Dat heel wat websites woensdag offline gingen, was geen cyberaanval maar een noodreparatie. De echte waarschuwing zit elders: Vlaanderen stond er machteloos bij en moest wachten tot anderen het probleem oplosten, schrijft Dennis Vanden Auweele, AI- en data-ethicus bij het kenniscentrum Data & Maatschappij (IMEC-SMIT, VUB). Hij is specialist in digitale soevereiniteit en digitale rechten.
Hoe meer kritieke punten de keten van cyberveiligheid telt, hoe groter de kans dat er ergens iets misloopt. Deze week liep alles gelukkig goed af met het veiligheidslek in de programmeertaal PHP, maar dat biedt geen garantie voor de toekomst. Vlaanderen moet werk maken van meer eigen controle over zijn cyberveiligheid.
Woensdag gingen heel wat websites offline. Geen cyberaanval, maar een veiligheidsmaatregel noopte de non-profit PHP Foundation ertoe om snel een veiligheidsupdate uit te voeren. De twee ernstige lekken in de programmeertaal PHP werden onder andere door beveiligingsbedrijf Calif, met behulp van een AI-model van OpenAI, ontdekt en zouden in slechte handen heel wat schade kunnen veroorzaken. Zij meldden dit bij de PHP Foundation, een hele keten kwam in beweging, er volgden kordate reacties en problemen werden vermeden.
Op VRT NWS looft Steven Latré (imec) deze daadkracht en waarschuwt hij dat dergelijke lekken met behulp van AI vaker zullen worden gevonden. Hij besluit dat voorlopig de grootste bedrijven die onze belangrijkste data beheren wel de juiste veiligheidsmaatregelen nemen en dat we daarover gerust mogen zijn.
Eindeloze lijst
Ikzelf ben eerder ongerust. Nu is een ramp voorkomen, maar stel dat een kwaadwillige groep Russische hackers het lek had gevonden? De gevolgen zouden groot zijn: het schoolplatform Smartschool zou wekenlang inactief zijn, gerechtelijke procedures zouden (verdere) vertraging oplopen omdat websites van rechtbanken onbereikbaar zouden zijn, burgers zouden moeilijk bereikbaar zijn doordat mediakanalen zouden platliggen en een tafel voor de zondagmiddaglunch zou niet kunnen worden geboekt omdat Tablefever inactief zou zijn. Deze lijst is bijna eindeloos.
Het grootste probleem is niet dat je kwetsbaar bent voor cyberaanvallen. Dat is altijd zo. Het ergste is dat je compleet afhankelijk bent van derden om het probleem te detecteren en op te lossen. In dit hele verhaal komen amper Vlaamse of Europese actoren naar voren. Vlaanderen moest vooral wachten tot het probleem elders werd opgelost.
Recente wetgeving, zoals de Europese NIS2-richtlijn, verplicht aanbieders van kritieke en essentiële diensten om voldoende controle te behouden over hun cyberveiligheid. Dat neemt niet weg dat Vlaamse technologische infrastructuur afhankelijk blijft van derde partijen. PHP Foundation is een non-profitorganisatie, maar grote delen van de Vlaamse samenleving steunen op Amerikaanse techbedrijven zoals Microsoft, Amazon en Google. Diezelfde bedrijven – zo blijkt jaar na jaar uit studies van de Insikt Group – zijn het voornaamste doelwit voor cyberaanvallen, wellicht omdat ze sterk geassocieerd worden met de Amerikaanse administratie.
Die bedrijven hebben zonder twijfel een grote capaciteit om kwetsbaarheden in cyberveiligheid te detecteren en, zo nodig, te verhelpen. Microsoft heeft eind 2023 zo’n 34.000 ingenieurs ingezet voor het grootste cyberbeveiligingsproject aller tijden. Google koopt veel cyberveiligheid in, bijvoorbeeld met Wiz, dat mee het PHP-lek onderzocht.
Vergif en medicijn
Wat als – omwille van geopolitieke spanningen – cyberaanvallen in Vlaanderen plots geen prioriteit meer zijn voor deze bedrijven? Wat als Vlaamse bedrijven geen toegang krijgen tot de meest geavanceerde AI-cyberveiligheidsmodellen of er zeer hoge kosten voor moeten betalen? De Amerikaanse president Trump heeft reeds embargo’s gesteld op AI-modellen van Anthropic.
De opkomst van nog meer geavanceerde AI-modellen zal dit probleem versterken. Deze modellen zijn zowel vergif als medicijn: zij kunnen problemen detecteren maar eveneens uitbuiten. Als de tech broligarchy rond de Amerikaanse president de anti-Europese koers volgt, dan zal de prijs voor onze cyberveiligheid snel onbetaalbaar worden.
Hoewel ditmaal alles goed is afgelopen, zou het risico dat de programmeertaal PHP met zich meebrengt Vlaanderen – en bij uitbreiding Europa – moeten wakker schudden. Wanneer cyberveiligheid een waardeketen wordt met zo veel punten waarop iets cruciaals kan mislopen, moet je die zelf in handen nemen. Voor onze meest kritieke infrastructuur moeten we zelf kunnen handelen. En voor onze restaurantreservaties overigens ook.