Meerah Rajavel waarschuwt voor goedkope open AI-modellen

De waarschuwing van Rajavel

De grootste cyberdreiging komt volgens Meerah Rajavel, CIO van Palo Alto Networks, niet per se van de krachtigste AI-modellen die bedrijven als OpenAI en Anthropic achter gesloten deuren aanbieden. Het directe risico zit volgens haar eerder in goedkope, downloadbare open-source- of open-weight-modellen die de capaciteiten van de huidige koplopers binnen vier tot zes maanden kunnen benaderen. 6

Dat verschil is belangrijk. Een frontiermodel wordt doorgaans via een beheerde dienst of API aangeboden. De leverancier kan dan gebruik loggen, misbruik detecteren, snelheidslimieten instellen, veiligheidsregels afdwingen, updates uitrollen en accounts blokkeren. Bij een open-weight model zijn de modelgewichten beschikbaar om lokaal of op eigen infrastructuur te draaien. De ontwikkelaar kan het model dan niet betrouwbaar meer aanpassen, terugroepen of uitschakelen. Ook kan het gebruik ervan buiten het zicht van de beveiligingsteams van een organisatie vallen.

Waarom open gewichten het risicomodel veranderen

Een lokaal model valt buiten de controlelaag van de oorspronkelijke aanbieder. Beveiligingsmaatregelen kunnen worden aangepast of verwijderd, terwijl patches en nieuwe veiligheidsfilters niet automatisch bij iedere kopie terechtkomen. Voor organisaties betekent dat een verlies aan zichtbaarheid: zij weten mogelijk niet welk model werknemers gebruiken, welke versie actief is of waarvoor die wordt ingezet.

De dreiging zit daarbij niet in iedere gebruiker van een open model. Het probleem is vooral dat krachtige functionaliteit zich snel en breed kan verspreiden. Dalende kosten voor gehuurde GPU-capaciteit — gespecialiseerde hardware voor AI-berekeningen — en lokale installatie verlagen zowel de financiële als de praktische drempel voor misbruik. Modellen kunnen daardoor worden ingezet voor verkenning, het ontwikkelen van exploits, phishing, het aanpassen van malware of het automatiseren van doelwitselectie. Onderzoek naar de risico’s van open-weight taalmodellen concludeert eveneens dat publieke beschikbaarheid meer partijen in staat kan stellen cyberaanvallen te automatiseren en op te schalen. 2

Een model kan na meerdere prompts alsnog bezwijken

Ook de manier waarop modellen worden getest, blijkt van belang. Cisco-onderzoekers evalueerden acht open-weight taalmodellen en zagen dat meerstapsaanvallen twee tot tien keer vaker slaagden dan aanvallen met één prompt. De gemeten succespercentages bij meerstapsaanvallen lagen tussen 25,86 en 92,78 procent. 3

Een model kan een eerste schadelijk verzoek dus weigeren, maar na een reeks aangepaste prompts alsnog tot een ongewenst antwoord worden bewogen. Aanvallers kunnen daarbij stapsgewijs de formulering veranderen, het doel verhullen of het model onder druk zetten om eerdere veiligheidsregels te omzeilen.

Extra risico’s bij zelf modellen hosten

Organisaties die een model downloaden en zelf beheren, moeten niet alleen het model zelf vertrouwen. Ook het modelbestand, het bestandsformaat, sjablonen, de inference-server — de software die het model laat reageren — en alle bijbehorende afhankelijkheden vormen een mogelijke aanvalsvector.

De Cloud Security Alliance heeft risico’s voor zelf gehoste modellen beschreven waarbij uitvoerbare logica of sjablonen al tijdens het laden van een model kan worden geactiveerd. Dat kan onder meer leiden tot diefstal van inloggegevens of het wegsluizen van data. 12

De specifieke bewering dat één afzonderlijke CSA-bevinding gezamenlijk Meta’s Llama, Mistral en Alibaba’s Qwen noemde, kon niet onafhankelijk worden geverifieerd aan de hand van een primaire CSA-bron. Die formulering moet daarom als onvoldoende onderbouwd worden beschouwd.

Correctie op de cijfers van Palo Alto Networks

De beschikbare primaire inzending van Palo Alto Networks vermeldt dat het bedrijf dagelijks tot 8,9 miljoen nieuwe of eerder ongeziene aanvallen detecteert en tot 30,9 miljard aanvallen per dag blokkeert. 1 Het gaat dus niet om 30 miljard geblokkeerde aanvallen en 250 miljoen nieuwe aanvalsvectoren gedurende één kalenderjaar.

Die aantallen onderstrepen wel de bredere boodschap van Rajavel: verdedigers werken al in een zeer snel veranderend dreigingslandschap. Als krachtige, aanpasbare AI-modellen op grote schaal beschikbaar komen, kunnen aanvallers hun experimenten en aanvalscycli nog verder versnellen. De kern van haar waarschuwing is daarom niet dat elk open model kwaadaardig is, maar dat controleverlies en grootschalige verspreiding de tijd tussen een nieuwe AI-capaciteit en praktisch misbruik sterk kunnen verkorten.