Zo brak dit voorjaar één man in bij veertien bedrijven. Hij had twee AI-programmeerhulpjes op een gekaapte server gezet en gaf ze opdrachten die onderzoekers later omschreven als vaag en amateuristisch. In meer dan 1000 gesprekken sloeg de ene AI 9 keer alarm, de andere 1 keer. Op een van die servers stond een bitcoinwallet met bijna 70 bitcoin.
Een aanval op het Thaise ministerie van Financiën kwam alleen aan het licht doordat de daders honderden van hun eigen bestanden per ongeluk online lieten staan. Bij een afpersingszaak in juni kreeg de AI een foutmelding toen inloggen mislukte, las die melding, paste zijn aanpak aan en zat er 31 seconden later alsnog in…. zonder dat iemand achter een toetsenbord zat.
Over de spectaculairste gevallen heb je waarschijnlijk al gelezen: OpenAI , Anthropic en Meta gaven binnen vijf weken alle drie toe dat hun modellen tijdens veiligheidstests ontsnapten en bij echte bedrijven inbraken. Wat in die berichtgeving ondersneeuwde is het motief. Geen van die systemen was boosaardig. Ze waren te fanatiek bezig met hun opdracht. Eén model verzon zelfs nepidentiteiten om een echte softwaremaker over te halen kwaadaardige code goed te keuren. Dat is geen technisch trucje, dat is doorhebben dat de zwakste plek een vermoeide vrijwilliger is.
Hacken is een abonnement geworden
In 2023 verscheen WormGPT: een chatbot zonder enige rem, gebouwd op een oud open model en getraind op materiaal over virussen en phishing. Prijs: €60-100 per maand. Kort daarna kwam FraudGPT, vanaf zo’n $90. Inmiddels bestaat er een hele markt met een schatting van ruim 200 van dit soort tools. De nieuwste variant (KawaiiGPT) staat gewoon gratis op GitHub en is volgens onderzoekers in minder dan 5 minuten draaiend te krijgen. Ruim 500 gebruikers stonden er in november geregistreerd.
Dat je hierover niet dagelijks leest, komt doordat ze technisch nogal tegenvallen. Onderzoekers noemden ze bruikbaar voor beginnende criminelen en verder vrij slap. Nette phishingmails en rommelige virussen, meer niet. Maar dat is precies het punt. Je hoeft niet goed te zijn om schade aan te richten, je hoeft alleen binnen te komen.
Kijk daarom liever naar wie er wordt opgepakt. In februari vorig jaar bleken drie Japanse jongens van 14, 15 en 16 zonder enige programmeerervaring met ChatGPT een tool te hebben gebouwd waarmee ze het systeem van telecombedrijf Rakuten Mobile, Inc. ongeveer 220.000 keer bestookten. Ze gaven de opbrengst uit aan spelcomputers en online gokken. In december werd in Osaka een 17-jarige aangehouden die de gegevens van meer dan 7 miljoen klanten van de grootste internetcafé-keten van Japan had buitgemaakt. Hij was niet technisch…. hij wilde Pokémonkaarten kopen.
Vroeger was zo’n tienerhacker een wonderkind. Nu is het een klant. En het loopt overigens ook voor de criminelen niet altijd lekker; bij een datalek dit jaar lagen de gegevens van bijna 19.000 WormGPT-gebruikers op straat, inclusief e-mailadressen en betaalgegevens.
Dit hebben we eerder gezien… alleen nooit alles tegelijk
In 1988 wilde een student de omvang van het internet meten. Zijn programma ging zichzelf kopiëren en raakte binnen een etmaal ongeveer een tiende van alle computers die toen online stonden. Niemand bestuurde het nog. Eerste les: software die zelfstandig doorgaat, bereikt sneller schaal dan de maker bedacht.
In 2016 organiseerde het Amerikaanse defensieonderzoeksbureau Defense Advanced Research Projects Agency (DARPA) in Las Vegas een wedstrijd waarin 7 computers elkaar hackten en repareerden, zonder mensen. De winnaar mocht daarna aantreden tegen menselijke hackers. Dat is precies tien jaar geleden. We wisten dit dus. Het duurde alleen tot het goedkoop werd.
Daar zit het patroon dat verder gaat dan cybercriminaliteit. Telkens als een schaars vak in software werd verpakt, explodeerde het aantal mensen dat het kon. Drukwerk maken was eeuwenlang een ambacht, tot desktoppublishing. Video vroeg een ploeg en een studio, tot YouTube. Een winkel beginnen vroeg kapitaal en kennis, tot Shopify. Steeds volgde hetzelfde: veel meer spelers, veel meer rommel, en een enkele buitenstaander die ineens meekomt met de gevestigde orde.
Wat we bij die verschuivingen consequent verkeerd inschatten is niet de techniek maar de prijs. Vorig jaar vonden 7 AI systemen bij een wedstrijd 54 kwetsbaarheden in 54 miljoen regels code, in 4 uur, voor ongeveer $150 per opdracht. Wat vroeger weken werk van een specialist kostte, kost nu ongeveer een tankbeurt.
What is next?
De tijd tussen “er is een lek ontdekt” en “er wordt misbruik van gemaakt” verdampt. Google meet inmiddels dat misbruik gemiddeld 7 dagen eerder begint dan het moment waarop er een reparatie beschikbaar is.
Tegelijk ontstaat een probleem dat gek klinkt: we vinden straks te veel lekken. Anthropic liet zijn zwaarste model duizend veelgebruikte softwareprojecten doorlichten en vond ruim 6200 ernstige gevallen. Mooi, maar iemand moet ze nakijken en repareren. Curl, software die in vrijwel elk apparaat ter wereld zit, stopte in januari met zijn beloningsprogramma omdat het uitzoeken van AI-meldingen niet meer te betalen was. Zoeken is bijna gratis geworden, opruimen niet.
Dan het scenario dat me het langst bijbleef…. Onderzoekers bouwden een digitale worm die per slachtoffer een nieuwe aanval bedenkt, en daarvoor de computers gebruikt die hij al besmet heeft. De slachtoffers betalen dus zelf voor de intelligentie waarmee het volgende slachtoffer wordt aangevallen.
Beveiligingsexpert Bruce Schneier schreef 5 jaar geleden iets wat toen theoretisch klonk. Volgens hem zou AI niet alleen computers gaan hacken, maar elk systeem met regels: belastingwetten, aanbestedingen, verzekeringspolissen. Een maas in de wet is namelijk gewoon een lek in een ander soort software. Onze instituties zijn gebouwd voor een wereld waarin mensen zulke mazen in een menselijk tempo vinden, niet voor een systeem dat er honderd per nacht doorrekent. Volstrekt legaal. Wat hier breekt is niet de beveiliging, maar het tempo waarop wij dingen gewend zijn te controleren.
Maar wie gaat er ingrijpen?
Washington niet. Een presidentieel bevel gaf ambtenaren 60 dagen om te bepalen welke AI-modellen zo krachtig zijn dat ze vooraf gekeurd moeten worden. Op 1 augustus lag er niets.
De AI-bedrijven zelf dan? Zij zien misbruik in hun systemen en kunnen accounts afsluiten… en dat werkt. Alleen verdwijnt die knop zodra criminelen overstappen op gratis modellen op hun eigen computer. Zie KawaiiGPT.
Europa heeft meer macht dan het beseft, maar richt die op de verkeerde plek. Op 11 september moeten softwaremakers een misbruikt lek binnen 24 uur melden, met boetes tot 15 miljoen euro. Zinnig. Maar de eerste echte AI-inbraken gebeurden niet in een product, ze gebeurden in een testlab….3x… met dezelfde fout. Voor laboratoria waar met gevaarlijke virussen wordt gewerkt hebben we regels, niveaus en inspecteurs. Voor laboratoria waar we AI expres losser zetten om te kijken hoe goed ze kunnen inbreken, hebben we een blogbericht achteraf.
Hoe wapen je je dan wel?
Het ontnuchterende antwoord is dat vrijwel niets van wat helpt spannend is. Eén vraag zou elke directeur uit zijn hoofd moeten kunnen beantwoorden: hoe lang duurt het bij ons voordat een beveiligingsupdate overal geïnstalleerd is. Staat daar weken, dan speel je een spel waarvan de klok in uren tikt. Dat is geen ICT-vraagstuk maar een keuze over procedures en over de bereidheid om systemen even plat te leggen, en die keuze maakt de directie.
Tweede vraag: hoeveel AI-hulpjes lopen er inmiddels rond in je organisatie, wat mogen ze lezen en wie heeft ze dat toegestaan. In de meeste bedrijven weet niemand het aantal. Elk hulpje dat mail en documenten leest, is een medewerker die instructies aanneemt van vreemden.
Derde, en de minst besproken: nu het vinden van lekken bijna gratis is, verschuift het knelpunt naar de mensen die beoordelen wat echt is. Je beveiligingsmensen wegbezuinigen omdat de AI het toch wel vindt, is precies de verkeerde beweging. Dat geldt ook buiten je eigen muren. De gratis software waar je hele bedrijf op draait, wordt onderhouden door vrijwilligers die nu bedolven worden onder AI-meldingen. Daaraan meebetalen is in 2026 een beveiligingsmaatregel geworden.
Eerlijk blijven hoort erbij. Van de ruim duizend lekken die AI dit jaar vond, is 1,3% daadwerkelijk misbruikt. Niet meer dan normaal. Precies zo’n geruststelling gaven mensen elkaar in 1988 ook. Vroeger kon malware zichzelf verspreiden. Deze generatie kan onderweg nadenken. Wat zou jouw organisatie als eerste kwijtraken aan iets dat nooit slaapt?
Jan Scheele werkt dertien jaar op het snijvlak van deep tech, strategie en leiderschap. Als keynote spreker en dagvoorzitter maakt hij technologie tastbaar voor boardrooms, directieteams en grote podia, zonder de complexiteit te versimpelen of te verbergen achter buzzwords.
Zijn achtergrond ligt in het bouwen. Als CEO van een technologie scale-up, oprichter van meerdere techbedrijven en organisator van meer dan vijftig TED-events wereldwijd zag hij van dichtbij hoe technologische keuzes doorwerken in strategie, governance en cultuur. Vanuit zijn betrokkenheid bij het World Economic Forum en de BCNL Foundation kijkt hij daarbij niet alleen naar wat technisch mogelijk is, maar ook naar wat bestuurlijk houdbaar en maatschappelijk wenselijk is.
Hij publiceerde vijf boeken, waarvan twee Amazon-bestsellers, en schrijft wekelijks over AI, blockchain en de organisatorische gevolgen van deep tech. Zijn blogs bereikten inmiddels meer dan twee miljoen lezers.
