De opkomst van AI-accelerators beveiliging gaat hand in hand met de snelle groei van AI. Organisaties gebruiken steeds vaker gespecialiseerde chips die niet alleen rekenen versnellen, maar ook specifieke AI-werklasten ontlasten van traditionele CPUs en GPUs. Daarmee verandert ook het speelveld voor security: waar klassieke beveiligingsoplossingen vaak draaien rond CPU-gedreven omgevingen, ontstaat er een nieuw stuk infrastructuur dat nauwelijks zichtbaar is.
Een recent voorbeeld is de startup Stealthium. Hun benadering richt zich niet op het direct “in de chip kijken”, maar op het detecteren van subtiele hints van een compromis via telemetry die afkomstig is uit de neo-cloudomgeving. In dit artikel leggen we uit wat AI-accelerators en neo-clouds zijn, waarom er blind spots ontstaan en hoe deze nieuwe manier van beveiliging werkt.
Wat zijn AI-accelerators en waarom zijn ze anders?
AI-accelerators zijn gespecialiseerde chips die workloads voor AI offloaden en versnellen. Ze zijn nadrukkelijk niet hetzelfde als een CPU of GPU. Producenten die in dit type ecosysteem worden genoemd, zijn onder meer Tenstorrent, Groq, Cerebras, Graphcore en Google.
Deze chips zijn ontworpen om AI-processen sneller en efficiënter uit te voeren. Maar juist doordat ze een andere architectuur hebben dan de “klassieke” IT-wereld, verschuift ook het detectieprobleem: beveiligingstools die zijn gebouwd met CPU-centristische besturingssystemen als vertrekpunt, zijn niet automatisch ingericht op wat er in de versnellerlaag gebeurt.
Neo-clouds: AI-first cloudaanbod met accelerators
Naast accelerators groeit ook het concept van neo-clouds: nieuwe, gespecialiseerde cloudomgevingen die verschillen van traditionele hyperscalers zoals Azure, Google Cloud en AWS. Neo-clouds zijn vaak AI-first, draaien met (of zijn gebouwd rond) accelerators en richten zich op klanten die AI-training, inference en model building willen versnellen.
In de praktijk leveren neo-clouds meerdere voordelen op, zoals massale parallelism, lage latentie voor edge-achtige computing en economisch gunstige of beter voorspelbare kostenstructuren. Bekende voorbeelden die genoemd worden zijn CoreWeave en Nebius.
Waar zitten de beveiligingsblinde vlekken?
Het kernprobleem voor AI-accelerators beveiliging is dat traditionele security en observability jarenlang zijn ontwikkeld rond omgevingen die goed “meetbaar” zijn via gangbare signalen. Denk aan logging, systeemmetrics en controle op gedrag in CPU-gedreven lagen.
Voor accelerators en neo-cloud hardware geldt dat niet vanzelf. Volgens de bron kunnen bestaande tools beperkt zicht hebben op de high-speed video memory en is het niet eenvoudig om te detecteren wat er precies gebeurt binnen de neo-cloud hardwarelaag. Het gevolg: als een neo-cloud stealthily wordt gecompromitteerd, is het niet vanzelfsprekend dat de service, of de klant, dat ook daadwerkelijk ziet.
Dat maakt de dreiging extra lastig: het gaat niet alleen om een incident dat “niet gemeld wordt”, maar om het risico dat een supply chain-achtig probleem onzichtbaar blijft. Zeker organisaties die intensief gebruikmaken van neo-clouds voor AI-ontwikkeling lopen daarmee een groter risico op impact zonder direct bewijs.
Waarom ‘afwezigheid van bewijs’ hier gevaarlijk is
Veel beveiligingsdenken is gebaseerd op zichtbaarheid: als je activiteit niet kunt zien, denk je al snel dat er niets gebeurt. Stealthium formuleert dit als een gevaarlijke aanname. Juist in een context waarin de siliconlaag niet goed te monitoren is, is “geen bewijs” niet hetzelfde als “geen compromis”.
Daarmee verandert ook de manier waarop je securityvragen stelt. Niet langer uitsluitend: “is er al een aanval zichtbaar in mijn logs?” Maar eerder: “welke signalen wijken af wanneer een geautoriseerde omgeving mogelijk wordt misbruikt, ook als je hardware intern niet volledig kunt inspecteren?”
De aanpak van Stealthium: kijken naar telemetry-hints
Stealthium geeft aan dat hun technologie niet per se nieuw is in algemene zin; het wordt wel sterk gespecialiseerd toegepast. Hun concept is: een agent installeren in de infrastructuur van de klant. Die agent onderzoekt de telemetry die uit de neo-cloudomgeving komt.
Belangrijk detail: het systeem “ziet” niet direct in de acceleratorhardware zelf. In plaats daarvan zoekt het naar subtiele hints die kunnen wijzen op compromittering. De gedachte is dat aanvallers, zelfs wanneer directe observatie ontbreekt, toch sporen kunnen achterlaten in patronen of signalen die via telemetry wél waarneembaar zijn.
Omdat die signalen in de loop van de tijd veranderen, wordt het agentmodel continu bijgesteld. Zo blijft de detectie afgestemd op een dreigingslandschap dat sneller evolueert dan klassiek security tooling soms kan bijbenen.
Voorbeeld: Januscape en misbruik van geneste virtualisatie
Een illustratief scenario in de bron is Januscape. Daarin werd een kwetsbaarheid in nested virtualization misbruikt, waardoor een aanvaller een omgeving kon aanbieden of “verkopen” aan een derde partij.
In een neo-cloudcontext zou een vergelijkbare exploit kunnen leiden tot cross-tenant leakage: gegevens of inzichten van één tenant lekken naar een ander. Daarmee kan een derde partij mogelijk toegang of bruikbare informatie verkrijgen over legitieme AI-toepassingen van de klant, bijvoorbeeld in-house ontwikkelde chatbots.
Stealthium stelt dat hun agent dergelijke patronen kan oppikken door subtiele hints in de neo-cloud telemetry te analyseren. Niet alleen voor dit ene scenario, maar ook voor varianten van aanvallen die dezelfde onderliggende signalen veroorzaken.
Wat staat er op het spel: van modelmanipulatie tot ongezien misbruik
Supply chain-aanvallen bestaan al langer, maar de verwachting is dat het aantal en de frequentie kunnen toenemen. Twee groepen hebben belang bij dit soort toegang: financieel gemotiveerde aanvallers en partijen die informatie willen verzamelen of invloed willen uitoefenen, zoals nation-states.
Een gecompromitteerde neo-cloud node kan volgens de bron bijvoorbeeld toegang geven tot AI-weights. Daarnaast kan een aanvaller poisoning of corruptie proberen, waardoor het gedrag van een model verandert zonder dat iemand dat direct opmerkt. In theorie kan dat gedrag worden bijgestuurd in lijn met een specifieke agenda.
Verder wordt genoemd dat een aanvaller kan proberen een klant af te persen, of de gedeelde omgeving te misbruiken voor andere activiteiten, zoals crypto mining of het opzetten van een nieuw platform om vanaf te werken.
Wat betekent dit voor organisaties die neo-cloud gebruiken?
Voor teams die AI-ontwikkeling doen in neo-clouds is het belangrijk om de verantwoordelijkheid en verwachtingen bij te stellen. Als je je basise security vooral richt op CPU-omgeving en traditionele observability, dan mis je mogelijk juist het stuk dat het meeste risico draagt: de acceleratorlaag.
Praktisch helpt het om drie vragen structureel te beantwoorden:
- Hebben we zicht op signalen vanuit de acceleratorlaag? Niet per se intern, maar via telemetry en gedetecteerd gedrag.
- Kunnen we detecteren op subtiele afwijkingen? Denk aan patronen die passen bij tenant leakage of modelmanipulatie.
- Is onze aanpak ‘real-time’ genoeg? Zeker bij training en high-throughput inference wil je sneller weten wat er gebeurt.
Door dit soort controles te combineren met bestaande security processen, verklein je de kans dat een compromis onopgemerkt blijft in de keten van AI-ontwikkeling.
Waarom dit nu extra urgent is
AI versnelt in tempo, en neo-cloud adoptie groeit. Dat maakt het aantrekkelijk voor aanvallers om juist daar te zoeken waar tooling nog niet volledig is aangepast. De bron noemt bovendien dat het vectorgebied nog relatief nieuw is met weinig gevestigde securitypraktijken.
Als een aanvaller invloed zou kunnen uitoefenen op populaire AI-systemen, dan kan de impact theoretisch doorsijpelen tot veel bredere maatschappelijke gebieden. Dat klinkt als hypothetische ver-van-mijn-bed scenario’s, maar het onderliggende securityprincipe blijft: hoe minder zicht, hoe makkelijker misbruik.
Conclusie: AI-accelerators beveiliging vraagt om nieuwe observability
De groei van AI-accelerators en neo-clouds brengt snelheid en schaal, maar ook een nieuw type beveiligingsblind spot. Traditionele cybersecurity tooling is vaak gebouwd rond CPU-centristische omgevingen en heeft daardoor moeite met volledige zichtbaarheid op wat er in de acceleratort laag gebeurt.
Stealthium laat zien hoe je dat gat kunt aanpakken: niet door direct in hardware te inspecteren, maar door een gespecialiseerde agent de telemetry-hints te laten analyseren die kunnen wijzen op een compromis. Zo ontstaat er een meer realistische manier van AI-accelerators beveiliging voor organisaties die afhankelijk zijn van AI-first cloudinfrastructuur.
Als je ook wilt lezen hoe organisaties omgaan met moderne supply chain- en AI-dreigingen, dan zijn deze artikelen interessant: In Other News: AI, supply chain en poorten onder druk en Open source volwassen in security: wat verandert.
