Sysdig verduidelijkt: de 'eerste' autonome AI-ransomware had toch een mens nodig

De 'eerste' volledig autonome AI-ransomware-aanval had toch een mens nodig. Een medewerker koos het slachtoffer, richtte de aanvalsinfrastructuur in en leverde de gestolen inloggegevens waarmee de AI-agent de productiedatabase binnenkwam, verduidelijkt beveiligingsbedrijf Sysdig.

Dat verschuift hoe je het risico van 'autonome' AI-agents realistisch inschat. Dit was geen druk-op-de-knop-cybercrime die zichzelf van doelwit tot losgeld regelt, maar een hybride operatie: mensenwerk voor de opzet, een taalmodel voor de uitvoering. De drempel om zo'n aanval op te tuigen blijft daardoor voorlopig hoog. Wat wel nieuw en snel is, zit in de uitvoering: het model draaide de technische keten op machinesnelheid af.

Wat de mens deed, en wat het model deed

Sysdig-onderzoeker Michael Clark zette de rolverdeling recht tegenover TechCrunch. Een mens zette de operatie op en stuurde hem aan, richtte de command-and-control-server en de staging-server voor de gestolen data in, en koos zelf het slachtoffer. De inloggegevens waarmee de agent de database kraakte, verzamelde het model niet zelf: iemand bemachtigde ze via een eerdere inbraak en gaf ze door aan de operatie.

Wat het model daarna wel zelf deed, blijft opvallend. In het eerste gedocumenteerde geval van ransomware die van inbraak tot losgeld door een AI-agent werd aangestuurd telde Sysdig ruim 600 doelgerichte payloads, versleutelde de agent 1.342 databaseconfiguraties en corrigeerde hij een mislukte login binnen 31 seconden, met zijn redenering uitgeschreven in gewone taal. De technische uitvoering liep dus autonoom; de strategische keuzes eromheen niet.

Waarschijnlijk een opengewicht-model zonder remmen

Welk model de aanval dreef, is niet bevestigd. Microsoft-onderzoeker Geoff McDonald vermoedt een open-weight model waarvan de veiligheidstraining is weggehaald, geen frontier-model, omdat de veiligheidslagen van de grote labs in zijn eigen red-teaming juist goed standhielden. De gestolen API-sleutels van OpenAI, Anthropic, DeepSeek en Gemini die op de machine lagen, waren buit, geen bewijs dat die modellen de aanval stuurden.

Dat detail raakt precies de zorg rond zelf-gehoste AI: een opengewicht-model dat je lokaal draait, kun je van zijn ingebouwde weigeringen ontdoen. Dezelfde openheid die je onafhankelijk maakt van een leverancier, maakt het model ook bruikbaar voor wie kwaad wil.

De menselijke schakels die nog resten

Het woord 'autonoom' doet in de kop veel werk. De eerlijke lezing is dat elke stap die nu nog een mens vergt, doelwitkeuze, infrastructuur en toegang, een schakel is die later ook geautomatiseerd kan worden. Vandaag koopt dat verdedigers tijd.

Die tijd zit in de basis. Dezelfde hygiëne die de oorspronkelijke aanval had gestopt, oude patches installeren, standaardwachtwoorden weghalen en credentials scheiden van processen die vanaf het web bereikbaar zijn, breekt ook de hybride variant. De vraag is niet of de menselijke schakels verdwijnen, maar hoe snel, en of je basisbeveiliging tegen die tijd op orde is.