AI als Aanvalswapen: Een Nieuw Tijdperk in Cybersecurity

Een Keerpunt voor AI-beveiliging

Jarenlang werd in de cybersecuritysector gedebatteerd of kunstmatige intelligentie uiteindelijk meer voordeel zou opleveren voor verdedigers of aanvallers. De derde week van februari 2026 gaf een helder antwoord: voor beide, tegelijkertijd. Binnen slechts zeven dagen lieten drie afzonderlijke incidenten zien dat AI niet langer alleen een instrument is om betere verdedigingen te bouwen — het is tegelijk aanvalsoppervlak, wapen en onbedoelde medeplichtige geworden. Van de eerste Android-malware die generatieve AI inzet tijdens uitvoering, tot een Microsoft Copilot-bug die wekenlang vertrouwelijke e-mails las, en een kritieke kwetsbaarheid in de SDK die ontwikkelaars gebruiken om AI-toepassingen te bouwen — de boodschap is duidelijk. Het tijdperk van AI-gedreven dreigingen is aangebroken, en organisaties die AI-adoptie puur als een kans beschouwen, zijn gevaarlijk onvoorbereid.

PromptSpy: Malware die Zelfstandig Nadenkt

Op 19 februari publiceerden onderzoekers van ESET hun bevindingen over PromptSpy — de eerste bekende Android-malware die generatieve AI gebruikt tijdens uitvoering. In tegenstelling tot traditionele mobiele dreigingen die afhankelijk zijn van vast geprogrammeerde routines, integreert PromptSpy met Google's Gemini API om dynamisch door apparaatinterfaces te navigeren. Wanneer de malware zich moet nestelen op een apparaat, maakt het een screenshot van het huidige scherm, stuurt die naar Gemini en ontvangt stapsgewijze instructies om zichzelf vast te pinnen in de lijst met recente apps. Vervolgens voert het die stappen uit via Android's Accessibility Service, controleert het resultaat en herhaalt het proces tot het lukt. Dit betekent dat de malware zich automatisch aanpast aan elke Android-versie, fabrikant of aangepaste interface — een vermogen waarvoor eerder maanden van handmatige reverse engineering per apparaat nodig waren.

De kern van PromptSpy is een ingebouwde VNC-module die operators op afstand volledige toegang geeft tot het geïnfecteerde apparaat. Het kan vergrendelscherm-gegevens vastleggen, verwijderingspogingen blokkeren, screenshots maken, schermactiviteit opnemen en apparaatgegevens exfiltreren. Hoewel ESET opmerkt dat PromptSpy nog niet in wijdverspreide telemetrie is opgedoken — wat erop wijst dat het nog een proof-of-concept kan zijn — duidt de ontdekking van een distributiedomein gericht op gebruikers in Argentinië erop dat het zich buiten het lab begeeft. Dit is niet de eerste keer dat ESET AI-aangedreven malware heeft ontdekt: PromptLock, een AI-gestuurde ransomware-variant, werd in augustus 2025 gevonden. Het patroon versnelt.

Microsoft Copilot: Wanneer je AI-assistent Leest Wat het Niet Mag

Op 18 februari bevestigde Microsoft dat een bug in Microsoft 365 Copilot stilletjes e-mails las en samenvatte die als vertrouwelijk waren gemarkeerd — waarbij Data Loss Prevention (DLP)-beleid werd omzeild dat expliciet was geconfigureerd om dergelijke toegang te blokkeren. De bug, bijgehouden als CW1226324, werd voor het eerst gedetecteerd op 21 januari en trof de Copilot "werk-tabblad" chatfunctie. Het probleem zorgde ervoor dat Copilot berichten in de mappen Verzonden items en Concepten onjuist verwerkte, inclusief e-mails met vertrouwelijkheidslabels die specifiek waren ontworpen om toegang door geautomatiseerde tools te beperken. Wekenlang deed een AI-tool, vertrouwd voor zakelijke productiviteit, precies wat DLP-beleid moest voorkomen.

Microsoft heeft niet bekendgemaakt hoeveel organisaties getroffen zijn en verklaarde slechts dat het "eerder in februari" een fix begon uit te rollen, terwijl het getroffen gebruikers blijft monitoren. Het incident raakt de kern van een fundamenteel probleem: wanneer je een LLM integreert in je bedrijfsworkflow en brede datatoegang verleent, heb je feitelijk een insider gecreëerd met vrijwel onbeperkte leesrechten. Traditioneel DLP-beleid werd ontworpen voor menselijke gebruikers en deterministische software — niet voor probabilistische AI-systemen die instructies bij elke aanroep anders interpreteren. Dit incident zou een wake-up call moeten zijn voor elke organisatie die AI-assistenten inzet met toegang tot gevoelige bedrijfsgegevens.

Semantic Kernel RCE: Een Gat in de AI-ontwikkelstack

Om de drievoudige dreiging compleet te maken, werd een kritieke remote code execution-kwetsbaarheid (CVE-2026-26030) onthuld in Microsoft's Semantic Kernel Python SDK — het framework dat veel ontwikkelaars gebruiken om LLM's in hun applicaties te integreren. Met een CVSS-score van 9,9 op 10 kan dit lek aanvallers in staat stellen willekeurige code uit te voeren op servers die AI-applicaties op basis van Semantic Kernel draaien. De kwetsbaarheid is bijzonder zorgwekkend omdat Semantic Kernel de basislaag vormt van veel enterprise AI-implementaties. Het is de verbindende code tussen bedrijfslogica en taalmodellen, wat betekent dat een compromittering hier door de gehele AI-stack kan doorwerken. Wanneer de tools die ontwikkelaars gebruiken om AI te bouwen zelf kwetsbaar zijn, wordt de veiligheid van elke applicatie die erop gebouwd is in twijfel getrokken.

De Rode Draad: AI Vergroot het Aanvalsoppervlak

Op zichzelf beschouwd vertelt elk van deze incidenten een specifiek technisch verhaal. Samen bezien onthullen ze een systemisch patroon: elke laag van de AI-stack is nu een potentiële aanvalsvector. Op de applicatielaag krijgen AI-assistenten datatoegang die hun beveiligingsgrenzen overschrijdt. Op de infrastructuurlaag dragen de SDK's en frameworks die AI-applicaties ondersteunen hun eigen kwetsbaarheden. En op de dreigingsactorlaag zetten tegenstanders dezelfde generatieve AI-capaciteiten in als wapen die bedrijven in hoog tempo adopteren. Dit is geen toeval — het is het onvermijdelijke gevolg van het inzetten van krachtige, probabilistische systemen in omgevingen die ontworpen waren voor deterministische, voorspelbare software.

Verdedigingsstrategieën voor het AI-tijdperk

Deze incidenten betekenen niet dat organisaties AI-adoptie moeten opgeven — de concurrentiekosten van achterblijven zijn te hoog. Maar ze eisen een fundamentele verschuiving in hoe bedrijven AI-beveiliging benaderen. De tijd dat AI-tools als gewoon weer een stuk enterprise software werden behandeld, is voorbij. AI-systemen vereisen doelgerichte beveiligingsframeworks die rekening houden met hun unieke kenmerken: probabilistisch gedrag, brede datatoegangsbehoeften en het vermogen om tegelijk tool en doelwit te zijn.

De Weg Vooruit

Februari 2026 zal waarschijnlijk herinnerd worden als de week waarin de cybersecuritysector de duale aard van AI niet langer kon negeren. De technologie die belooft de bedrijfsproductiviteit te revolutioneren, creëert tegelijkertijd aanvalsvectoren waarvoor onze bestaande beveiligingsinfrastructuur nooit is ontworpen. Organisaties die deze dualiteit erkennen en vandaag investeren in AI-bewuste beveiligingsposities, zullen veel beter gepositioneerd zijn dan zij die reageren op het volgende onvermijdelijke incident. De vraag is niet langer of AI zal worden bewapend — dat is al gebeurd. De vraag is of uw verdedigingen even snel evolueren als de dreigingen.