Experts spreken met al die hacks al van Zwarte Oktober: AI legt bloot dat het internet aan een grondige renovatie toe is

En toen gingen woensdag overheidswebsites ineens preventief op zwart, waren ziekenhuizen via hun websites niet meer bereikbaar, en waren zelfs mensen die nog nooit van de programmeertaal PHP gehoord hadden plots op de hoogte van een veiligheidsupdate die om 16.00 uur zou worden uitgevoerd.

Nog altijd is onduidelijk of de kwetsbaarheden (bugs) in PHP daadwerkelijk door aanvallers zijn misbruikt. Was het wellicht een storm in een glas water? Dat nieuwsredacties liveblogs optuigden om verslag te doen van zwakheden in software was vooral het gevolg van de potentiële gevolgen ervan. Ruim twee derde van het internet draait immers op PHP, een programmeertaal die je kunt zien als een soort onzichtbare infrastructuur achter de websites die je bezoekt. Kwetsbaarheden in die infrastructuur maakten dat kwaadwillende actoren grote delen van het internet konden hacken – in theorie.

Veelzeggend was het feit dat het PHP-lek al jarenlang bekend was. Maar pas afgelopen zomer deed het voor het eerst écht de alarmbellen rinkelen. „Om de kwetsbaarheden te misbruiken is een zeer complexe serie handelingen nodig, op de grens van wat menselijke onderzoekers in de praktijk kunnen uitvoeren”, schreef een cybersecuritybedrijf dat bij de ontdekking en de bekendmaking van het lek betrokken was. Het grote verschil met eerdere ontdekkingen van de PHP-kwetsbaarheden is dat een geautomatiseerde hack met AI-agents nu plotseling een realistisch scenario is geworden.

Na de hack bij techbedrijf Hugging Face door een ‘zwerm’ ontketende AI-agents van OpenAI stond het internet bol van doemscenario’s over autonome AI-systemen die, in navolging van een willekeurig subdoel, de mensheid zouden uitroeien. Deze maand blijkt dat we vooralsnog vooral te vrezen hebben van kwaadwillende actoren die hun misdaden door steeds geavanceerdere AI-technologie laten automatiseren.

De stapel van serieuze hacks is inmiddels zo groot geworden dat op het internet al wordt gesproken van Zwarte Oktober. Moderne kunstmatige intelligentie is dusdanig bedreven geworden in computercode, en kan zo goed zelfstandig over een langere periode opdrachten uitvoeren, dat hackers kwetsbaarheden in software steeds makkelijker kunnen vinden én uitbuiten. En zo konden ze ineens de koelingen in honderden supermarkten overnemen, zoals in Frankrijk. Albert Heijn heeft nog weinig details naar buiten gebracht over de aard van de cyberaanval waardoor zijn schappen leeg bleven, en wil niet zeggen of AI daarbij betrokken was.

‘Storm die aan land is gekomen’
Het voelt alsof de storm die hij al maandenlang voor de kust zag hangen eindelijk aan land is gekomen, zegt Frank Breedijk. Naast zijn vaste baan als IT-beveiliger is hij crisismanager bij een vrijwilligersorganisatie van cybersecurity-experts, de DIVD. De afgelopen maanden was hij door alle voorbereidingen op die storm maar weinig ’s avonds thuis, vertelt hij. Toen hij op een doordeweekse avond in september eindelijk net lekker op de bank was geploft om samen met zijn vrouw een Netflix-serie aan te zetten, werd hij gebeld. „Het was een DIVD-collega, die me niet zomaar op dat tijdstip zou bellen.”

Wat bleek: de DIVD, een organisatie die juist hacks helpt voorkomen, was zélf gehackt. Wie erachter zaten, weet Breedijk een maand later nog steeds niet. Vast staat wel dat de daders de hack hadden uitbesteed aan AI-agents, die kwetsbaarheden in de software vonden én uitbuitten die nog niet eerder waren ontdekt. De Nederlandse vrijwilligersorganisatie beschikt over waardevolle informatie over nog niet gepubliceerde kwetsbaarheden in software van andere partijen, en was daarom een aantrekkelijk doelwit. Of die gegevens in verkeerde handen zijn gevallen, is nog niet bekend. Nog altijd liggen de systemen van de DIVD plat.

De grote hoeveelheid hacks laat zien dat het internet aan een grondige renovatie toe is. „Het internet is in de jaren zeventig gebouwd met als doel dat mensen en computers met elkaar konden communiceren”, zegt Jaya Baloo, één van de oprichters van AI-cybersecuritybedrijf AISLE. „Het systeem ging ervan uit dat partijen op het netwerk te vertrouwen waren. Er was onvoldoende aandacht voor kwaadwillenden die systemen willen beschadigen, of gegevens wilden aftappen. Dat moet veranderen.”

‘Wake-upcall’
„Het PHP-lek is een harde wake-upcall”, schrijft Europarlementariër Kim van Sparrentak (Europese Groene Partij) op Mastodon. „AI maakt dreigingen groter, cyberbeveiliging moet nú opgeschaald.”

De stapel cyberincidenten roept voor bedrijven ook de vraag op of ze (delen van) hun kritieke bedrijfsvoering niet van het internet moeten afhalen, zegt Breedijk. „We komen uit een relatief comfortabele periode, waarin de werkelijkheid behoorlijk vergevingsgezind was tegenover lekken in de beveiliging. Het was niet meteen een ramp als je een update een keertje vergat te installeren. Die tijd lijkt voorbij te zijn, niet alleen door AI, maar ook door de hybride oorlogsvoering door Rusland.”

Hoe gaan de komende maanden eruitzien? „Hoe slecht de situatie de afgelopen vier dagen ook is geweest, het gaat nog een stuk slechter worden, voordat het beter wordt”, schreef de IT-directeur van AI-gigant Anthropic op X. Baloo waarschuwt juist tegen dit soort paniekzaaierij, zegt ze tegen NRC. „Toen ik nog hoofd cybersecurity was bij KPN, probeerden leveranciers ons voortdurend producten aan te smeren door angst, onzekerheid en twijfel aan te wakkeren.” Paniek helpt niet, zegt ze: die kan juist leiden tot miscommunicaties en overhaaste beslissingen.

„De maatschappelijke impact van de hacks valt nu nog wel mee”, zegt Breedijk. „Het grootste probleem was uiteindelijk dat mensen de boodschappen niet meer thuis bezorgd konden krijgen. Het heeft nog geen mensenlevens gekost. Maar als straks de stroom een keer uitvalt door een hack – onmogelijk is dat niet – dan doet dat wel iets met mensen.”

Bron: NRC