Cyber Security Raad waarschuwt Nederlands kabinet voor securitydreigingen van AI

De Cyber Security Raad waarschuwt het Nederlandse kabinet voor de securitydreiging van AI-gebruik door aanvallers. Na vragen van Tweakers corrigeert de raad fouten in de oorspronkelijke brief. Een ransomwarevoorbeeld bleek niet te kloppen en de grote CrowdStrike-storing was niet AI-gestuurd.

De Nederlandse Cyber Security Raad (CSR) voert aanpassingen door in de zogeheten signaalbrief die hij deze week stuurde aan het kabinet. Het onafhankelijke adviesorgaan stelt dat AI als wapen de digitale veiligheid van Nederland bedreigt. De brief 'Begin vandaag met de kennissprong voor AI-gestuurde cyberaanvallen' bevatte echter enkele onjuistheden, waarover Tweakers vragen stelde.

'Nederland niet voorbereid'

De CSR waarschuwt voor een kennisachterstand op AI-gebied en adviseert het kabinet fors te investeren om die achterstand in te lopen. Nederland is volgens de raad 'niet voorbereid op een nieuwe generatie cyberaanvallen waarbij kunstmatige intelligentie als wapen wordt ingezet'.

De signaalbrief onderbouwt deze zorgen van de raad en geeft drie concrete aanbevelingen. Daarbij bevatte de oorspronkelijke versie van de brief echter opvallende fouten. Zo werd het praktijkvoorbeeld van een ransomwareaanval op een Amerikaanse ziekenhuisketen verkeerd gedateerd en omschreven als AI-gestuurd.

Data naar buiten smokkelen

Deze aanval, waarbij later 22 miljoen dollar losgeld werd betaald, was mogelijk dankzij buitgemaakte inloggegevens. Daarbij bleek de getroffen organisatie geen multifactorauthenticatie op logins te hebben. Voor het naar buiten smokkelen van de medische gegevens van zo'n 190 miljoen mensen was wél sprake van AI-gebruik, vertelt CSR-lid professor Herbert Bos aan Tweakers. Hij erkent dat deze passage niet correct is. De raad heeft deze nu verwijderd uit de brief.

Daarnaast legde de CSR-brief een link tussen de grote CrowdStrike-storing van 2024 en AI-dreigingen. Zulke dreigingen zouden ertoe hebben geleid dat CrowdStrike overhaast updates installeerde bij klanten. De door de raad genoemde dreiging van 'AI-gestuurde scanning en malware' was echter niet aan de orde bij de CrowdStrike-storing. De wereldwijde verstoring van miljoenen Windows-systemen was veroorzaakt door een foute update die securityleverancier CrowdStrike installeerde op systemen van klanten.

Haastige spoed

De Cyber Security Raad wil het punt maken dat AI-gebruik door aanvallende partijen de druk op verdedigers verhoogt. Het verkort 'de tijd tussen de ontdekking van een kwetsbaarheid en het misbruik ervan drastisch', schrijft de raad in de brief. Daardoor is er minder tijd om kwetsbaarheden te verhelpen en dat zou leiden tot 'overhaaste updates'. De passage over de CrowdStrike-storing in de brief is aangevuld.

Reacties (7)

[Tintel]

Wellicht hebben ze zelf AI gebruikt om de brief samen te stellen - die neemt het ook niet niet zo nauw met de waarheid.....

[86ul]

Of ze waren zelf nog niet klaar voor dergelijke cyber security dingen...

[TheDudez]

Of het was AI die voor zichzelf waarschuwde. Of AI VS AI. Of het was juist bedoelt om de Cyber Security Raad in discreet t brengen door AI. We zullen het waarschijnlijk nooit weten.

[DeNachtwacht]

Hmm… ik vind dit helaas nieuwswaardiger dan de titel. Nog voordat het bericht gedeeld is ontdekken jullie er al fouten in… zorgelijk voor iets dat zichzelf cybersecurityraad noemt.

Na vragen van Tweakers corrigeert de raad fouten in de oorspronkelijke brief. Een ransomwarevoorbeeld bleek niet te kloppen en de grote CrowdStrike-storing was niet AI-gestuurd.

[Reactie gewijzigd door DeNachtwacht op 25 maart 2026 15:46]

[ThE_En4CeR]

De brief is inmiddels ook niet meer online op de gegeven link in het artikel. Ik vind het nogal blunders als dit er zo in stond, dan kan ik die hele raad eigenlijk al niet meer serieus nemen.

[M. Schaap]

Ik heb eens even gekeken wie er in die Raad zitten, en raak er - voorzichtig gezegd - niet van onder de indruk. Meer dan de helft zijn hoge ambtenaren, dat zegt denk ik al genoeg.

[Orangelights23]

Als individu die nauwe lijntjes heeft met personen binnen deze raad, kan ik stellen dat het vooral een bestuurlijke functie is en zij zich laten informeren door experts en professionals. Dat betekent dat zij het vooral bestuurstechnisch en bedrijfskundig oppakken, maar inhoudelijk zeker geen experts zijn.