Voor het eerst kan de aanvaller verliezen

“And this is the first time in my career in security where it’s actually possible, or even probable, that the attacker might lose the game in the end.” 

Dat zei Taesoo Kim in een interview dat Microsoft publiceerde bij de aankondiging van Project Perception. Kim won vorig jaar met Team Atlanta de AI Cyber Challenge van DARPA en is sinds een half jaar VP of Security Research bij Microsoft, waar hij de nieuwe Microsoft Security FORGE Labs leidt. Hij zei het over zijn eigen vakgebied en niet over één product. Wie het afgelopen jaar heeft gevolgd, weet hoe opmerkelijk zo’n uitspraak is. 

Want het afgelopen jaar ging vooral de andere kant op. In februari belde iemand in vloeiend Nederlands de helpdesk van Odido, deed zich voor als interne IT en bewoog een medewerker ertoe in te loggen op een valse pagina. Dat deel bevestigde de politie. Volgens het relaas van de aanvallers zelf liep het daarna via het CRM-systeem naar een export van de gegevens van ruim zes miljoen mensen. Geen zero-day: een overtuigende stem en een account met te veel rechten. 

In dezelfde periode stortten de kosten van het vinden van échte kwetsbaarheden in. In de finale van DARPA’s AI Cyber Challenge vonden de deelnemende systemen achttien echte, niet-kunstmatig geplante kwetsbaarheden en leverden ze elf patches. Tim Becker, onderzoeker bij Theori, zei tegen The Verge dat werk waar hij weken of maanden over deed nu uren kost. En in juli kregen modellen van OpenAI tijdens een interne evaluatie via een zero-day toegang tot internet en compromitteerden ze Hugging Face, dat de inbraak zelf publiceerde. 

Technisch hebben die drie weinig met elkaar te maken. Wat ze delen is tempo en schaal aan de aanvalskant. Eerder deze maand schreven we dat wie volledig op menselijke snelheid vertrouwt structureel achterloopt. Sinds vorige week staat daar een antwoord tegenover. 

De Cyber Stack als gelaagd systeem, met de rode, blauwe en groene agents die er dwars doorheen werken.  

Wat Microsoft heeft aangekondigd 

Op 27 juli introduceerde Microsoft Project Perception, een beveiligingssysteem dat werkt met zelfstandig handelende AI-agents. De aanleiding, in de woorden van Hayete Gallot, de executive vice president die Microsoft Security leidt: de fysica van cybersecurity verandert, en de aanpak die werkte tegen menselijke aanvallers houdt geen tempo in een wereld van AI en agents. 

Wat hieronder volgt is hoe Microsoft het systeem beschrijft. Perception coördineert drie soorten agents, en de kleuren staan voor echt verschillende rollen. 

• Rode agents onderzoeken continu de aanvalspaden die in de beschikbare securitycontext zichtbaar zijn, en leggen gaten in je detectiedekking bloot. 

• Blauwe agents triageren meldingen, reconstrueren wat er is gebeurd en bepalen wat werkelijk risico is. 

• Groene agents repareren en verharden: de beveiligingshouding analyseren, blootstelling valideren, herstelacties prioriteren en doorvoeren. 

Samen vormen ze een loop. Rood vindt, blauw beoordeelt, groen herstelt, en dat verandert wat rood de volgende keer vindt. De mens hoort in die loop te blijven voor de besluiten die ertoe doen. 

Onder die agents zit een stack van zes lagen. 

De zes lagen van de Cyber Stack, van signalen tot actuators.  

Signalen en sensoren geven zicht op de omgeving. Security context maakt daar een weergave van waarover een agent kan redeneren. Modellen leveren het redeneren, een harness (de orkestratielaag) stuurt modellen en agents aan, de agents doen het werk in securityworkflows, en actuators zetten een besluit om in een verandering in de omgeving. Die laatste laag is de minst besproken en misschien de moeilijkste. Herstellen kan alleen als iemand de knoppen bezit. Denk aan handhavingspunten zoals Conditional Access, het isoleren van een apparaat, het intrekken van tokens of beleid voor gegevensverliespreventie (DLP). Microsoft heeft dat soort knoppen in de eigen stack, en dat is volgens Microsoft precies waarom dit type loop daar kan landen. 

Er kwamen twee namen bij. MAI-Cyber-1-Flash is het eerste model dat Microsoft speciaal voor security bouwde. Dat zit in MDASH, een team van agents dat code scant op kwetsbaarheden, en MDASH is een van de bronnen die Perception voeden. Volgens Microsoft haalt die combinatie 96 procent op de CyberGym-benchmark, twaalf punten boven Mythos, tegen ongeveer de helft van de kosten van de MDASH-configuratie die Microsoft nu al in de markt heeft. Dat zijn cijfers over deze ene werkstroom, het vinden en herstellen van kwetsbaarheden in code. 

Waarom dit de spelregels verandert 

De drie processen hieronder bestonden ieder afzonderlijk al. Wat verandert, is dat ze in één gesloten cyclus komen te zitten, op een frequentie die in de praktijk zelden lukte. 

Verdediging zoekt continu in plaats van periodiek. Wie werkt vanaf een lijst met bekende kwetsbaarheden, zoekt in een kleinere ruimte dan de aanvaller doorzoekt. Een rode agent die dag en nacht draait komt dichter bij die ruimte, voor zover die in de securitycontext zichtbaar is. Wat daarbuiten valt, blijft buiten beeld: onbeheerde assets, leveranciers, de telefoon. 

De afstand tussen weten en dichten wordt korter. Dit vind ik zelf het interessantste deel. De meeste securityprogramma’s zijn goed in het vinden van zwakke plekken en slecht in het dichten ervan, want een bevinding wordt een ticket en dat ticket wordt een sprint. Een cyclus waarin groen doorpakt op wat blauw beoordeelde, kan die afstand flink inkorten.  

Waar zo’n cyclus niet voor is: hij reikt niet in een export die al loopt. Het Odido-scenario waarmee dit stuk opent vraagt om preventie in het pad zelf en om accounts zonder overtollige rechten. Vinden, beoordelen en herstellen verkleint de kans dat zo’n pad er nog ligt. Een lopende exfiltratie houdt het niet tegen. Gelukkig is dat al af te dekken met Microsoft Purview. 

Mustafa Suleyman schreef bij de aankondiging dat tokenkosten inmiddels de echte beperking voor verdedigers zijn. Een aanval is een uitbarsting van uren of dagen tegen één doel. Verdedigen gebeurt continu, over alles wat je hebt, zonder einddatum. Dezelfde prijs per handeling levert dan heel verschillende rekeningen op. Het antwoord van Microsoft is routeren: een goedkoop gespecialiseerd model doet het volume, het dure model alleen de moeilijke rest. Goedkopere modellen helpen de aanvaller natuurlijk net zo goed. DARPA rekende voor dat een opdracht in de finale gemiddeld zo’n 152 dollar kostte, en dat laat zien hoe hard het die kant op gaat. Het verschil is dat de verdediger nu een manier heeft om het volume te dragen. 

Waarom Wortell hier nu al bij betrokken is 

Wortell is de enige Nederlandse partner die meedoet aan het design-partnerprogramma rond Perception. We toetsen het systeem in de praktijk terwijl het nog in ontwikkeling is, en onze bevindingen komen rechtstreeks bij het productteam van Microsoft terecht. Voor onze klanten scheelt dat tijd: we leren nu al wat dit soort verdediging vraagt van een omgeving, voordat het algemeen beschikbaar is. 

Wat dit betekent voor jouw organisatie 

Kijk eerst waar Perception op draait. 

Van signalen en sensoren, via security context, naar de rode, blauwe en groene agents.  

De signaalbronnen zijn onder meer Microsoft Defender for Endpoint, Entra ID, Microsoft Sentinel, Microsoft Purview en Microsoft Azure; gedrags­analyse op gebruikers en entiteiten, Exposure Management en threat intelligence.  

Perception is dus geen nieuw platform dat je ernaast zet. Het is dezelfde data die je vandaag al verzamelt voor detectie en threat hunting, in een vorm die agents kunnen gebruiken. Wie zijn security strategie al heeft geconsolideerd op Microsoft Defender XDR en Sentinel, heeft het fundament waar dit soort agents op rekent. 

Voor onze klanten van Managed eXtended Detection and Response (MxDR) is dat concreet. Jullie omgeving levert die telemetrie, en het consolidatiewerk dat we samen hebben gedaan is nu de voorwaarde. Voor wie die stap nog niet heeft gezet is de conclusie net zo concreet. Instappen op MxDR regelt 24/7 detectie en respons vanuit ons Cyber Defense Center en legt tegelijk de telemetrielaag klaar waar dit type agents op werkt. 

Waar dit heen gaat 

Het eerste is dat de mens niet uit beeld verdwijnt. Tim Russell, Cybersecurity Director bij Nationwide Building Society, een van de eerste organisaties die met Perception werkt, zegt het zo: “This technology helps to amplify their skill sets, not to replace them.” Die verschuiving kennen we uit onze eigen MxDR-dienst. Daar reageren we al op meer dan 80 procent van de aanvallen automatisch binnen enkele seconden, en dat heeft geen analist vervangen. Het verschoof hun werk naar de gevallen waar oordeel telt en naar het bouwen van het proces zelf. Agents versnellen die beweging. Het is dezelfde beweging. 

Het tweede is dat snelheid zonder verantwoording weinig waarde heeft. De Cyberbeveiligingswet, waarmee Nederland de Europese NIS2-richtlijn invoert en die op 15 augustus in werking treedt, legt zorgplicht, meldplicht en bestuurlijke verantwoordelijkheid vast. Het gaat er niet alleen om of je tooling hebt, maar of je je maatregelen en incidentafhandeling kunt onderbouwen. Een agent die iets aanpast in je omgeving maakt die vraag scherper. Daarom telt een dienst die per incident vastlegt wat er is gezien, besloten en gedaan, of dat nu door een analist gebeurde of door een agent. 

Kim mag optimistisch zijn over de uitkomst. Wat hij beschrijft is nog steeds een race. Wat verandert, is dat de kant die de knoppen in de omgeving bezit voor het eerst met dezelfde middelen mee kan doen. 

Drie vragen om jezelf te stellen 

• Hoe lang duurt het bij ons tussen het vinden van een zwakke plek en het dichten ervan? En weten we dat, of denken we het? 

• Staat onze detectie op één geconsolideerd fundament, of nog verdeeld over losse tools? 

• Kunnen we aan directie en toezichthouder uitleggen wat er bij het laatste incident is gebeurd, en op basis van welk bewijs? 

De antwoorden zeggen veel over de weerbaarheid van je organisatie. Wil je weten wat verdediging met AI-agents betekent voor jouw omgeving, en of dat telemetriefundament er al ligt? Onze securityspecialisten denken graag met je mee. We beginnen bij feitelijk inzicht in waar je nu staat.