Een AI die in een namiddag door verdediging heen breekt waar securityteams jaren aan bouwden. Dat is geen sciencefiction meer — het gebeurde deze maand in een test bij de Amerikaanse NSA. De reflex is dan: investeer in betere techniek. Maar de eerlijke conclusie wijst de andere kant op. Hoe sneller machines aanvallen, hoe doorslaggevender de mens als laatste verdedigingslaag wordt.
TL;DR — in 30 seconden
- Anthropics model Mythos kwam in een red-team-test in uren in vrijwel alle geheime NSA-systemen. De VS legde het model daarna stil. Bron: The Economist, Axios, Anthropic.
- De les is niet “techniek faalt”, maar: de snelheid van aanvallen verandert. Tijd om te reageren krimpt.
- AI maakt phishing en social engineering goedkoper, sneller en geloofwaardiger. Dáár komt het bij jouw organisatie binnen — niet via een NSA-achtige zeroday.
- De human firewall wordt belangrijker, niet minder. Onderaan vind je 5 concrete dingen die deze week al verschil maken.
Wat er gebeurde, kort
Even de feiten, want het verhaal ging dit weekend viraal en de nuance verdween daarbij. Mythos is een AI-model van Anthropic dat is gebouwd om kwetsbaarheden in software te vinden. In een gecontroleerde oefening zag NSA-baas generaal Joshua Rudd dat het “in uren, niet weken” door bijna alle geheime systemen kwam. Senator Mark Warner vertelde het door; kort daarna verbood de regering-Trump buitenlandse toegang en zette Anthropic het model wereldwijd uit. Of dat ingrijpen terecht was, is omstreden. Dát een commercieel model die test zo snel won, is dat niet.
Belangrijk om vast te houden: dit was een test, geen daadwerkelijke inbraak door een vijand. Maar het verschil tussen “wij testen dit” en “iemand anders doet dit” is vooral een kwestie van tijd en toegang. En dat brengt ons bij jouw organisatie.
De aanval komt niet via een zeroday — die komt via een mens
Hier is het belangrijkste dat in alle koppen ondersneeuwt. De meeste organisaties worden niet gehackt via een spectaculaire kwetsbaarheid in een besturingssysteem. Ze worden binnengelaten. Een medewerker klikt, een factuur wordt “even snel” betaald, een wachtwoord wordt ingetypt op een pagina die er precies goed uitziet. Dat is altijd al de makkelijkste route geweest, en AI maakt die route nu nóg makkelijker voor de aanvaller.
Dezelfde technologie die in een test een netwerk ontleedt, schrijft moeiteloos een foutloze Nederlandse e-mail namens je directeur, kopieert de schrijfstijl van een collega uit een paar LinkedIn-posts, en bouwt in minuten een nepportaal na. De drie klassieke verklikkers van phishing — krom taalgebruik, rare opmaak, een vaag adres — zijn aan het verdwijnen. Wat overblijft is het oordeel van de persoon achter het scherm.
Wat versnelt, en wat juist menselijk blijft
Het helpt om scherp te krijgen wat hier echt verandert. Niet alles wordt anders; juist daarom is het zo belangrijk om te weten waar je verdediging nu zit.
| Wat AI nu versnelt | Wat een mens blijft beslissen |
|---|---|
| Foutloze, persoonlijke phishingmails op schaal | Of je op het verzoek ingaat — en of je het verifieert via een tweede kanaal |
| Nepstemmen en -video’s van leidinggevenden | Of een ongebruikelijk verzoek om geld of toegang klopt met de afspraken |
| Razendsnel kwetsbaarheden vinden in software | Of updates op tijd draaien en wie toegang heeft tot wat |
| Overtuigende nepportalen en inlogpagina’s | Of je je wachtwoord ergens intypt — en of MFA aanstaat |
Zie je het patroon? Elke regel in de rechterkolom is een gewoonte of afspraak, geen stuk software. Dat is geen toeval. Naarmate de technische aanval slimmer wordt, verschuift de echte weerstand naar gedrag en processen — naar de human firewall.
Vijf dingen die deze week al verschil maken
Geen abstracte strategie, maar dingen die je maandag kunt regelen.
- Spreek een vast tweede-kanaal af voor geld en toegang. Elk verzoek om een betaling, een wachtwoordreset of nieuwe toegang wordt geverifieerd via een ander kanaal dan waarin het binnenkwam. Een appje terug naar een bekend nummer, geen reply op de mail.
- Zet MFA overal aan, het liefst met passkeys of een app. Een nagemaakte inlogpagina is met AI in vijf minuten gebouwd. Een tweede factor maakt een buitgemaakt wachtwoord een stuk minder waard.
- Maak twijfelen normaal. De duurste cultuur is er een waarin niemand de baas durft terug te bellen. Spreek expliciet uit: een verzoek verifiëren is nooit gênant, ook niet als het echt blijkt.
- Train op de nieuwe verklikkers. Niet meer “let op spelfouten”, maar: onverwachte urgentie, een verzoek dat de normale route overslaat, een net iets ander adres, druk om geheim te houden.
- Oefen met realistische voorbeelden. Een phishingtest met een krakkemikkige nepmail bewijst niets meer. Test met het soort bericht dat AI vandaag maakt: vlekkeloos en persoonlijk.
De kern
Het Mythos-nieuws is een waarschuwing, maar niet de waarschuwing die de meeste mensen eruit halen. Niet: “de AI komt eraan, schuil achter betere muren.” Wel: aanvallen worden sneller en geloofwaardiger, en daarmee wordt het menselijke oordeel — getraind, ondersteund door duidelijke afspraken — de laag die het verschil maakt. Een firewall van staal houdt geen bericht tegen dat je medewerker zelf openzet. Een firewall van mensen die weten waar ze op letten, wel.
Bronnen
Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.