AI-assistenten installeerden code zonder eigenaar in bedrijfsnetwerken, dit betekent het voor jou

Als je een AI-assistent code laat schrijven, verwacht je dat die netjes zijn werk doet. Maar er bleek een vervelende bijwerking te bestaan: Claude, Codex en Hermes, drie assistenten die code schrijven, bleken software te installeren waarvan onduidelijk is wie die beheert. En dat niet in een testopstelling, maar in netwerken van echte bedrijven. Laat dat even tot je doordringen: er draait code in bedrijfsnetwerken waar niemand de baas over is, en een AI heeft hem daar neergezet.

Wat is code zonder eigenaar precies?

Bijna geen enkele software wordt van nul af aan geschreven. Ontwikkelaars, en dus ook AI-assistenten, pakken er losse stukjes code bij, pakketten, die klaarliggen om hergebruikt te worden. Soms is zo'n pakket verlaten: de oorspronkelijke maker is vertrokken, updates komen niet meer en niemand reageert op meldingen. Geen eigenaar betekent geen beveiligingsupdates. En dat soort code draaide nu gewoon mee in bedrijfsnetwerken.

Waarom kon dit gebeuren?

Het antwoord is ongemakkelijk simpel: het is precies waarvoor deze assistenten worden verkocht. De belofte is zelfstandigheid en snelheid, je gooit er een klus in en de AI regelt de rest, inclusief het installeren van wat nodig is. Een menselijke ontwikkelaar twijfelt bij een onbekend pakket en zoekt even na wie erachter zit. Een AI twijfelt niet, die pakt wat het dichtstbij ligt. De kracht van het product is meteen zijn zwakte.

Hier zit de bredere les. AI in je bedrijf is allang geen vraagmachine meer die netjes antwoord geeft als je iets typt. Het voert handelingen uit in je systemen: het bouwt, installeert en wijzigt. Elke handeling die je uitbesteedt, neemt een beslissing over je infrastructuur mee, en beslissingen zonder toezicht zijn precies waar beveiligingsexperts nachtmerries van krijgen. Verlaten code is bovendien een geliefd sluipgat voor aanvallers: neem de controle over zo'n pakket over en je staat van binnenuit in het netwerk, zonder dat er ook maar één alarm afgaat.

Wat kun jij ermee?

Gebruik je AI-assistenten die code schrijven of installeren? Spreek dan af dat een mens elke installatie goedkeurt voordat die gebeurt. Houd bij welke pakketten je projecten gebruiken en check periodiek of die nog onderhouden worden. Dat is saai, degelijk werk, maar het is het verschil tussen een gecontroleerd proces en een gok. Wil je weten waar jouw organisatie nu al staat met AI en welke risico's daarbij spelen, dan is de AI Quickscan een goed beginpunt.

Bron: het oorspronkelijke artikel.