AnswersPublished14 sources
Als aanvallen sneller gaan dan updates, is patchen alleen niet genoeg
Volgens cijfers van Verizon waarop a16z zich beroept, duurde volledig herstel na een kwetsbaarheid gemiddeld 43 dagen. De auteurs stellen dat het goedkoper is geworden om van een softwarefout een werkende exploit te maken, terwijl patchen niet even snel is gegaan.
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- Volgens cijfers van Verizon waarop a16z zich beroept, duurde volledig herstel na een kwetsbaarheid gemiddeld 43 dagen.
- De auteurs stellen dat het goedkoper is geworden om van een softwarefout een werkende exploit te maken, terwijl patchen niet even snel is gegaan.
- De genoemde kansen raken onder meer snelle detectie, toegangscontrole, herstel en het controleren van software.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What do a16z investing partner Asaf Ezra and growth partner Stephenie Zhang argue in their November 6, 2026 report “Defense in Depth, Rebuil. Article summary: Ezra and Zhang’s central argument is that cheap AI-generated exploits break the timing assumptions behind human-run patching: defenses must protect systems while permanent fixes are still being prepared, tested and deplo. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
AI kan het goedkoper maken om softwarefouten om te zetten in werkende exploits. Maar het testen en uitrollen van een blijvende oplossing gaat niet automatisch even snel. In hun rapport van 6 november 2026 betogen Asaf Ezra en Stephenie Zhang van investeringsmaatschappij a16z daarom dat organisaties niet alleen op patches kunnen vertrouwen: ze moeten systemen ook beschermen in de tijd tussen ontdekking en herstel. 1
2
De kwetsbaarheid zit in de wachttijd
De cijfers van Verizon die de auteurs aanhalen laten zien hoe lang die tussenperiode kan duren. Volledig herstel duurde volgens de bevindingen van 2026 mediaan 43 dagen. Van de bekende kwetsbaarheden die al werden misbruikt, was in de dataset slechts 26% volledig verholpen. 1
Ezra en Zhang bouwen voort op hun eerdere betoog dat de deskundige arbeid om van een bug een bruikbare exploit te maken in 2025 en 2026 goedkoper werd, terwijl het patchen niet in hetzelfde tempo versnelde. Volgens hen verdwijnt die kloof niet door simpelweg harder op updates in te zetten. 2
Dat is geen pleidooi om patches over te slaan. Een permanente oplossing blijft belangrijk. De vraag is hoe organisaties de blootstelling beperken zolang die oplossing nog wordt ontwikkeld, getest en uitgerold.
Beschermen terwijl de update uitblijft
Een PHP-voorbeeld in het rapport maakt duidelijk waarom tijdelijke bescherming van belang kan zijn. Volgens een beschrijving van Ezra lekten twee kritieke PHP-bugs uit voordat de fixes beschikbaar waren. Naar schatting bleven 2,6 tot 4,4 miljoen PHP-installaties buiten een beschermende dienst kwetsbaar; de meeste draaiden versies waarvoor geen fix meer zou komen. 37
Een verdedigingsregel vóór kwetsbare systemen kan in zo’n situatie eerder bescherming bieden dan een update die op iedere afzonderlijke installatie moet worden aangebracht. De auteurs pleiten ervoor zulke regels met behulp van machine-snelheid te genereren en te verspreiden, ook naar systemen die niet onder grote cloudplatforms vallen. 2
37
Zo’n tussenoplossing is geen reparatie. Ze kan de periode van blootstelling verkleinen, maar organisaties moeten kwetsbare software waar mogelijk nog steeds blijvend herstellen. Ook moeten ze rekening houden met het risico dat tijdelijke bescherming niet werkt of wegvalt.
Welke beveiligingsthema’s komen naar voren?
Ezra en Zhang noemen in hun rapport zes kansen van een nieuwe generatie voor beveiligingsproducten. 1
2 De beschikbare passages beschrijven niet genoeg om alle zes categorieën afzonderlijk en met alle details te bevestigen. Een secundaire samenvatting noemt onder meer netwerksegmentatie, detectie op machinesnelheid, identiteitscontroles per verzoek, geteste back-ups en beveiliging van de softwareketen.
34
Samen wijzen die thema’s op een aanpak met meerdere verdedigingslagen:
- Beperk de schade terwijl updates op zich laten wachten. Segmentatie en andere beveiligingsmaatregelen kunnen voorkomen dat een aanval zich ongehinderd door een netwerk verspreidt.
34
- Detecteer en reageer sneller. Als exploits sneller kunnen ontstaan, wordt het belangrijker om dreigingen snel te herkennen en beschermende maatregelen te nemen.
2
- Controleer toegang steeds opnieuw. Identiteitscontrole per verzoek houdt de aandacht niet alleen bij het moment waarop iemand inlogt.
- Test of herstel echt lukt. Back-ups zijn pas waardevol als organisaties er hun systemen mee kunnen terugzetten. Getest herstel is daarom een van de genoemde thema’s.
- Controleer software en afhankelijkheden. Beveiliging van de softwareketen richt zich op risico’s in programma’s en hulpmiddelen die een organisatie gebruikt.
Dit zijn thema’s, geen volledige, onafhankelijk geverifieerde opsomming van alle zes categorieën of hun productspecificaties. De beschikbare passages onderbouwen ook verschillende precieze cijfers en claims niet, zoals aantallen dagelijkse beveiligingsmeldingen, vaste vervaltijden voor toegangsgegevens of een exact tijdsbestek waarin exploits uit gepubliceerde fixes worden gemaakt.
De praktische les: scherm af én herstel blijvend
De kern is niet kiezen tussen patchen en andere beveiliging. Het gaat om lagen die elkaar aanvullen: beperk nu de kans op misbruik en de mogelijke schade, en voer daarna een blijvende oplossing door zodra die klaar is. 1
2
Dat is vooral relevant voor systemen die niet snel kunnen worden bijgewerkt. Maar een tijdelijke beschermingslaag is geen eindstation. Het PHP-voorbeeld laat zien dat risico’s blijven bestaan als installaties buiten die bescherming vallen of geen updates meer krijgen. 37
De kans die Ezra en Zhang beschrijven gaat dan ook verder dan sneller kwetsbaarheden opsporen. Het is een beveiligingsaanpak die aanvallen kan indammen, risico’s kan herkennen, toegang kan controleren en herstel kan ondersteunen — ook wanneer patchen niet snel genoeg gaat.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Als aanvallen sneller gaan dan updates, is patchen alleen niet genoeg"?
Volgens cijfers van Verizon waarop a16z zich beroept, duurde volledig herstel na een kwetsbaarheid gemiddeld 43 dagen.
What are the key points to validate first?
Volgens cijfers van Verizon waarop a16z zich beroept, duurde volledig herstel na een kwetsbaarheid gemiddeld 43 dagen. De auteurs stellen dat het goedkoper is geworden om van een softwarefout een werkende exploit te maken, terwijl patchen niet even snel is gegaan.
What should I do next in practice?
De genoemde kansen raken onder meer snelle detectie, toegangscontrole, herstel en het controleren van software.