Van 20 uur naar 10 minuten: waarom je volgende pentester een AI is.
Van 20 uur naar 10 minuten: waarom je volgende pentester een AI is.
En waarom ChatGPT daar níet de juiste keuze voor is.
De vraag is niet meer óf aanvallers AI inzetten tegen je organisatie. De vraag is: zet je het zelf snel én verstandig genoeg in om hen voor te blijven?
De cijfers die je niet mag missen
Eind april publiceerde het UK AI Security Institute (AISI) zijn evaluatie van GPT-5.5. De bevindingen zijn voor iedereen die vandaag beslissingen neemt over cyberveiligheid een directe wake-up call.
GPT-5.5 voltooide The Last Ones, een 32-staps simulatie van een corporate netwerkaanval. Een menselijke expert heeft hier 20 uur voor nodig. GPT-5.5 voltooide het autonoom in 2 van de 10 pogingen. Het is daarmee het tweede frontier model dat dit lukt, na Anthropic’s Claude Mythos Preview (3 van de 10). Bij een complex reverse engineering-vraagstuk, dat een ervaren pentester met Binary Ninja, gdb en Z3 ongeveer 12 uur kost, came GPT-5.5 in 10 minuten en 22 seconden tot het juiste wachtwoord. Voor €1,50 aan API-kosten.
Op de zwaarste Expert-categorie haalt GPT-5.5 een gemiddelde slagingsgraad van 71,4%, tegenover 52,4% voor zijn voorganger GPT-5.4 nog geen jaar geleden. De conclusie van de AISI is glashelder: offensieve cybervaardigheden ontstaan inmiddels als bijproduct van algemene verbeteringen in redenatie, autonomie en code. De volgende generatie wordt nóg sneller en nóg beter. Dat is geen ver-van-mijn-bed-scenario. Dat is het speelveld van vandaag.
Het echte gevaar: chaining
Niet één kwetsbaarheid is je grootste risico. Het is het aaneenketenen ervan.
De AISI laat zien dat moderne modellen verkenning, credential theft, lateral movement over meerdere Active Directory-forests, een supply-chain pivot via een CI/CD-pipeline én exfiltratie van een afgeschermde database autonoom kunnen verbinden. Wat vroeger weken handwerk vroeg, kan een agent nu binnen enkele uren doen. De afstand tussen “phishingmail” en “kroonjuwelen” krimpt zichtbaar.
Dit is waarom een jaarlijkse pentest geen antwoord meer is op een dagelijks veranderend dreigingslandschap.
Waarom een ChatGPT- of Claude-account openen géén oplossing is
De verleiding is groot: je opent een account bij een populair AI-model, geeft het toegang tot je code, ticketgeschiedenis en productieomgeving, en laat het “even kwetsbaarheden zoeken”. Het Britse NCSC publiceerde precies daarom in mei een lijst met 10 vragen die je jezelf moet stellen vóórdat je dat doet. De kernboodschap: kwetsbaarheden vinden verbetert je cyberveiligheid niet. Het kán je cyberveiligheid zelfs verslechteren.
De belangrijkste kanttekeningen volgens het NCSC:
- Data-lekkage en governance: begrijp je de voorwaarden, datalogging en juridische jurisdictie van de hosted modellen? Wat gebeurt er met je broncode en productiedata?
- Hallucinaties en false positives: outputs moeten geverifieerd worden door zowel AI als mensen. Generieke LLM’s missen context en verzinnen aannemelijke maar verkeerde bevindingen.
- Prioritering ontbreekt: in 2025 kregen meer dan 40.000 kwetsbaarheden een CVE, maar volgens de CISA KEV werden er slechts circa 400 actief uitgebuit en circa 40 als zero-day. Een model dat alles vindt zonder exploiteerbaarheid te bewijzen, verdrinkt je team in ruis.
- Geen patchproces = geen winst: als je niet weet hoe je vondsten ontvangt, prioriteert en oplost, los je niets op. “Just finding vulnerabilities does nothing to improve your security”, schrijft het NCSC letterlijk.
- Sandboxing en permissies: een agent met onbeperkte toegang tot je productieomgeving is zelf een aanvalspad.
Kort gezegd: een algemene chatbot is krachtig, maar mist de context, betrouwbaarheid en grenzen die een securitytool nodig heeft.
Het beste van twee werelden: gespecialiseerde AI
Hier komen platforms als NodeZero van Horizon3.ai in beeld. Geen scanner die alleen bekende CVE’s afvinkt, maar een autonome pentestengine die, net als een echte aanvaller, zwakheden aan elkaar koppelt, daadwerkelijk exploiteert (veilig, zonder downtime, zonder agents) en bewijs levert van de business impact.
Daarmee combineert NodeZero exact wat een algemeen model níet biedt:
- De snelheid en schaal van AI: pentests draaien in uren in plaats van weken, op aanvraag of continu, ook na elke verandering in je omgeving.
- De betrouwbaarheid van een securityspecifieke oplossing: gevalideerde, exploiteerbare aanvalspaden in plaats van hallucinaties, met concrete remediatie en een 1-click verify-functie om fixes direct te toetsen.
- Governance by design: geen ongecontroleerde uploads naar een publiek model, wél een omgeving die voldoet aan eisen voor FedRAMP High en die wereldwijd door overheden en Fortune-bedrijven wordt vertrouwd.
De juiste vraag stellen
De aanvallers die jouw systemen testen, wachten niet op een jaarplanning. Ze draaien AI-gedreven aanvallen op elk moment, ook op de dag na je laatste patch, ook op de omgeving die je net in productie hebt gezet.
De technologie om hen bij te houden bestaat. Het verschil zit niet in welke AI je gebruikt, maar in hoe je die inzet: met de juiste context, de juiste grenzen en een proces dat van vinden naar fixen naar verifiëren gaat.
Wil je weten waar jouw organisatie vandaag hackable is? Plan een gratis oriëntatiegesprek en ontdek wat een autonome pentestengine ziet in je eigen omgeving.
We got your back.
“We Got Your Back”
FAQ: AI-gedreven pentesting wat werkt, wat niet, en hoe begin je
ChatGPT is een taalmodel. Krachtig, maar zonder context over jouw omgeving, zonder controle op hallucinaties en zonder de governance die je nodig hebt als je met productiesystemen werkt. NodeZero is specifiek gebouwd voor security: het koppelt echte kwetsbaarheden aan elkaar, exploiteert ze gecontroleerd en geeft bewijs van de impact. Dat is een ander instrument voor een ander doel.
Binnen 7 werkdagen heb je een volledig rapport met exploiteerbare aanvalspaden, prioritering op ernst en concrete remediatiestappen. Geen wachtrijen, geen maandenlange trajecten, geen vage samenvattingen.
Ja. NodeZero werkt zonder agents in je productieomgeving en veroorzaakt geen downtime. De omgeving voldoet aan FedRAMP High-eisen en wordt wereldwijd vertrouwd door overheden en Fortune-bedrijven. Je broncode en productiedata verlaten je omgeving niet.
De NetBoss-aanpak in drie stappen: we vinden exploiteerbare kwetsbaarheden, helpen je ze te fixen, en verifiëren direct of de fix werkt via 1-click verify. Geen eenmalige scan, maar een iteratief proces dat bijhoudt hoe je omgeving verandert.
Voor elke organisatie die serieus met cyberveiligheid bezig is: van MKB tot gemeente en onderwijsinstelling. Zeker relevant als je te maken hebt met NIS2, AVG of DORA-verplichtingen, of als je na een incident snel wilt weten waar je staat.
Een gewone scanner vergelijkt je omgeving met een lijst bekende CVE’s. Een AI-gedreven pentestengine combineert zwakheden: een klein lek in het netwerk, een misconfiguratie in Active Directory en een credential die hergebruikt wordt kunnen samen één aanvalspad vormen dat elk op zichzelf onschuldig lijkt. Dat chaining-effect is precies wat aanvallers uitbuiten, en precies wat NodeZero zichtbaar maakt.
Plan een gratis oriëntatiegesprek. We kijken samen naar je omgeving, bepalen het juiste startpunt en laten zien wat een autonome pentest concreet oplevert, inclusief wat je nu al kunt aanpakken.
We got your back.
