“Geen toegang.”
Voor mensen is dat meestal duidelijk genoeg. Je stopt, draait je om en zoekt iemand met een sleutel.
Voor een AI-agent die een Australisch overheidsportaal onderzocht, bleek het vooral een omleidingsbord.
Het model liep tegen blokkades aan, maar probeerde vervolgens andere routes om de gevraagde informatie te bereiken. Daarmee kreeg het ongeautoriseerde toegang tot delen van het portaal.
Dat is op zichzelf al opvallend. Maar vooral de schaal waarop dit soort digitale verkenning kan plaatsvinden, verdient aandacht.
Wat gebeurde er in Australië?
In juni gebruikte een onderzoeksteam van OpenAI een intern AI-model om op internet informatie te verzamelen over publieke medicijnuitgaven.
Tijdens die taak bezocht het model verschillende Australische overheidswebsites. Bij een portaal van Services Australia kreeg het niet direct toegang tot de gezochte informatie. In plaats van daar te stoppen, probeerde het model alternatieve manieren om verder te komen.
Dat leidde tot ongeautoriseerde toegang tot publieke en niet-publieke onderdelen van het systeem. Volgens de Australische overheid heeft het model ook bestanden naar de interne server geschreven. Wat daar precies is gebeurd, wordt nog onderzocht.
Het ging om een losstaand, publiek toegankelijk statistiekportaal met geaggregeerde informatie. Op basis van het huidige onderzoek zijn geen persoonlijke Medicare-gegevens ingezien en is er geen bewijs voor een bredere compromittering van het netwerk.
Dat is geruststellend.
Maar het maakt het incident niet onbelangrijk.
Een digitale deur kan prima op slot lijken
Een bordje met “geen toegang” is nog geen beveiliging.
Dat klinkt logisch. Toch zijn digitale landschappen vaak historisch gegroeid. Er komt een website bij voor een project. Een leverancier registreert een domein. Een applicatie blijft na afloop van een programma nog even online.
Dat “nog even” blijkt vervolgens opvallend rekbaar.
Na een paar jaar weet niemand meer precies wie eigenaar is. De oorspronkelijke projectleider werkt inmiddels ergens anders. Het certificaat verloopt binnenkort. En de enige documentatie staat waarschijnlijk in een map met een naam als:
Websiteoverzicht_incl-eigenaren_definitief_v2.4.xslx
Zo kan een organisatie tientallen of honderden digitale deuren hebben, zonder volledig te weten waar ze zitten en wie de sleutel beheert.
Sommige deuren zijn goed beveiligd.
Andere worden vooral dichtgehouden door een plantenbak.
AI verandert vooral de schaal
Websites automatisch onderzoeken is niet nieuw. Scanners, bots en andere geautomatiseerde hulpmiddelen bestaan al jaren.
AI voegt daar iets aan toe: systemen kunnen steeds zelfstandiger informatie verzamelen, technische signalen interpreteren en alternatieve routes proberen wanneer de eerste poging niet werkt.
Wat vroeger veel handwerk en geduld vroeg, kan daardoor sneller en op grotere schaal gebeuren.
Dat betekent niet dat iedere AI-agent automatisch een aanvaller is. Het Australische incident ontstond tijdens een interne onderzoekstaak en niet tijdens een klassieke cyberaanval.
Maar de onderliggende ontwikkeling is wel relevant.
Als geautomatiseerde systemen sneller je digitale landschap kunnen onderzoeken, wil je dat landschap zelf minstens zo goed kennen.
De jaarlijkse controle is een momentopname
Veel organisaties controleren hun websites en applicaties rond een audit, een penetratietest of een jaarlijks verantwoordingsmoment.
Dat levert waardevolle informatie op. Alleen blijft het een foto.
En digitale landschappen hebben de vervelende gewoonte om na de foto gewoon verder te bewegen.
Certificaten verlopen. Scripts veranderen. Leveranciers verhuizen systemen. Nieuwe domeinen verschijnen. Oude websites blijven langer actief dan gepland. Kwetsbaarheden worden bekend nadat de controle al is afgerond.
Een jaarlijkse controle vertelt je hoe de situatie op dat moment was.
Voor structurele digitale weerbaarheid wil je ook weten wat er daarna gebeurt.
Daarvoor heb je eerst een actueel en compleet beeld nodig:
- Welke websites, applicaties en domeinen hebben we?
- Wie is waarvoor verantwoordelijk?
- Welke voorzieningen zijn verouderd?
- Waar zien we technische afwijkingen of kwetsbaarheden?
- Welke signalen vragen nu om actie?
- Kunnen we aantonen wat we met die signalen hebben gedaan?
Geen exotische vragen.
Wel vragen die lastig te beantwoorden zijn wanneer de informatie verspreid staat over spreadsheets, mailboxen, ticketsystemen en het geheugen van die ene collega die vandaag vrij is.
Van technisch signaal naar concrete actie
Met Kea brengen we informatie over het digitale landschap samen.
Automatische controles geven onder meer inzicht in SSL/TLS, certificaten, scripts, hosting en kwetsbaarheden. Daardoor ontstaat niet alleen een lijst met technische bevindingen, maar ook een basis om risico’s te koppelen aan eigenaarschap en verbeteracties.
Want een verlopen certificaat vinden is nuttig.
Weten wie het moet oplossen is nuttiger.
En kunnen volgen of dat ook gebeurt, maakt het aantoonbaar.
Zo ondersteunt hetzelfde overzicht twee doelen. Je werkt gestructureerd aan compliance én versterkt de digitale weerbaarheid van de organisatie.
Niet met nóg een los lijstje, maar door technische signalen, verantwoordelijkheden en acties met elkaar te verbinden.
Weet waar je deuren zitten
Het Australische incident wordt nog onderzocht. Nieuwe feiten kunnen het beeld verder aanvullen.
De eerste les is ondertussen vrij eenvoudig.
“Geen toegang” werkt beter als je weet waar al je digitale deuren zitten, wie de sleutels beheert en welke deur al jaren alleen nog wordt beschermd door goede bedoelingen.
Aanvallers en geautomatiseerde systemen wachten niet tot de jaarlijkse controle.
Laten we het overzicht daarom ook niet jaarlijks organiseren.
Benieuwd hoe compleet het beeld van jullie digitale landschap is? Laten we er eens met een kop koffie naar kijken.
Bronnen: Australische premier, Australische overheid en NOS
