Meer dan honderd techbedrijven — waaronder OpenAI, Anthropic en Google — doen deze week iets wat ze zelden doen: gezamenlijk publiekelijk alarm slaan. Hun boodschap is ongemakkelijk helder: AI-aangedreven cyberaanvallen op vitale infrastructuur zijn niet langer een ver-van-je-bed-show, maar een dreiging die eraan komt.
Wat er precies is gebeurd
De bedrijven ondertekenden een open brief waarin ze waarschuwen dat AI-systemen binnenkort in staat zijn om zelfstandig cyberaanvallen uit te voeren op kritieke infrastructuur — denk aan energienetwerken, ziekenhuizen, waterzuivering en betalingsverkeer. De oproep: overheden en bedrijven moeten nú actie ondernemen om zich te verdedigen, voordat de aanvallers de voorsprong pakken.
Het opmerkelijke is niet de waarschuwing zelf, maar wie hem doet. Dit zijn de bedrijven die de AI-modellen bouwen. Ze waarschuwen in feite voor de risico's van hun eigen technologie. Dat is geen marketingpraatje — dat is een signaal dat de dreiging serieus wordt genomen op het hoogste niveau.
Waarom dit jouw bedrijf raakt
Je denkt misschien: vitale infrastructuur, dat is iets voor overheden en grote energiebedrijven. Maar de realiteit is anders. Vitale infrastructuur draait voor een groot deel op dezelfde software, dezelfde leveranciers en dezelfde kwetsbaarheden als jouw bedrijf. En MKB-bedrijven zijn vaak de zwakste schakel in de keten.
Verrassend genoeg zijn kleine bedrijven juist het favoriete doelwit. Niet omdat ze interessant zijn, maar omdat ze makkelijk zijn. Een AI-agent die zelfstandig kwetsbaarheden scant, vindt bij een MKB'er met verouderde software sneller een ingang dan bij een bank met een heel beveiligingsteam. Jouw bedrijf is niet het doelwit — het is de opstap.
De Nederlandse realiteit
Nederland is een van de meest gedigitaliseerde landen ter wereld, en dat is een tweesnijdend zwaard. Onze vitale sectoren — van de Rotterdamse haven tot de zorg — zijn sterk afhankelijk van digitale systemen. Tegelijkertijd worstelt een groot deel van het Nederlandse MKB met de basis van cybersecurity: verouderde software, zwakke wachtwoorden en geen back-ups.
Het Nationaal Cyber Security Centrum waarschuwt al jaren dat de digitale weerbaarheid van het MKB achterblijft. Een AI-aangedreven aanvalsgolf zou die zwakte genadeloos blootleggen. De vraag is niet of jouw bedrijf ooit wordt aangevallen, maar of je er klaar voor bent als het gebeurt.
Neem een accountantskantoor met vijftien medewerkers dat de administratie van tientallen mkb-klanten beheert. Eén succesvolle aanval op dat kantoor geeft een aanvaller toegang tot de financiële data van al die klanten tegelijk. Voor een AI-agent die automatisch naar binnen glipt via een verouderde mailserver, is zo'n kantoor een goudmijn — niet vanwege het kantoor zelf, maar vanwege alles wat erachter hangt.
Wat dit voor jouw beveiliging betekent
De boodschap van de open brief is eigenlijk simpel: de aanvallers worden slimmer en sneller, dus de verdediging moet ook omhoog. Voor jou als MKB'er betekent dat geen dure beveiligingsoperatie, maar wél de basis op orde brengen. Want een AI-aanval is nog steeds een aanval — en die stuit op dezelfde basismaatregelen als elke andere aanval.
Het goede nieuws: dezelfde AI die aanvallers gebruiken, kun jij ook inzetten voor je verdediging. AI-tools kunnen je netwerk monitoren, verdachte activiteit signaleren en sneller reageren dan een mens. De technologie is er — het gaat erom dat je hem gebruikt.
De domino die eraan komt
De dreiging ontwikkelt zich in stappen. Eerst worden AI-tools gebruikt om bestaande aanvallen sneller en goedkoper te maken — phishingmails die perfect Nederlands schrijven, kwetsbaarheden die automatisch worden gevonden. Daarna komen de agents die zelfstandig een hele aanval uitvoeren, van verkenning tot uitvoering. De open brief waarschuwt dat die tweede fase dichterbij is dan de meeste bedrijven denken.
Voor jou betekent dat: wacht niet tot de aanval er is. De bedrijven die nu de basis op orde brengen, zijn straks de bedrijven die een AI-aanval overleven. De bedrijven die wachten, zijn de bedrijven die in het nieuws komen — om de verkeerde reden.
Drie actiepunten
1. Doe de basis goed. Werk software bij, gebruik sterke en unieke wachtwoorden, en zet tweestapsverificatie aan. Dit stopt het overgrote deel van de aanvallen.
2. Maak back-ups en test ze. Een back-up die je nooit hebt teruggezet, is geen back-up. Test maandelijks of je je data echt kunt herstellen.
3. Weet wie je belt bij een incident. Zorg dat je een plan hebt: wie is verantwoordelijk, wie schakel je in, en hoe communiceer je met klanten als het misgaat.
De aanvallers van morgen zijn slimmer dan die van vandaag. Maar de verdediging begint nog steeds met dezelfde simpele stappen — en die kun je vandaag al zetten.