OpenAI trekt 1 miljard dollar uit voor cyberdefensie, eerst in de VS

OpenAI trekt 1 miljard dollar uit voor gesubsidieerde toegang tot zijn Daybreak-cybermodellen, met training en technische hulp erbij, en begint bij Amerikaanse waterbedrijven, netbeheerders, lokale overheden en kleine banken.

Voor een Nederlandse drinkwater-, energie- of zorgorganisatie verandert er daarmee vandaag niets. Het programma heet Daybreak for Frontline Defenders en het geld gaat als eerste naar de Verenigde Staten. Over verbreding staat er alleen dat OpenAI dat "de komende weken" wil doen richting partnerlanden, zonder dat er één land bij naam wordt genoemd. De poort waar Nederlandse organisaties al voor stonden blijft dus dicht, terwijl de aanleiding voor het miljard, snellere en bredere AI-aanvallen, zich niets van een grens aantrekt.

Tegoed, geen kapitaalinjectie

Het miljard is krediet, geen investering in bedrijven. OpenAI zegt de gesubsidieerde Daybreak-toegang binnen zes maanden opgemaakt te willen zien en geeft voorrang aan verdedigers met weinig budget: drinkwater- en afvalwaterbedrijven, beheerders van het elektriciteitsnet, staats- en lokale overheden, kleine en regionale banken, non-profits en onderhouders van open source.

Waar die teams het aan mogen besteden staat concreet omschreven. Verouderde code doorlichten, verdacht verkeer analyseren, kwetsbaarheden vinden en valideren, risico's op volgorde zetten, en reparaties bouwen en testen. Er ligt ook al een precedent: na recente aanvallen op Amerikaanse watersystemen bood OpenAI getroffen staten en nutsbedrijven tot 1 miljoen dollar aan gratis API-tegoed en technische bijstand aan, waarmee teams code en configuraties konden nalopen en patches konden ontwikkelen terwijl de watervoorziening bleef draaien.

De bestaande schaal zet dat bedrag in perspectief. Daybreak telt nu duizenden verdedigers, verspreid over 2.000 goedgekeurde organisaties en werkruimtes, en dat zijn vooral securitybedrijven, defensieorganisaties en opsporingsdiensten. Precies de partijen die het al konden betalen.

Europa komt in de tekst niet voor

Op de vraag of Europese en Nederlandse partijen meedoen is de aankondiging eenduidig: nog niet. Ook de Reuters-wire komt niet verder dan uitbreiding naar partnerlanden in de komende weken, zonder één land te noemen.

Dat sluit aan op de route die er al lag. De cybermodellen zijn sinds 11 augustus af te nemen via Amazon Bedrock, maar uitsluitend in de AWS-regio Noord-Virginia en pas na goedkeuring in Trusted Access for Cyber. Een Nederlandse organisatie die haar securitywerk bewust in Frankfurt of Ierland houdt, loopt daar nog steeds op vast.

Eén categorie uit het rijtje zit niet aan een Amerikaanse publieke taak vast: onderhouders van open source. Die kunnen zich melden bij Patch the Planet, het programma dat OpenAI met beveiligingsbureau Trail of Bits draait en dat tot nu toe 41 codebases onderzocht, 858 bevindingen opleverde en 143 reparaties die onderhouders echt hebben opgenomen. Of projecten van buiten de Verenigde Staten in aanmerking komen, laat OpenAI open.

De weg naar de gebruiker loopt via partners

De eerste uitvoering is een proef met het Multi-State Information Sharing and Analysis Center, dat dreigingsinformatie en incidenthulp levert aan duizenden Amerikaanse publieke organisaties, waaronder nutsbedrijven, publieke ziekenhuizen, scholen en hulpdiensten. De proef koppelt Daybreak-toegang aan begeleide training voor een eerste groep verdedigers uit de publieke sector en de watersector.

Partners in het Daybreak Defense Network kondigen tegelijk ruim 35 producten en diensten aan die de cybermodellen in bestaande securitytools brengen. Voor een organisatie buiten de Verenigde Staten is dat realistischer dan een eigen aanvraag: de kans dat je deze modellen ooit aanraakt loopt via je leverancier, niet via OpenAI zelf.

Van capaciteit naar prijs

De volgorde in dit dossier is inmiddels goed te lezen. In juni was de rekencapaciteit het nieuws, in augustus de toegangspoort en het verkoopkanaal, nu de prijs. OpenAI bracht vorige week zijn oproep tot gezamenlijke cyberdefensie op 155 ondertekenaars, en lanceerde deze week Astra als het eerste model dat de kritieke cyberdrempel haalt. Een miljard aan tegoed is daar het logische vervolg op: wie de aanvalskant versnelt, moet de verdediging ergens vandaan halen.

Wat vanaf Nederland vooral opvalt is de orde van grootte. Terwijl Amerikaanse waterbedrijven aanspraak kunnen maken op 1 miljard dollar aan modeltegoed, opent hier op 7 september een pot van 1 miljoen euro die de helft van je cyberbasismaatregelen vergoedt tot 1.250 euro per bedrijf. Het gaat om dezelfde dreiging. Het gaat niet om dezelfde middelen.