Enterprises werken op grote schaal met AI-tools die kwetsbaar zijn voor cyberaanvallen

De situatie hangt grotendeels samen met het tempo waarin organisaties generatieve AI invoeren. Uit angst achter te raken op concurrenten nemen bedrijven AI-tools in gebruik buiten het zicht van de IT-afdeling of zonder adequate beveiliging. De tools hebben vervolgens directe toegang tot kritieke bedrijfssystemen en data.

Een derde kampt met actief misbruikte kwetsbaarheden

Een derde van de onderzochte bedrijven (33 procent) had te maken met bekende kwetsbaarheden die openbaar toegankelijk waren. Die werden op dat moment actief misbruikt en stonden op de officiële lijst van de Amerikaanse cyberbeveiligingsdienst CISA. In totaal vonden de onderzoekers meer dan 1.200 kwetsbare systemen.

De mogelijke gevolgen zijn groot. In de meest extreme gevallen geeft één gestolen wachtwoord toegang tot meer dan 62.000 interne applicaties en systemen. Configuraties waarbij één account toegang heeft tot tienduizenden systemen blijken eerder de regel dan de uitzondering. Deze grote ‘blast radius’ komt vooral door gebrekkige interne segmentatie.

“AI doet in een ongekend tempo zijn intrede in organisaties, maar beveiligingsmechanismen ontwikkelen zich niet in hetzelfde tempo. Veel bedrijven laten daardoor hun generatieve AI-tools onbeheerd en kwetsbaar. AI-governance en -beveiliging moeten vanaf het begin prioriteit krijgen, niet pas nadat er een beveiligingslek heeft plaatsgevonden”, aldus Albert Kramer, Manager Solutions Consulting Benelux bij Zscaler.

Ontbrekende governance als oorzaak

De onderzoekers zien de oorzaak van het gebrek aan controle niet alleen in technologische frameworks. Vooral ontbreken governanceprocessen en identiteitsverificatie die zijn afgestemd op de nieuwe situatie. Daarnaast wordt AI nog te weinig defensief ingezet. Traditionele beveiliging schiet tekort tegen moderne, autonome AI-tools van het type Mythos, die systemen razendsnel scannen en uitbuiten.

Een meerderheid van de organisaties (87 procent) heeft de tools om de meest kritieke lekken te dichten al in huis. Van de 38 onderzochte bedrijven kunnen er 33 de gevaarlijkste kwetsbaarheden volledig dichten zonder extra uitgaven aan softwarelicenties. CIO’s hoeven daarvoor dus niet bij de board aan te kloppen voor extra budget.

De meeste winst zit in het volledig activeren of configureren van bestaande tools. Bij 37 procent van de bedrijven werden beveiligingsmechanismen zoals Data Loss Prevention (DLP) nauwelijks gebruikt. Bij 68 procent werden geavanceerde misleidingstools helemaal niet ingezet, terwijl daar wel voor was betaald. Door bestaande tools te activeren kan 87 procent van de bedrijven de beveiligingsscore binnen 90 dagen verhogen naar 91, van een gemiddelde totale score van 37.

Vijf verdedigingsstrategieën

De beveiligingsscore combineert vijf gewogen verdedigingsstrategieën. Ze meten de veerkracht van een organisatie tegen een tegenstander van de Mythos-klasse. Dat is een geavanceerd AI-model dat op machinesnelheid werkt en autonoom kan verkennen, kwetsbaarheden kan uitbuiten en zich lateraal door systemen kan bewegen.