Mythos AI verhoogt het cybertempo: 5 aandachtspunten voor organisaties

Krachtige AI-modellen zoals Mythos vinden kwetsbaarheden sneller, testen aanvalspaden op grotere schaal en vergroten de hoeveelheid signalen voor securityteams. De vraag is of organisaties hun   cyberweerbaarheid snel genoeg laten meebewegen. Met deze vijf aandachtspunten houden organisaties grip, ook als AI het cybertempo verder opvoert.

Mythos is de codenaam van een nieuw, krachtig AI-model van Anthropic, het bedrijf achter Claude. Het model is nog niet publiek beschikbaar. Via Project Glasswing heeft Anthropic ongeveer 52 technologie- en securitypartijen uitgenodigd om Mythos te testen, waaronder Google, AWS, Palo Alto Networks en Microsoft. Zo krijgen deze partijen de kans om kwetsbaarheden in grote technologieplatforms vroegtijdig te identificeren en te verhelpen, voordat kwaadwillenden vergelijkbare technologie inzetten.

Tijdens het webinar ‘Mythos: Understanding the phenomenon and its impact on your cybersecurity’ bespraken experts van Orange Cyberdefense wat deze ontwikkeling betekent voor organisaties en welke maatregelen nu prioriteit verdienen.

“Wat Mythos onderscheidt is niet zozeer dat het kwetsbaarheden vindt, dat kan een ervaren onderzoeker ook”, nuanceert Sebastiaan de Vries, Consulting & Advisory Lead bij Orange Cyberdefense. “Het verschil zit in de schaal en het tempo. Een senior expert heeft zo’n twintig uur nodig om een volledige aanvalsketen te doorlopen. Mythos doet datzelfde werk een stuk sneller, zonder pauze, en kan duizend varianten tegelijk uitproberen. Dat is een ander gesprek.”

Die versnelling vraagt om een andere benadering van risicomanagement. Deze vijf aandachtspunten helpen organisaties om die omslag concreet te maken:

1. Kijk verder dan losse kwetsbaarheden

Mythos draait niet alleen om het vinden van losse kwetsbaarheden. In een gecontroleerde testomgeving moest het model een netwerk binnendringen en stap voor stap meer rechten krijgen. Mythos slaagde daar drie van de tien keer in, een opmerkelijk hoog slagingspercentage en een forse stap vooruit ten opzichte van eerdere modellen.

De testomgeving had geen actief SOC dat meekeek, geen blue team dat ingreep en geen monitoring die opvallend gedrag kon afvangen. Een goed beveiligde bedrijfsomgeving ziet er anders uit.

Toch is het signaal belangrijk. AI koppelt technische stappen sneller aan elkaar, waardoor de weg van een zwakke plek naar een bruikbaar aanvalspad korter wordt. AI kan bovendien de drempel verlagen voor minder ervaren aanvallers, ook in gespecialiseerde omgevingen zoals OT. Voor organisaties verschuift daarmee de centrale vraag: welke kwetsbaarheden vormen een realistisch aanvalspad in onze omgeving? Voorheen werd die vraag vooral door grote banken gesteld, maar nu is die relevant voor veel meer organisaties.

2. Maak patchmanagement risicogestuurd

Veel organisaties hebben nu al moeite om kwetsbaarheden snel genoeg te patchen. Nieuwe AI-modellen vergroten die druk. Als Mythos of vergelijkbare modellen meer kwetsbaarheden blootleggen, moet iemand al die patches ook testen, plannen en uitrollen.

Een standaard patchtermijn van dertig dagen kan te traag zijn voor kwetsbaarheden die aanvallers snel kunnen misbruiken. Tegelijk kunnen organisaties niet alles tegelijk patchen. Sommige updates vragen downtime, extra testwerk of afstemming met de business.

Patchmanagement moet daarom risicogestuurder worden. “Het gaat niet langer alleen om de kwetsbaarheid met de hoogste CVSS-score, maar om de kwetsbaarheid die in jouw omgeving het grootste risico oplevert. Een lager beoordeelde kwetsbaarheid kan urgenter zijn als deze ook echt misbruikt kan worden”, zegt De Vries. “Bronnen zoals het CISA KEV-register kunnen daarbij helpen.”

3. Versnel detectie, maar houd mensen aan het stuur

Als aanvallers sneller testen, scannen en misbruiken, groeit ook het aantal signalen aan de verdedigingskant. SOC-teams krijgen meer meldingen, meer verdachte patronen en meer incidenten om te beoordelen.

Daar ligt een belangrijke rol voor AI. Securityteams kunnen het inzetten voor snellere triage, het samenvatten van incidentinformatie, het herkennen van patronen en het prioriteren van meldingen. XDR-, SIEM- en SOC-platformen krijgen daardoor een grotere rol in het verwerken van volume.

Toch lost AI het capaciteitsprobleem niet automatisch op: waar een analist met AI-ondersteuning meer cases per dag kan behandelen, verwachten wij dat de stroom aan signalen ook toeneemt. Menselijke expertise blijft daarbij onmisbaar. “AI moet securityteams ondersteunen, niet vervangen”, aldus De Vries. “De mens blijft nodig om de juiste afweging te maken. Zeker in processen waar een fout grote impact heeft.”

4. Word een Pokémon-trainer

Securityteams die AI willen inzetten, staan voor een keuze: één generalistisch model dat alles doet, of een samengesteld geheel van gespecialiseerde agents die elk een specifieke taak uitvoeren. De praktijk wijst richting het tweede. Volgens De Vries moeten we securityteams laten denken als Pokémon‑trainers. “Niet één almachtige AI die alles doet, maar een zorgvuldig samengesteld team van gespecialiseerde agents, elk goed in een specifieke taak.”

Dat geldt voor aanval én verdediging. Organisaties die AI willen inzetten voor continue red teaming, geautomatiseerde triage of kwetsbaarheidsscanning, doen er goed aan per use case te bepalen welk model of welke agent daar het beste bij past. Menselijk toezicht blijft daarin de constante factor: AI kan snel mislopen als de instructies niet kloppen of als de context ontbreekt.

5. Houd de basis op orde en betrek de board

De komst van Mythos betekent niet dat organisaties hun bestaande aanpak kunnen loslaten. Een goed ingericht netwerk met actieve monitoring stopt ook een krachtig AI-model: in de testsituaties had Mythos vrij spel, juist doordat er geen SOC of blue team aanwezig was.

De basis blijft het fundament: multifactorauthenticatie, goed patchmanagement, actuele assetinformatie, netwerksegmentatie, securitymonitoring, training van medewerkers, duidelijke incidentresponsprocessen en zicht op SaaS, cloud, IoT en OT. “Netwerksegmentatie en MFA zorgen ervoor dat een aanvaller, ook een AI-gedreven aanvaller, meer stappen nodig heeft. Die tijd is goud waard”, zegt De Vries.

Die basis vraagt ook om bestuurlijke keuzes. Dit gesprek hoort daarom niet alleen bij de CISO. Generatieve AI raakt budget, risicoacceptatie, downtime, tooling, mensen en governance. Bestuurders moeten begrijpen wat het hogere cybertempo betekent voor hun organisatie. Een meerjarenroadmap blijft nuttig, maar is niet genoeg. Organisaties moeten ook bepalen wat er de komende dertig, vijfenveertig en negentig dagen verandert.

Mythos is vooral een signaal

Mythos is waarschijnlijk niet het eindpunt. OpenAI, Google en andere AI-labs ontwikkelen modellen met vergelijkbare of bredere capaciteiten. De echte vraag draait dan ook niet om wat organisaties met Mythos aan moeten, maar hoe ze zich kunnen aanpassen aan de versnelling die AI veroorzaakt.

Het advies uit het webinar is helder: denk eerst, handel daarna snel. Breng in kaart welke AI-toepassingen voor jouw organisatie relevant zijn. Versterk de basis. Train securityteams. Bespreek de impact op boardniveau. En zorg dat patchmanagement, detectie en incidentrespons hetzelfde tempo aankunnen als de dreiging.

Webinar terugkijken

Wil je meer weten over Mythos en de impact van generatieve AI op cybersecurity? Kijk het webinar 'Mythos: Understanding the phenomenon and its impact on your cybersecurity' terug. Experts van Orange Cyberdefense bespreken wat Mythos wel en niet is, wat dit betekent voor patchmanagement, detectie en incidentrespons, en hoe organisaties zich praktisch kunnen voorbereiden.

Bekijk het webinar terug: