In beveiligingskringen klinkt het op dit moment steeds vaker: AI comprimeert exploit-tijdlijnen. Kwetsbaarheden worden sneller ontdekt én sneller misbruikt. De prikkelende vraag is dan niet of je vulnerability management playbook moet veranderen, maar waar je tot nu toe het inzicht miste. Spoiler: het probleem zit meestal niet in het tempo, maar in de prioritering.
De discussie rondom AI-modellen en hun impact op offensieve technieken gaat vaak over discovery. Reconnaissance kan sneller, ketens van aanvalstechnieken worden efficiënter en systemen die eerst “beschermd” leken door tijdsdruk, worden nu veel sneller doorzocht. Dat is echt relevant. Toch is er een ander deel van het verhaal dat minder aandacht krijgt.
De kern: veel teams wonnen vóór AI al niet de prioriteringsstrijd. AI maakt die bestaande zwakte alleen veel duurder.
Waarom prioritering vulnerability management nu urgenter wordt
Waar een organisatie vroeger bijvoorbeeld weken had om te reageren nadat een CVE bekend werd, kan die reactietijd nu drastisch dalen tot dagen of soms zelfs uren. Dat klinkt als een nieuwe bedreiging, maar het is vooral een verhoging van de kosten van een bekend managementprobleem: je start met de verkeerde lijst.
Een CVSS-score is nuttig, maar zegt niet automatisch iets over wat er in de praktijk te misbruiken valt. Een hoge score zonder pad naar een kritieke plek in je omgeving is minder urgent dan een middelmatige score die één “hop” verwijderd is van een systeem waar echte waarde zit.
Het prioriteitsprobleem bestond al vóór AI
Bij het gesprek met security architects, detectie- en responsleads en CISOs kwam een opvallend vergelijkbaar beeld naar voren. Veel teams vinden veel kwetsbaarheden, maar kunnen niet voldoende tijd of capaciteit vrijmaken om elke bevinding diep genoeg te onderzoeken. Daardoor ontstaat er een enorme backlog.
In de praktijk prioriteren organisaties vaak op CVSS of op severity-uitspraken uit scanning- en pentestomgevingen. Dat gebeurt met serieus ingezette tooling—variërend van bekende vulnerability management platforms en endpoint- en cloudoplossingen tot identity- en SIEM-omgevingen. Het resultaat blijft echter dezelfde frustratie: je werkt nog steeds van een CVE-gesorteerde lijst, niet van een risicolijst die je kunt onderbouwen richting het bestuur.
De oorzaak is niet simpelweg “onvoldoende scannerkwaliteit”. Het echte gat zit in context, en dan met name in drie elementen die CVSS niet meeneemt.
De context die ontbreekt: identiteit, bereikbaarheid en padcontinuïteit
CVSS helpt je rangschikken, maar mist cruciale vragen die bepalen of een kwetsbaarheid ook daadwerkelijk een aanval mogelijk maakt richting de kern van je organisatie. Drie contextlagen ontbreken vaak in de besluitvorming:
- Identiteitcontext: welke accounts hebben toegang tot het kwetsbare systeem, en zijn die accounts overbevoegd?
- Bereikbaarheid: staat het betreffende asset internet-exposed, of ligt het direct naast (één hop) een crown-jewel systeem?
- Padcontinuïteit: bestaat er een bevestigde aanvalsketen die deze CVE verbindt met wat écht belangrijk is voor de business?
Zonder deze informatie zijn 50.000 bevindingen geen prioriteitenlijst maar een backlog zonder kompas. Je kunt dan wel tickets uitdraaien, maar je weet niet of je daadwerkelijk aan de juiste risico’s werkt.
Wat AI wél en niet verandert
AI en vergelijkbare modellen verkorten de periode tussen openbaarwording van een kwetsbaarheid en het moment waarop misbruik haalbaar wordt. Dat verandert het operationele tempo.
Maar AI introduceert niet de fundamentele architectuurfout. Het maakt die fout alleen veel kostbaarder. Als je team begint met een bulkbacklog op basis van CVSS, dan helpt een kortere exploit-tijdlijn niet—je versnelt dan vooral het uitvoeren van verkeerde prioriteiten.
De echte test wordt dus: is je prioriteringsproces snel én correct genoeg om bij te blijven met een aanvaller die op machinemodus beweegt?
Waarom losse tools geen beslisbaar beeld geven
Veel enterprise-omgevingen hebben een stevig “tool-landschap”. Denk aan identity-oplossingen voor toegangsrechten, cloudbeveiliging voor misconfiguraties, endpointbeveiliging voor de status op machines, en vulnerability management voor CVEs. Los van elkaar leveren die tools nuttige signalen: een misconfiguratie, een kwetsbaar CVE, een endpointconditie, een overprivileged account.
Het ontbrekende onderdeel is de samenhang: geen enkele individuele tool ziet automatisch de keten die identiteit, cloud- en endpointinformatie verbindt tot een realistisch aanvalspad richting bijvoorbeeld je klantendatabase.
Daarom is het niet per se een tekort aan meetdata, maar een tekort aan correlatie en besluitlogica. Je hebt geen “meer alerts” nodig, maar een manier om de echte route naar een crown-jewel te bevestigen—met bewijs die je kunt uitleggen.
Prioriteren op attack paths in plaats van scores
Een alternatief playbook gaat uit van een andere vraag. Niet: “Wat is de CVSS-score van deze CVE?” maar: “Kan deze kwetsbaarheid een crown-jewel bereiken via identiteit, over een trust boundary, met welk effectgebied?”
Als je identiteitcontext toevoegt, kan een bevinding ineens van “matig” veranderen in een kritiek aanvalspad—bijvoorbeeld wanneer een overbevoegde account naast een niet-gepatchte kwetsbaarheid zit. Ook bereikbaarheid kantelt de urgentie: een CVE met lage tot middelmatige score op een internet-facing systeem met directe route naar klantdata weegt zwaarder dan een hoge score op een geïsoleerde testomgeving.
Het doel is dat je uiteindelijk slechts een beperkt aantal bevindingen kunt prioriteren uit de enorme lijst—niet omdat je minder ziet, maar omdat je beslist op basis van wat daadwerkelijk kan doorwerken naar wat telt.
Zo ziet het nieuwe playbook er praktisch uit
De klassieke aanpak is bekend: scanners draaien, sorteren op CVSS, tickets maken en remediatie opvolgen. De aanpak die nu beter past bij kortere exploit-tijdlijnen bestaat uit vier stappen.
- Verbind je tools: vervang ze niet per se, maar plaats een verenigende intelligellaag erboven die identiteit, cloud-, endpoint- en vulnerability-data samenbrengt.
- Prioriteer op pad: kijk naar confirmed routes naar crown-jewel assets, inclusief via welke identiteit en met welk blast radius.
- Valideer vóór je remediëert: commit middelen op basis van paden die aantoonbaar exploiteerbaar zijn, niet alleen theoretisch.
- Werk continu: neem geen enkelmomentfoto’s meer als basis. Door AI kan de window tussen blootstelling en misbruik snel sluiten.
Belangrijk: dit betekent niet dat bestaande security tools hun waarde verliezen. Ze blijven kwetsbaarheden vinden en identiteiten of misconfiguraties signaleren. De verandering zit in de architectuur van de besluitvorming: zorgen dat je van losstaande signalen naar één verdedigbaar beeld komt.
Conclusie
AI maakt exploit-tijdlijnen korter, maar het verandert vooral de gevolgen van een oude fout: prioriteren op basis van CVSS zonder context. Prioritering vulnerability management moet daarom verschuiven van “score-gebaseerd afhandelen” naar “attack path-gebaseerde beslissingen”.
Wie als team kan aantonen welke beperkte set bevindingen daadwerkelijk een route vormt naar crown-jewels—met identiteit, bereikbaarheid en bevestigde padcontinuïteit—kan sneller en met meer zekerheid handelen. En juist dat is wat je nodig hebt wanneer een aanvaller niet meer hoeft te wachten.
Bron: https://thehackernews.com/2026/07/mythos-asks-right-question-it-doesnt.html
