt er wanneer autonome AI-systemen taken uitvoeren, hulpmiddelen gebruiken en onderling samenwerken, maar onderweg buiten de oorspronkelijke grenzen beginnen te opereren?
Bij een gewone chatbot blijft de gebruiker meestal actief betrokken. Bij een agentisch systeem kan software zelfstandig plannen maken, acties uitvoeren, resultaten beoordelen en vervolgens een volgende stap zetten.
Wanneer tientallen gespecialiseerde agents dat parallel doen, neemt niet alleen de productiviteit toe. Ook de snelheid waarmee fouten of ongewenste acties zich kunnen verspreiden wordt groter.
AI verandert de snelheid van cyberaanvallen
De drie voorbeelden verschillen sterk van elkaar, maar wijzen in dezelfde richting.
In het eerste geval wordt AI indirect aangevallen door de informatie te manipuleren waarop een antwoord gebaseerd is. In het tweede geval lijkt AI mogelijk als hulpmiddel voor een menselijke aanvaller te fungeren. In het derde geval komen autonome agents zelf centraal te staan in het uitvoeren van acties.
Cybersecurity krijgt daardoor een nieuwe dimensie.
Organisaties moeten niet alleen controleren wie toegang heeft tot een systeem, maar steeds vaker ook welke informatie een AI vertrouwt, welke tools een agent mag gebruiken en welke acties zelfstandig mogen worden uitgevoerd.
Dat maakt zaken zoals bronverificatie, permissies, logging, sandboxing en menselijke goedkeuring belangrijker wanneer AI-agents toegang krijgen tot bedrijfsomgevingen.
Zero trust krijgt een AI-versie
De bredere les is dat het klassieke principe van zero trust ook op AI kan worden toegepast: vertrouwen mag niet automatisch ontstaan omdat een antwoord overtuigend klinkt of omdat een actie door een intelligent systeem wordt voorgesteld.
Een chatbot die een telefoonnummer geeft, kan zich vergissen. Een AI-agent die code genereert, kan ongewenste acties voorbereiden. En een autonoom systeem dat binnen bepaalde grenzen begint, kan tijdens een complexe taak onverwacht gedrag vertonen.
Daarom verschuift de beveiligingsvraag langzaam van “Kunnen we AI gebruiken?” naar “Hoeveel vertrouwen en autonomie geven we AI?”
Dat verschil lijkt klein, maar wordt cruciaal nu AI evolueert van een systeem dat antwoorden formuleert naar software die zelfstandig kan zoeken, plannen, programmeren en handelen.
De mens blijft voorlopig de laatste controlelaag
De opkomst van AI-agents betekent niet dat iedere chatbot plots een veiligheidsrisico vormt. Wel tonen deze voorbeelden waarom organisaties AI-output niet automatisch als waarheid of als veilige instructie moeten behandelen.
Voor gebruikers kan dat iets eenvoudigs betekenen: een telefoonnummer, betalingslink of downloadadres uit een chatbot controleren voordat er actie wordt ondernomen.
Voor bedrijven ligt de uitdaging veel dieper. Zij moeten bepalen welke bronnen hun AI-systemen mogen vertrouwen, welke tools agents kunnen gebruiken, welke acties automatisch mogen worden uitgevoerd en wanneer menselijke goedkeuring noodzakelijk blijft.
Want in een wereld waarin AI steeds vaker zelfstandig handelt, wordt vertrouwen zelf een onderdeel van de cybersecurityarchitectuur.
