AI heeft kwetsbaarheidsbeheer niet doorbroken. Het legde de grootste zwakte bloot.

AI vindt kwetsbaarheden sneller dan teams ze kunnen oplossen. Dat klinkt als een nieuw AI-probleem. Het is een oud probleem. Organisaties konden al jaren niet snel genoeg patchen. AI maakt dat nu zichtbaar.

De kern in drie punten

• Vinden is door AI snel en goedkoop geworden.
• Herstellen is traag en duur gebleven.
• Het gat tussen die twee stappen is het echte risico.

Twee stappen, één knelpunt

Kwetsbaarheidsbeheer bestaat uit twee stappen. Eerst vind je een zwakte. Dan herstel je die. Het hele systeem ging uit van schaarste. Het vinden van fouten kostte veel menselijk onderzoekswerk. Daardoor bleef de stroom bevindingen beheersbaar.

AI haalt die rem weg. De tweede stap blijft hetzelfde. Er moet getest worden. Teams moeten afstemmen. Er moet een onderhoudsvenster komen. Een scanner versnelt dat niet.

Wat Project Glasswing liet zien

Anthropic startte Project Glasswing op 7 april 2026. Daarin zoekt het model Claude Mythos Preview naar kwetsbaarheden. Binnen een maand vonden zo’n vijftig partners meer dan 10.000 ernstige kwetsbaarheden.

Bij open source ging het om 23.019 bevindingen. Die lagen in meer dan 1.000 projecten. Het model schatte 6.202 daarvan als hoog of kritiek.

Op 22 mei had Anthropic 1.596 bevindingen gemeld aan beheerders van 281 projecten. Toen waren er slechts 97 opgelost. Het onderzoeksbedrijf Tuskira rekende de snelheden uit. Er kwamen ongeveer 25 bevestigde kwetsbaarheden per dag bij. Er werden ongeveer anderhalf per dag opgelost.

Dat is een momentopname. Veel meldingen waren nog vers. Anthropic noemt een gemiddelde hersteltijd van twee weken. Toch is de richting duidelijk. De stapel groeit sneller dan hij kleiner wordt.

Het probleem bestond al

De cijfers van vóór en naast de AI-golf zijn even duidelijk:

• Volgens Verizon (DBIR 2026) wordt maar 26 procent van de bekend uitgebuite kwetsbaarheden opgelost.
• In een enquête van de Cloud Security Alliance herstelt slechts 9 procent ernstige fouten binnen 24 uur.
• Complexe bedrijfsapplicaties hebben gemiddeld vijf maanden en tien dagen nodig. Dat meldt Qualys.
• Een gemiddelde applicatie heeft 22 kritieke kwetsbaarheden. Teams lossen er 3,4 per maand op.

Mandiant meldt een gemiddelde time-to-exploit van min zeven dagen. Aanvallers zijn dus vaak eerder dan de patch. Dat gold al voordat AI zo goed werd in het vinden van fouten.

Waarom herstellen niet vanzelf versnelt

Een patch installeren is het kleinste deel. Teams moeten testen op compatibiliteit. Ze moeten afstemmen met eigenaren en leveranciers. In fabrieken kan een systeem pas tijdens onderhoud stilstaan. Open-sourceprojecten draaien vaak op vrijwilligers.

AI als patchschrijver lost dit niet op. Onderzoek van 1Password liet zien dat AI-patches complexe fouten in 53,9 procent van de gevallen niet volledig oplossen. Menselijke controle blijft nodig.

De tijd om te reageren krimpt

Microsoft bracht in juli 2026 een record aan fixes uit. Bronnen noemen tussen 570 en 622 patches. De Amerikaanse overheid verkort termijnen. Voor de ernstigste fouten gaat het om drie dagen. Dat staat in richtlijn BOD 26-04 van CISA.

Ook 77 procent van de grote organisaties heeft meer dan een week nodig voor één kritieke patch. Die cijfers passen niet bij elkaar.

Wat moet er veranderen?

1. Meet hersteltijd, niet het aantal vondsten. Wie tien keer meer vindt en twee keer meer oplost, vergroot alleen de achterstand.
2. Prioriteer op uitbuiting. CVSS alleen is te grof. Kijk naar bekende en actieve aanvallen.
3. Beperk de schade zonder patch. Segmenteer netwerken. Dwing multifactorauthenticatie af. Verklein het aanvalsoppervlak.
4. Zet tijdelijke maatregelen klaar. Zo overbrugt u weken tussen vondst en fix.
5. Automatiseer met toezicht. Automatiseer testen en uitrol waar het veilig kan. Houd mensen bij complexe wijzigingen.
6. Ken uw inventaris. Wat u niet kent, kunt u niet herstellen.
7. Steun open-sourcebeheerders. Uw software hangt van hen af.

Conclusie

AI is niet de oorzaak van de achterstand. AI is de spiegel. Wie vooral wil vinden, koopt meer werk dan hij kan afhandelen. Wie wil herstellen, moet investeren in mensen, processen en automatisering.

Veelgestelde vragen

Heeft AI kwetsbaarheidsbeheer gebroken?
Nee. AI maakte een bestaande zwakte zichtbaar: de trage hersteltijd.

Wat is het remediation gap?
Het is het verschil tussen de snelheid van vinden en de snelheid van herstellen.

Wat is Project Glasswing?
Het is een initiatief van Anthropic. Partners gebruiken Claude Mythos Preview om kwetsbaarheden te vinden en te melden.

Kan AI de patches ook schrijven?
Gedeeltelijk. Bij complexe fouten faalt meer dan de helft. Menselijke review blijft nodig.

Wat kan een klein bedrijf doen?
Houd een inventaris bij. Patch eerst wat actief wordt aangevallen. Gebruik multifactorauthenticatie en maak netwerken kleiner.