Beveiligingsbeoordeling & hardening

Onze aanpak is om AI-systemen te breken zoals echte aanvallers dat doen, en ze vervolgens te harden tegen de aanvalspaden die een assessment blootlegt — van modelextractie tot compromittering van de toeleveringsketen. Traditionele penetratietests dekken uw API's, infrastructuur en authenticatieflows af, maar testen nooit of een aanvaller uw gefinetunede model kan stelen, een backdoor kan plaatsen in uw afhankelijkheidsketen of uw RAG-pipeline kan kapen. Die assessmentmethodologie moet specifiek worden gebouwd voor de manieren waarop AI-systemen falen.

Aanvalsoppervlakken die uw beveiligingsteam nog nooit heeft getest

Traditionele penetratietests dekken uw API's, uw infrastructuur en uw authenticatieflows af. Ze testen niet of een aanvaller uw gefinetunede model kan extraheren via 50,000 zorgvuldig gestructureerde queries. Ze detecteren niet of een vergiftigde LoRA-adapter in uw HuggingFace-afhankelijkheidsketen drie maanden geleden een backdoor heeft geïntroduceerd. Ze evalueren niet of uw RAG-pipeline instructies zal uitvoeren die zijn ingebed in een opgehaald document. Dit zijn de aanvalspaden die AI-systemen in productie daadwerkelijk compromitteren.

Dit zijn geen theoretische risico's uit conferentiepresentaties. Protect AI trof 352,000 verdachte bestanden aan in 51,700 modellen op HuggingFace in april 2025. Door AI mogelijk gemaakte aanvallen stegen met 89% op jaarbasis, waarbij 97% van de getroffen organisaties niet beschikte over elementaire toegangscontroles op hun AI-systemen. De Mercor-toeleveringsketenaanval begin 2026 compromitteerde duizenden bedrijven via één enkele opensource-afhankelijkheid.

Wat we daadwerkelijk testen — en wat de meeste assessments missen

We structureren assessments rond het MITRE ATLAS -framework, dat inmiddels 84 technieken over 16 tactieken catalogiseert die specifiek gericht zijn op AI-systemen. Maar een framework is een kaart, geen test. Onze methodologie is gebouwd om de gecatalogiseerde aanvallen daadwerkelijk uit te voeren, niet om ze alleen maar af te vinken.

LLM-implementaties en prompt injection

We testen indirecte prompt injection via elk opnamepad: RAG-retrieval, tool-outputs, door gebruikers geüploade documenten en e-mailinhoud die aan agents wordt gevoed. Directe injectie haalt de krantenkoppen, maar Anthropic liet zijn meetwaarde voor directe injectie in februari 2026 volledig vallen omdat indirecte injectie via retrievalcontext is wat productiesystemen daadwerkelijk breekt. We testen ook meerstapsmanipulatie, extractie van systeemprompts en de specifieke faalmodi van welke guardrail-stack u ook heeft ingericht.

Beveiliging op modelniveau

We beoordelen extractierisico door gestructureerde querycampagnes uit te voeren tegen uw API en te meten hoeveel modelgedrag een aanvaller kan repliceren. We evalueren adversariële robuustheid met zowel gradiëntgebaseerde methoden (wanneer we modeltoegang hebben) als transfergebaseerde black-box-aanvallen (hoe echte aanvallers te werk gaan). We auditeren uw trainingspipeline op kwetsbaarheden voor data poisoning, waarbij we zowel uw directe trainingsdata controleren als de upstream-afhankelijkheden die deze voeden (gedetailleerd beschreven in ons onderzoek naar het beschermen van ondernemingen tegen model poisoning).

Integriteit van de toeleveringsketen

We herleiden elk modelartefact naar de bron: vooraf getrainde gewichten, fine-tuning-datasets, adapterlagen en versies van serving frameworks. We controleren op bekende kwetsbaarheden in uw ML-infrastructuur — PyTorch, vLLM en Triton Inference Server hadden allemaal CVE's in 2025–2026 — en verifiëren dat uw model-serialisatie veilige formaten gebruikt. De miljard aan verliezen door gecompromitteerde ML-modellen in 2025 kwam overweldigend voort uit toeleveringsketenaanvallen, niet uit directe modelexploitatie (zie ons onderzoek naar het beveiligen van de levenscyclus van de ML-toeleveringsketen).

Agentic systemen

We testen het aanvalsoppervlak dat OWASP's Agentic AI Top 10 definieert: goal hijacking, misbruik van tools, identiteitsmisbruik, geheugenvergiftiging en trapsgewijze storingen over multi-agentworkflows. De OpenClaw-crisis in 2026 — waarin 21,000+ instanties van een AI-agent met 135,000 sterren werden blootgesteld aan kritieke kwetsbaarheden — toonde aan wat er gebeurt wanneer agents zonder deze tests worden uitgeleverd (gedetailleerd beschreven in ons onderzoek naar het beveiligen van de mens-AI-grens).

Hardening die verandert hoe uw systeem opereert

Een assessment zonder remediatie is een dure PDF. Onze aanpak bouwt de hardeningcontroles in uw systeem in.

• Verdediging op inferentielaag: detectie van query-anomalieën die verkeer met extractiepatronen identificeert — systematische inputdekking, grenstesten en programmatische parafrase-sweeps — en dit onderscheidt van legitiem gebruik. Pijplijnen voor inputvalidatie zijn afgestemd op uw specifieke dreigingsmodel, geen generieke regex-filters die semantische aanvallen missen en legitieme queries blokkeren.
• Hardening van de toeleveringsketen: modelverificatie-pijplijnen die de herkomst van artefacten controleren, serialisatieformaten valideren, scannen op bekende kwaadaardige patronen en ondertekeningsvereisten afdwingen voordat enig modelartefact uw deployment-pipeline binnengaat — plus monitoring van afhankelijkheden die gecompromitteerde upstream-pakketten onderschept voordat ze productie bereiken.
• Hardening van agentic systemen: privilegegrenzen rond toegang tot tools, outputvalidatie tussen agentstappen en gedragsmonitoring die detecteert wanneer het uitvoeringspatroon van een agent afwijkt van zijn verwachte workflow.

Uw SIEM is gebouwd om afwijkingen in menselijk gedrag te detecteren. Een agent die 10,000 queries achter elkaar uitvoert, ziet er voor die systemen volkomen normaal uit, zelfs wanneer deze onder controle van een aanvaller staat.

Wanneer u dit niet nodig heeft

Als u een beheerde API aanroept (OpenAI, Anthropic, Google) zonder fine-tuning, zonder RAG, zonder toolgebruik en zonder gevoelige data in prompts, bestaat uw beveiligingsrisico uit API-sleutelbeheer en gegevensverwerking. Een standaard beveiligingsbeoordeling voor applicaties dekt dat af — u heeft geen AI-specifiek assessment nodig.

Als uw model een eenvoudige classifier is die intern draait zonder extern gerichte API en zonder hertrainingspipeline, is uw aanvalsoppervlak beperkt en is een korte beoordeling van het dreigingsmodel proportioneel. Volledige tests op adversariële robuustheid voor een interne sentiment-classifier achter een firewall betekent het uitgeven van ,000 om een risico van te beschermen.

We zeggen dit ronduit omdat geloofwaardigheid belangrijker is dan omzet. De organisaties die dit werk nodig hebben, weten wie ze zijn: iedereen met gefinetunede modellen, RAG-pipelines die externe inhoud verwerken, agentic systemen met toegang tot tools, modellen in gereguleerde sectoren of AI-systemen die beslissingen nemen met financiële of veiligheidsconsequenties.

De regelgevende druk is reëel en kent deadlines

Handhaving van de EU AI Act begint augustus 2026. Hoog-risico AI-systemen vereisen gedocumenteerd risicobeheer, technische robuustheidstests en beheersmaatregelen voor datagovernance. Niet-naleving brengt boetes met zich mee tot 7% van de wereldwijde jaaromzet of EUR 35 miljoen. NIST publiceerde zijn Cybersecurity Framework Profile for AI in december 2025, waarin AI-specifieke risico's worden gekoppeld aan CSF 2.0-controles. Deze frameworks duiken nu op in inkoopvereisten en risicobeoordelingen op directieniveau.

De uitdaging is dat geen enkel framework alles dekt. We koppelen uw assessmentbevindingen aan de frameworks die uw toezichthouders, auditors en klanten vereisen — waarmee bewijsmateriaal wordt geleverd dat aan compliance-eisen voldoet omdat het voortkomt uit daadwerkelijke tests, niet uit afvinkoefeningen.

Platformtools versus maatwerk-assessment

Geautomatiseerde AI-beveiligingsplatforms (HiddenLayer, Mindgard, Giskard) voeren bekende aanvalspatronen op schaal uit. Ze zijn nuttig voor continue regressietests na een eerste assessment, maar vormen geen vervanging voor het initiële assessment zelf. Een scanner begrijpt uw bedrijfslogica niet, weet niet welke model-outputs veiligheidskritieke gevolgen hebben en kan niet evalueren of uw dreigingsmodel overeenkomt met uw daadwerkelijke deployment-architectuur.

We gebruiken deze tools waar ze meerwaarde bieden. Continue geautomatiseerde red teaming hoort thuis in uw CI/CD-pipeline zodra we hebben vastgesteld waarop getest moet worden. Maar de aanvalspaden die er in uw specifieke systeem het meest toe doen, vereisen iemand die zowel de AI-faalmodi als uw operationele context begrijpt om ze op te sporen.

Voor organisaties die meerdere AI-leveranciers gebruiken (OpenAI, Anthropic, Google, opensource-modellen), beoordelen we de beveiligingsgrenzen van elke provider onafhankelijk en testen we de integratiepunten waar data tussen hen stroomt. Het aanvalsoppervlak van een multi-vendor-stack is niet de som van het risico van elke leverancier — het is de interactielaag, waar aannames over de beveiligingsgaranties van de ene provider instorten bij de overdracht naar een andere.