31,6% van AI-code is misbruikbaar: waarom beveiligingsteams het tij niet kunnen keren

AI-assistenten zoals GitHub Copilot en geautomatiseerde workflows hebben de manier waarop software wordt gebouwd ingrijpend veranderd. Maar ze hebben ook een gevaarlijk nieuw front geopend in de cybersecurity. Onderzoek gepubliceerd in 2026 laat zien dat 31,6% van de door AI gegenereerde codevoorbeelden volledig misbruikbaar is. Daarnaast heeft 69% van de organisaties al kwetsbaarheden ontdekt die door AI-geschreven code in hun systemen zijn geïntroduceerd . Maar liefst één op de vijf organisaties heeft een ernstig beveiligingsincident meegemaakt dat direct aan die code was gekoppeld .

Tegelijkertijd hebben de snelheid en schaal van AI-ondersteunde ontwikkeling ervoor gezorgd dat traditionele beveiligingsprocessen niet meer voldoen. De reactietijd op kwetsbaarheden is gekrompen van dagen naar tussen de 12 en 72 uur . Beveiligingsteams kunnen simpelweg niet meer elke pull request handmatig controleren – en de kosten van één over het hoofd geziene risicovolle wijziging kunnen catastrofaal zijn.

Tegen deze achtergrond heeft het in Manchester gevestigde cybersecuritybedrijf Cytix €6,5 miljoen ($7 miljoen) opgehaald in een Series A-financieringsronde. De ronde werd op 12 augustus 2026 afgesloten, geleid door Northern Gritstone met deelname van Auriga Cyber Ventures en NPIF II – PXN Equity Finance . Het bedrijf brengt een nieuw type controlelaag naar de enterprise-softwareontwikkeling. Het platform voor ‘change risk management’ is ontworpen om de vragen te beantwoorden die conventionele scanners niet kunnen: welke wijzigingen zijn echt van belang? Welk risico dragen ze? En welk bewijs is er dat de juiste actie is ondernomen?

De vijf cybersecurity-uitdagingen van AI-gedreven ontwikkeling

Onderzoek van het World Economic Forum, Check Point, IOActive en andere grote cybersecurity-instanties wijst op een aantal duidelijke, meetbare risico's van AI-ondersteunde softwareontwikkeling.

1. Misbruikbare AI-gegenereerde code. Uit de beoordeling van IOActive uit 2026 blijkt dat 31,6% van de AI-gegenereerde codevoorbeelden volledig misbruikbaar is – een aanvaller kan het systeem succesvol compromitteren via de kwetsbaarheid. Traditionele beveiligingstools detecteren deze fouten slechts gedeeltelijk . Het ‘State of AI in Security & Development’-rapport van Aikido uit 2026 toonde aan dat 69% van de organisaties kwetsbaarheden is tegengekomen in AI-geschreven code en dat 1 op de 5 een ernstig beveiligingsincident heeft meegemaakt .

2. Snelheid die beveiligingsmodellen overtreft. Check Point Research meldt dat AI nu goed genoeg over code kan redeneren om op grote schaal werkende exploits te genereren. Hierdoor is de reactietijd op kwetsbaarheden teruggebracht tot 12–72 uur – een enorme verschuiving ten opzichte van de traditionele dagenlange termijn . Beveiligingsteams met handmatige processen kunnen de machinale snelheid van de ontwikkeling niet bijbenen.

3. Verlies van risicocontext. Veel bestaande scantools kunnen individuele kwetsbaarheden identificeren, maar ze missen het inzicht in welke wijzigingen er nu echt toe doen voor het bedrijf, in welke omgeving ze plaatsvinden en welk risico ze met zich meebrengen . Dit leidt tot ‘alert fatigue’ en verkeerde prioritering.

4. Regulatorische exposure. Uit de ‘Global Cybersecurity Outlook 2026’-enquête van het World Economic Forum bleek dat 87% van de beveiligingsleiders AI-gerelateerde kwetsbaarheden aanwees als het snelst groeiende cyberrisico in 2025 . Gartner schat dat in 2027 meer dan 40% van de AI-gerelateerde datalekken het gevolg zal zijn van oneigenlijk gebruik van Generatieve AI . Organisaties die onder de AVG, SOC 2 of sectorspecifieke regelgeving vallen, staan steeds meer onder druk om aan te tonen dat ze AI-gegenereerde code hebben beoordeeld.

5. Shadow AI en supply chain-risico's. Actieve aanvalsvectoren zijn nu onder meer ‘prompt injection’, het lekken van gevoelige informatie via AI-tools en compromittering van de AI-leveringsketen – waarbij backdoors in modellen of vergiftigde afhankelijkheden worden geïntroduceerd . Deloitte identificeert ‘shadow AI’ – het onbeheerde gebruik van AI-tools door medewerkers – als een van de meest urgente interne risico's .

Hoe het change risk management-platform van Cytix werkt

Cytix positioneert zijn platform als een 'beveiligingsbeslissingslaag' die zich tussen de softwareontwikkelingscyclus (SDLC) en de risico-, beveiligings- en compliancefuncties bevindt . In plaats van nog een scantool aan de stapel toe te voegen, fungeert het als een controlepunt waar elke softwarewijziging doorheen moet. Het platform begrijpt de wijziging, bepaalt de beveiligingsactie, valideert het risico en levert het bewijsspoor voor toezichthouders . Het platform werkt in vier fasen:

Real-time zichtbaarheid. Cytix bewaakt continu elke softwarewijziging – tickets, pull requests, codeverschillen en releases – en leest deze in context: het asset, de omgeving en de geschiedenis. Het onderhoudt een persistente kennisdatabank van het systeemlandschap, zodat teams direct kunnen zien welke wijzigingen een reëel risico vormen .

Directe risicobeoordeling. In plaats van elke wijziging hetzelfde te behandelen, kwalificeert het platform wat er is gebeurd en bepaalt het de proportionele reactie – of dat nu meer context, een beveiligingsreview, een bedreigingsmodel of een specifieke test betekent. Laag-risico wijzigingen kunnen automatisch worden goedgekeurd; hoog-risico wijzigingen krijgen de juiste aandacht .

Begeleide validatie en actie. Het platform voert de juiste reactie uit – AI-geleid, menselijk beoordeeld, of via partners (Cytix heeft partnerschappen met NCC Group en KPMG) – zodat niets riskants wordt doorgevoerd zonder de juiste afhandeling .

Compliance-bewijs. Elke beslissing, actie en uitkomst wordt permanent gekoppeld aan de wijziging die deze heeft veroorzaakt. Dit creëert één samenhangend bewijsregister. Governance-, risico- en complianceteams kunnen op elk moment aantonen welke wijzigingen zijn beoordeeld, wat er is gedaan en wie verantwoordelijk was – niet pas onder druk, maar op verzoek .

Waarom dit nu van belang is

Cytix-CEO Ben Armstrong vat het probleem eenvoudig samen: „Bestaande tools kunnen je vertellen welke kwetsbaarheden je hebt, maar kunnen je niets vertellen over het risico. We hebben het change risk management-platform van Cytix gelanceerd om controle te krijgen over dat risico” .

De aanpak van het platform – contextbewust, risicogebaseerd en bewijsproducerend – weerspiegelt een bredere verschuiving in de cybersecurity-industrie. Naarmate het genereren van AI-code blijft versnellen, wordt de kloof tussen ontwikkelingssnelheid en beveiligingsborging het nieuwe strijdtoneel. Met €6,5 miljoen aan Series A-financiering zet Cytix in op de verwachting dat bedrijven zullen betalen voor een beleids- en bewijzingslaag rond elke wijziging, waarbij gevestigde adviesbureaus zorgen voor distributie en vertrouwen .

Voor beveiligingsleiders is de boodschap duidelijk: bijna een derde van alle AI-gegenereerde codevoorbeelden is volledig misbruikbaar, en de tijd om te reageren wordt gemeten in uren, niet in dagen. De vraag is niet langer of AI-versnelde ontwikkeling risico's met zich meebrengt, maar of uw beveiligingsmodel er wel tegen is opgewassen.

Dit artikel is gepubliceerd op 13 augustus 2026 en geüpdatet naar aanleiding van de financieringsaankondiging van 12 augustus 2026.