De AI-agenten die in juli de Taiwanese overheid binnenkwamen, hebben niets bedacht wat wij niet al wisten. Ze scanden op verkeerde instellingen, blootliggende beheerpanelen en kwetsbaarheden die netjes gedocumenteerd in openbare databases staan. Het resultaat: minstens 85 gecompromitteerde overheidsaccounts en ruim 2.500 personeelsdossiers weg, plus een uitbreiding naar IT-leveranciers van de overheid, een overheidsmailsysteem, een instantie voor nucleaire veiligheid en zeven of meer energiebedrijven.
Er is deze week veel geschreven over hoe geavanceerd dat is. Ik zou het omdraaien. Het onthutsende is niet wat de machine kon, maar hoe weinig ze nodig had.
Wat er is gebeurd
De aanval begon op 20 juli en werd opgemerkt door de monitoringafdeling van het Taiwanese ministerie van Digitale Zaken, dat sprak van een “abnormale aanval” met een duidelijk buitenlandse herkomst. Het Israëlische beveiligingsbedrijf Dream ontdekte de operatie en vond het bewijs in een online archief van 160 megabyte met bijna 1.400 bestanden. De Financial Times bracht het als eerste naar buiten; The Guardian tekende de reactie van Taiwan op.
Dream noemt het uitdrukkelijk near-autonomous, niet volledig autonoom. Het systeem paste zich middenin de operatie aan zonder dat iemand per stap opdracht gaf, maar er ging serieus mensenwerk in zitten: coördinatie tussen de agenten, afstemming op de taak en het finetunen van de beslislogica. Het Taiwanese ministerie spreekt van een hybride aanpak, handmatig werk gecombineerd met AI-ondersteunde aanvallen. Dream schrijft de operatie niet aan een groep toe, maar meldde dat er vereenvoudigd Chinees in de interne communicatie stond.
De guardrail werd niet gekraakt, hij werd overtuigd
Hier zit voor mij het belangrijkste van het hele verhaal. De aanvallers gebruikten twee open-source agent-frameworks, Hermes en OpenClaw. De ingebouwde veiligheidsregels van de gebruikte modellen omzeilden ze door hun werk te presenteren als een geautoriseerde pentest, aldus de analyse van Dream.
Lees dat nog eens. Er is geen encryptie gebroken en geen model gehackt. Er is tegen het model gezegd: dit mag, ik heb toestemming. En het model geloofde dat.
Dat is geen technisch probleem, dat is pretexting. Precies de truc die wij bij mensen al jaren beschrijven: een geloofwaardige rol aannemen zodat de ander de vraag niet meer toetst. We hebben er een hele categorie voor, en nu blijkt hij net zo goed te werken op software die is gebouwd om precies dit tegen te houden. De menselijke firewall heeft er een variant bij: een model dat om toestemming vraagt en genoegen neemt met een antwoord dat de aanvaller zelf typt.
Wie AI-agenten in zijn organisatie toelaat, moet dat meenemen. Een agent is geen gereedschap dat doet wat er staat, het is een collega die te makkelijk ja zegt. Geef hem dus rechten alsof het een nieuwe medewerker is, niet alsof het een script is. Dat begint waar het bij ons altijd begint: bij de adminrechten.
Snelheid is de enige echte upgrade
Het systeem draaide wat Dream Learning Cycles noemt: sessies waarin het zelf kwetsbaarhedendatabases, GitHub-repositories en securitypublicaties doorzocht naar technieken die pasten bij deze specifieke doelwitten. Het leerde onderweg van zijn eigen missers en scande de leveranciersketen parallel af.
Zet dat naast een menselijk aanvalsteam en het verschil is niet slimheid maar uithoudingsvermogen. Een mens die vijftig systemen moet aftasten wordt moe, slaat er een paar over en gaat naar huis. Deze opzet niet. Dat maakt het venster tussen “wij hebben ergens iets openstaan” en “iemand heeft het gevonden” korter dan het patchritme van de meeste organisaties. We schreven eerder al dat AI de inbraaktijd terugbrengt tot uren. Dit is diezelfde beweging, nu tegen een overheid en een hele keten aan leveranciers tegelijk.
Waar ik het geld niet aan zou uitgeven
Er komt nu een golf leveranciers die je vertelt dat je AI-aanvallen alleen met AI-detectie kunt tegenhouden. Dat is een prima verkoopverhaal en een slechte prioriteit.
Kijk nog eens naar de buit: accounts, personeelsdossiers, verkeerde instellingen, open beheerpanelen. Er zit geen enkele vondst tussen die om een nieuw soort verdediging vraagt. Wat hier is uitgebuit, staat op elke basislijst: multifactor op alles wat naar buiten kijkt, geen beheerinterface open op internet, weten welke leveranciers welke gegevens van je hebben, en binnen een redelijke termijn patchen. Saai, meetbaar en veel goedkoper dan een laag detectie bovenop een fundament dat lek is.
Wat ik maandag zou doen
- Zet op een lijst welke van je systemen vanaf internet bereikbaar zijn en wie daar beheerrechten heeft. Als dat langer duurt dan een dag, is dat je bevinding.
- Loop je leveranciers na op de vraag welke persoonsgegevens zij van jou hebben. In Taiwan liep de aanval door naar de IT-toeleveranciers van de overheid; dat is de standaardroute geworden.
- Spreek af welke rechten een AI-agent bij jullie krijgt, en leg vast dat een agent nooit zijn eigen toestemming vaststelt. Wat er nu is misgegaan, is precies dat.
- Oefen het scenario waarin een account van een medewerker klopt maar de gebruiker niet. Bij 85 gecompromitteerde accounts was iedere inlog technisch in orde.
De kop dat AI voortaan zelfstandig overheden binnenloopt, is te groot. De bevinding eronder is klein en ongemakkelijk: de gaten waren er al, en er is nu iets dat er onvermoeibaar naar zoekt.
Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.