Lekken die AI vindt, zijn vaker gevaarlijk, zegt Google
Op 30 september meldde Google dat de helft van de lekken die AI vindt, een aanvaller op afstand eigen code laat uitvoeren. Het aantal gemelde lekken per maand verdubbelde dit jaar.
Wat er gebeurde
AI verandert niet alleen hoe snel er lekken in software worden gevonden, maar ook wat voor lekken. Dat concludeert de Google Threat Intelligence Group in een rapport van 30 september: de helft van de lekken die AI vindt, laat een aanvaller op afstand eigen code uitvoeren, tegen 26 procent van de overige lekken.
Het aantal gemelde lekken groeide hard. Elk bekend lek krijgt een openbaar nummer, een CVE, en daarvan verschenen er in januari 5.045 en in juli 10.477; in augustus waren het er 10.740. Ook het misbruik nam toe. Tussen januari en augustus zag Google 141 lekken die aanvallers echt gebruikten, meer dan de 127 in heel 2025: gemiddeld 18 per maand, tegen 10,5 vorig jaar. Het aantal zerodays, lekken die al worden misbruikt voordat er een oplossing is, steeg minder hard, van 8 naar 11 per maand, maar in augustus waren het er 22.
Volgens Google zijn AI-modellen vooral goed in het vinden van geheugenfouten en fouten in de logica die gewone scanners missen. Van de lekken die AI vond, kreeg 58 procent van Google een gemiddeld risico, tegen 28 procent bij de rest. Het rapport noemt ook een voorbeeld van zo’n lek dat werd misbruikt. Een onderzoeksagent van het bedrijf Hacktron AI vond zelfstandig een lek in software van BeyondTrust voor beheer op afstand, waarmee je zonder in te loggen opdrachten kon uitvoeren. Binnen vier dagen na de bekendmaking gebruikte een eerste groep aanvallers het, binnen een week volgden er vijf meer. Ze verschaften zich meer rechten, haalden gegevens weg en installeerden kwaadaardige software, waaronder programma’s die op kosten van het slachtoffer cryptomunten delven.
Google zegt zelf dat de cijfers voorzichtig gelezen moeten worden. Dat aanvallers lekken misbruiken die AI vond, noemt het een vroeg signaal en nog geen vaststaande trend. Wel verwacht Google dat het vinden en misbruiken van lekken op korte en middellange termijn blijft toenemen.
Laat AI je code nakijken en dicht de lekken voordat die code live gaat.
Het advies van Google aan bedrijven die software leveren, samengevat
De achtergrond
Hoe AI lekken vindt
In november 2024 meldde Google dat zijn AI-agent Big Sleep een onbekend, misbruikbaar lek had gevonden in SQLite, een veelgebruikte database. Volgens Google was dat het eerste openbare voorbeeld van een AI-agent die zoiets vond in software die overal draait. Inmiddels zetten beveiligingsbedrijven agents in die zelfstandig code doorlezen, uitproberen en hun vondsten controleren. Google heeft daarnaast CodeMender, dat een lek niet alleen vindt maar ook een reparatie voorstelt, en dat aanbeveelt aan softwaremakers.
Ze blinken uit in geheugenfouten: een programma dat voorbij het einde van een stuk geheugen schrijft, of geheugen gebruikt dat al is vrijgegeven. Zulke fouten laten een aanvaller vaak eigen code uitvoeren, en dat verklaart volgens Google de 50 procent. Onderzoekers richten hun agents bovendien bewust op kritieke systemen, wat het risico van de vondsten opdrijft.
Waarom het aantal lekken misleidt
Niet elk nummer is een gevaar. Organisaties die zelf CVE’s mogen uitdelen, doen dat elk op hun eigen manier. Het team achter de Linux-kernel, het hart van Linux, geeft bewust aan bijna elke reparatie een nummer, omdat in de kern van een systeem bijna elke fout misbruikt zou kunnen worden. Daar kwamen dit jaar tot en met augustus zo’n 5.000 CVE’s vandaan, zonder dat er één als zeroday werd misbruikt.
Van alle lekken die dit jaar werden gemeld, zag Google er maar 0,23 procent echt misbruikt worden: ongeveer één op de 431. Aanvallers slaan vooral toe op plekken die van buitenaf bereikbaar zijn: 14 procent van de misbruikte lekken zat in apparaten aan de rand van het netwerk, zoals firewalls. En de software rond AI is zelf een groeiend doelwit: sinds januari 2025 telde Google 2.076 lekken in software rond AI, waarvan de helft in koppelsoftware die AI-modellen met andere systemen verbindt.
Onze analyse
Niet het aantal lekken is het probleem, maar de snelheid daarna
De verdubbeling haalt de koppen, maar zegt minder dan ze lijkt: een groot deel komt uit de boekhouding van één project, en vrijwel geen enkel lek wordt echt misbruikt. Het belangrijkste staat verderop in het rapport. Volgens Google komt de groei van het misbruik vooral uit lekken waarvoor al een oplossing bestaat. Aanvallers gebruiken AI waarschijnlijk om een update te vergelijken met de oude versie, te zien wat er gerepareerd is en daar snel een aanval op te bouwen. Een update is daarmee ook een handleiding voor aanvallers.
Het geval van BeyondTrust laat zien hoe dat uitpakt: een agent van onderzoekers vond het lek, en binnen een week gebruikten zes groepen aanvallers het. Onze inschatting: de tijd tussen een update en de eerste aanval wordt korter, en wie een update weken laat liggen, loopt meer risico dan vroeger. Dat lijkt te botsen met het advies om nieuwe versies van pakketten even te laten liggen, maar het gaat om iets anders. Nieuwe functies kunnen wachten; een beveiligingsupdate voor een systeem dat aan internet hangt, niet.
De praktische les: weet welke systemen van buitenaf bereikbaar zijn en dicht daar eerst. Kijk naar wat aanvallers echt gebruiken, niet naar de lengte van de lijst. En reken de tools mee die je collega’s met AI bouwen: die draaien vaak op koppelsoftware voor AI, waarin dit jaar al 782 lekken werden gemeld.
Wat opvalt
- Eén op de 431 Van de lekken die dit jaar werden gemeld, zag Google er 0,23 procent echt misbruikt. Weten welke ertoe doen, helpt meer dan een lange lijst.
- Het echte aantal ligt hoger Openbare databanken houden niet bij of AI een lek vond, en grote cloudbedrijven dichten zulke lekken vaak zonder nummer. Wat Google telt, is een ondergrens.
- Software rond AI is zelf een doelwit Koppelsoftware die AI-modellen met andere systemen verbindt, is goed voor de helft van de lekken in software rond AI. Dat aantal groeide dit jaar met 347 procent.
- Aanvallers schrijven er zelf ook mee In mei meldde Google de eerste bekende aanvaller met aanvalscode voor een zeroday die met AI was gemaakt. Die werd onderschept terwijl de aanval nog werd voorbereid.
Wat het voor jou betekent
Meer en gevaarlijkere lekken betekenen dat elke tool die jullie gebruiken of bouwen, vaker en sneller bijgewerkt moet worden.
- Aanvallers zijn er snel bij Bij één lek zag Google binnen vier dagen na de bekendmaking al de eerste aanvallers. Een update die weken blijft liggen, is een open deur.
- Zelfgebouwde tools tellen ook Ook een tool die een collega met AI bouwde, leunt op onderdelen van anderen. Komt daar een lek in, dan moet ook die tool worden bijgewerkt.
- Weet wat er draait Je kunt alleen bijwerken wat je kent. Houd bij welke tools en onderdelen jullie gebruiken, en wie ze bijhoudt.
Wat wij ermee kunnen · Ondersteuning
We houden de lekken in jullie eigen tools bij
Met Ondersteuning scant ons portal doorlopend de code die jullie collega’s met AI bouwen, op lekken, sleutels in de code en kwetsbare libraries. Een senior developer beoordeelt de signalen en bespreekt met jullie wat er moet gebeuren.
Weet je wie de tools van jullie collega’s bijwerkt?
Vertel ons wat er bij jullie gebouwd wordt. We kijken met je mee en reageren altijd binnen één werkdag.
