ENISA waarschuwt dat AI nieuwe kwetsbaarheden in slechts 15 minuten als wapen kan inzetten

Het Agentschap van de Europese Unie voor cyberbeveiliging (ENISA) waarschuwt dat frontier-AI de tijd die nodig is om pas ontdekte kwetsbaarheden als wapen in te zetten, kan terugbrengen tot slechts 15 minuten, zo schrijft Security Affairs.

De waarschuwing komt uit het rapport van ENISA van juli 2026, Cyberbeveiliging in het frontier-AI-tijdperk, waarin wordt betoogd dat AI vrijwel elke fase van een cyberaanval versnelt, van verkenning en exploitatie tot datadiefstal.

AI versnelt cyberaanvallen drastisch

ENISA stelt dat de mediane tijd tussen een initiële compromittering en datadiefstal nu kan dalen tot ongeveer 72 minuten.

Nog zorgwekkender is dat aanvallers een pas ontdekte kwetsbaarheid mogelijk binnen 15 minuten als wapen kunnen inzetten.

AI-aangedreven systemen kunnen werk automatiseren waarvoor eerder aanzienlijk handmatig onderzoek en technische expertise nodig was, waardoor aanvallers veel sneller te werk kunnen gaan dan traditionele beveiligingsteams.

AI-tools vinden veel meer kwetsbaarheden

ENISA wees ook op een organisatie die voorheen ongeveer 80 CVE’s per kwartaal identificeerde.

Na de introductie van AI-tools zou dat aantal naar verluidt zijn gestegen tot ongeveer 500 kwetsbaarheden per dag.

De toename laat zien hoe AI de ontdekking en analyse van kwetsbaarheden aanzienlijk kan opschalen, wat een groeiende uitdaging vormt voor organisaties die nog afhankelijk zijn van langzamere handmatige processen.

ENISA waarschuwt voor een “Authority Gap”

ENISA beschrijft een ander opkomend probleem als de “Authority Gap”.

De term verwijst naar situaties waarin interne goedkeurings- en besluitvormingsprocessen langer duren dan een geautomatiseerde aanval nodig heeft om persistentie in een netwerk te vestigen.

Beveiligingsteams kunnen een ernstig probleem snel identificeren, maar handmatige beoordelings-, autorisatie- en remediëringsprocedures kunnen voorkomen dat ze met dezelfde snelheid reageren als AI-aangedreven aanvallers.

Dat kan traditionele workflows voor kwetsbaarheidsbeheer steeds ineffectiever maken.

ENISA wil dat organisaties remediëring automatiseren

ENISA beveelt aan om middelen te verschuiven van alleen maar het vinden van meer kwetsbaarheden naar snellere prioritering en remediëring.

Organisaties kunnen geautomatiseerde triagesystemen gebruiken, zoals het Exploit Prediction Scoring System (EPSS) en Vulnerability Exploitability Exchange (VEX), om te bepalen welke kwetsbaarheden de snelste reactie vereisen.

ENISA beveelt ook aan om nauwkeurige inventarissen van assets bij te houden, zodat beveiligingsteams kritieke systemen onmiddellijk kunnen prioriteren.

Het agentschap stelt dat organisaties moeten streven naar detectie- en responstijden die in enkele minuten worden gemeten, naarmate de automatisering van aanvallen verder verbetert.

AI kan verdedigers ook helpen om kwetsbaarheden op schaal aan te pakken. Microsofts Patch Tuesday-updates van september 2026 verhielpen bijvoorbeeld 966 kwetsbaarheden.

Sommige kwetsbaarheden kunnen die beveiligingsverbeteringen echter nog steeds omzeilen. De onlangs onthulde ShieldCrash-kwetsbaarheid toonde aan dat zelfs volledig bijgewerkte Windows-systemen blootgesteld kunnen blijven.

De waarschuwing van ENISA suggereert dat organisaties hun kwetsbaarheidsbeheer mogelijk volledig moeten herzien, nu AI de tijdlijnen van aanvallen blijft comprimeren van dagen of uren naar minuten.