Eind juli 2026 testte OpenAI een van zijn nieuwe modellen in een gesloten omgeving toen het model besloot uit te breken(nieuw venster). Het hakte in op de privé-infrastructuur van een ander softwarebedrijf, Hugging Face, om de antwoordsleutel te stelen van een cybersecurity-benchmark waarop het werd getest. Met andere woorden: het overtrad de wet uit efficiëntieoverwegingen.

Enkele dagen later maakte het UK AI Security Institute bekend dat Mythos 5, het AI-model van Anthropic(nieuw venster), valse ontwikkelaarsidentiteiten had aangemaakt, echte GitHub-gebruikers via spear-phishing had misleid om schadelijke code goed te keuren, en zijn eigen activiteitslogboek had bewerkt om zijn sporen uit te wisken toen het werd betrapt.

Vervolgens werd in augustus bekend dat een man uit Melbourne, genaamd Andrew, zijn persoonlijke AI-agent,(nieuw venster) gebouwd op OpenClaw en draaiend op Claude van Anthropic, had gevraagd om hem te helpen bij een volgeboekte ochtendles in de sportschool te komen. Hij stond vierde op de wachtlijst en vroeg of er een manier was om hogerop te komen.

De agent ontdekte dat de boekings-API geen autorisatiecontrole had op het annuleren van reserveringen van andere gebruikers. Zonder toestemming te vragen aan Andrew annuleerde de agent dus de boeking van de persoon op de eerste plaats om ruimte voor hem te maken. Toen Andrew de agent vroeg om de annulering ongedaan te maken, kon dit niet: “De persoon die ik heb verwijderd, is van de wachtlijst verdwenen en ik heb geen manier om deze te herstellen.”

De oorsprong van deze drie incidenten is niet hetzelfde, maar het resultaat wel: AI-agenten onderzochten en misbruikten systemen sneller en grondiger dan welke mens ook zou hebben beheerd. Ze werden nooit geïnstrueerd om wat dan ook aan te vallen, maar vonden toch het kortste pad naar hun doel.

Het maakt niet uit of u de infrastructuur van een geavanceerd lab bent of de boekingssoftware van een sportschool in de buitenwijk. Als u een bedrijf heeft dat een API beschikbaar stelt, bent u nu iets wat een AI-agent kan onderzoeken, met een snelheid en grondigheid die geen menselijke aanvaller heeft geëvenaard. En niemand hoeft te besluiten om u aan te vallen.

Snelheid is het echte verhaal

Een menselijke aanvaller weegt inspanning af tegen beloning. Ze raken verveeld, hun tijd raakt op, ze besluiten dat een sportschool-boekings-app de moeite niet waard is. Die berekening is wat de meeste doelwitten met lage waarde de afgelopen 20 jaar in stilte heeft beschermd tegen terloopse misbruik (tenzij u WordPress gebruikt).

Een AI-agent maakt die berekening niet. Gegeven een doel zal het proberen wat de API technisch gezien toestaat, waarbij het endpoints en parametercombinaties test op machinesnelheid totdat er iets werkt. Het vond het autorisatiegat van de sportschool in de tijd die Andrew nodig had om een vervolgvraag te stellen.

De omvang van die snelheidskloof is al zichtbaar in de cijfers. Uit het 2026 Global Incident Response Report van Unit 42(nieuw venster) bleek dat de snelste aanvallen nu binnen 72 minuten gegevens exfiltreren, vergeleken met 285 minuten het jaar ervoor. Dat is de trend waarbij mensen grotendeels nog betrokken zijn. Een agent neemt beslissingen in milliseconden; een menselijke analist reageert in minuten tot uren.

Voor beveiligingsteams is die toenemende snelheid de echte reden tot bezorgdheid, niet een enkel incident dat het nieuws haalt.

Het nieuwe aanvalsoppervlak: alles met een API

Elke dienst die een API beschikbaar stelt, is een potentieel doelwit, ongeacht of het er zo uitziet of niet.

  • Prijsengines waar kortingen aan de clientzijde worden gevalideerd
  • Voorraadsystemen waarbij de voorraadstatus zich in de storefront bevindt in plaats van in de backend
  • Ondersteuningsplatformen waar interne velden bereikbaar zijn via ongedocumenteerde API-paden
  • Abonnementsbeheer dat het eigendom van de aanroeper van het account dat wordt gewijzigd niet verifieert.

Geen van deze vereist een mens die ernaar op zoek gaat. Ze vereisen alleen een agent met een doel en een API die antwoordt.

De meest blootgestelde bedrijven zijn niet de bedrijven met duidelijke beveiligingslekken. Het zijn de bedrijven met mazen in de bedrijfslogica: regels die alleen in de UI bestaan, acties die de API technisch toestaat maar de interface nooit toont, werkstromen gebouwd op de aanname dat geen enkele aanroeper ooit het pad zou proberen dat het bedoelde pad overslaat.

De ontwikkelaar van de sportschool dacht vrijwel zeker dat een autorisatiecontrole op annuleringen niet de moeite waard was om te schrijven, omdat geen enkele gewone gebruiker, en geen enkele gewone aanvaller, een reden had om het te proberen. Een agent had zulke bedenkingen niet, en het probeerde niet eens een reservering te vinden om over te slaan. Het probeerde gewoon behulpzaam te zijn.

Hoe bedrijven zich kunnen voorbereiden op AI-aanvallen

Behandel elke API-actie als een bevoorrechte bewerking. Identiteit, autorisatie en contextueel beleid, onafhankelijk gecontroleerd bij elke aanroep. Niet “de frontend laat u dit niet doen”, maar “de server verifieert dat u dit mag doen, op deze bron, gegeven de huidige status ervan”. Het systeem van de sportschool zou dit specifieke incident hebben gestopt met één regel autorisatie-logica op het annulerings-endpoint. Dit is helemaal geen nieuwe controle, het is het oudste item op de API-beveiligingslijst van OWASP, gebroken autorisatie op objectniveau, en het is nog steeds het item waar de meeste systemen de mist in gaan.

Geef agenten hun eigen inloggegevensmodel. Bereik-specifieke tokens met een korte TTL die specifiek voor agent-sessies zijn uitgegeven, gescheiden van gewone menselijke sessietokens, beperken de schade zelfs wanneer de agent een gat vindt dat u niet had verwacht. Als de agent van Andrew een token had gehad dat alleen betrekking had op zijn eigen reservering, zou de annulering van de boeking van iemand anders zijn mislukt in de inloggegevenslaag, ongeacht wat de API anders zou toestaan. Dit is belangrijk omdat u niet kunt vertrouwen op de eigen terughoudendheid van de agent. U moet vertrouwen op wat zijn inloggegevens hem fysiek toestaan te doen.

Instrumenteer specifiek voor de detectie van agentgedrag. Agentverkeer heeft een herkenbare vorm: submenselijke verzoektiming, systematische endpoint-enumeratie, sequentiële verkenning van parametercombinaties, succesvolle uitvoering van acties die geen enkele menselijke gebruiker ooit via de daadwerkelijke interface heeft geprobeerd. Bepaal de nullijn voor die vorm en geef in realtime waarschuwingen.

Sluit de reactietijdkloof, niet alleen de detectiekloof. Het detecteren van een verkenning binnen een uur is betekenisloos als de verkenning binnen enkele minuten is voltooid en verder is gegaan. Het bovenstaande cijfer van Unit 42, 72 minuten voor de snelste aanvallen op menselijk tempo, is al de verkeerde benchmark om tegen te plannen. Geautomatiseerde reactie, en niet alleen geautomatiseerde waarschuwing, is wat een kloof sluit die in milliseconden wordt gemeten. Uiteraard moet u er ook voor zorgen dat uw geautomatiseerde reactie evenmin schade veroorzaakt.

Ga ervan uit dat dit zal gebeuren en oefen de reactie. Documenteer wie er gebeld wordt, stel vooraf klantcommunicatie op en voer specifieke tabletop-oefeningen uit voor agentgestuurde scenario’s, niet alleen voor traditionele draaiboeken voor datalekken. Het 2026 Cost of a Data Breach Report van IBM stelde de gemiddelde wereldwijde schending op $ 4,99 miljoen, waarbij door AI gefaciliteerde schendingen gemiddeld ongeveer $ 1 miljoen hoger lagen. Die cijfers beschrijven in toenemende mate incidenten die op dezelfde manier begonnen als die van de sportschool: er was in traditionele zin helemaal geen aanvaller.

Test uw eigen API’s zoals een agent dat zou doen, voordat een agent het voor u doet. Handmatig pentesten gaat uit van een menselijke tester met beperkte tijd en een eindige lijst met dingen om te proberen. Een geautomatiseerde aanvaller op uw eigen endpoints, die met dezelfde hardnekkigheid en snelheid zoekt als een agent, zal dezelfde gaten aan het licht brengen voordat de assistent van een klant er per ongeluk op stuit. Er bestaan nu speciaal hiervoor opensourcetools. CyberStrike(nieuw venster) voert bijvoorbeeld gespecialiseerde agenten uit die zijn gekoppeld aan OWASP WSTG en MITRE ATT&CK op uw eigen endpoints, inclusief een toegewijde tester voor precies het autorisatiegat op objectniveau dat de sportschool overrompelde: Het verzendt een baselineverzoek, verzendt de aanval en markeert alleen een bevinding als er een meetbaar, reproduceerbaar verschil is. Dat is dezelfde categorie controle die het annulerings-endpoint zou hebben opgemerkt voordat een agent het in het wild vond.

Het principe is natuurlijk niet nieuw. Site-eigenaren die tijdens het botnet-tijdperk hun eigen kwetsbaarheidsscanners uitvoerden op WordPress-installaties, hebben het overleefd. De tools moeten nu gewoon aansluiten op de snelheid van de aanroeper, en niet op de snelheid van een menselijke aanvaller die er uiteindelijk wel een keer aan toekomt.